Phishing prin linkuri onion Torzon Market: mecanica oglinzilor false și a clonelor

Un utilizator primește un link din clipboard cu eticheta torzonmarketdarkweb.onion, îl lipește în Tor Browser și vede un ecran de conectare identic, pixel cu pixel, cu site-ul pe care și-l amintește. Bara de adrese a browserului afișează în continuare un hostname .onion, lacătul lipsește conform așteptărilor, iar formularul se comportă exact ca cel real. Nimic nu pare stricat vizibil. Ce a fost de fapt înlocuit nu este pagina, ci fiecare ancoră de încredere pe care utilizatorul crede că o verifică.

Suprafața de atac este distanța dintre ceea ce un utilizator poate reține plauzibil și ceea ce autentifică de fapt protocolul onion. Un onion V3 este un identificator opac, cu autentificare proprie: forma sa completă de 56 de caractere se leagă criptografic de cheia unui serviciu, nu de un nume de marcă sau de o identitate vizuală. Orice trunchiere, abreviere sau șir „mirror” pe care un om îl recunoaște drept Torzon este o reconstrucție din memorie, nu o verificare a serviciului real.

Trei puncte structurale fac exploatabilă această distanță. În primul rând, torzonmarketdarkweb.onion nu este o adresă canonică, ci o etichetă; un atacator poate opera o cheie V3 complet diferită afișând în același timp o marcă textuală familiară. În al doilea rând, serviciile onion nu folosesc certificate TLS pentru autentificarea gazdei, așa că nu există nicio terță parte neutră care să alerteze utilizatorul. În al treilea rând, sistemul de directoare rezolvă hostname-urile prin descriptorul derivat din cheie, iar o clonă de phishing pur și simplu își publică propriul descriptor sub propria cheie.

• Recunoașterea adresei
• Rebinding DNS
• Compromiterea descriptorului
• Inflația de oglinzi

De ce comparația vizuală singură eșuează

Un utilizator care compară două adrese onion una lângă alta verifică de obicei doar primele și ultimele caractere. Base32 folosește un alfabet limitat — a-z și 2-7 — ceea ce creează mulți vecini similari vizual. Caractere precum b și d, o și 0 sau 1 și l nu sunt doar ușor de confundat, ci pot să nu apară niciodată în hostname-urile V3, în funcție de regulile de codificare. Senzația falsă de precizie este mai rea decât lipsa oricărei verificări: utilizatorul trece peste limita de securitate reală a browserului.

„Câte tipuri de pagini false Torzon există de fapt și de ce ar trebui să-mi pese de diferență?” Răspunsul scurt: trei categorii utile — oglinzi, proxy și onion deep-fake. Ele diferă prin ceea ce controlează operatorul, prin ce vede utilizatorul și prin tipul de furt pentru care a fost construită fiecare. O oglindă este o copie statică a paginii de autentificare servită de la o altă adresă onion. Un proxy este un releu activ care transmite traficul către Torzon autentic, citind sau rescriind părți din el în tranzit. Un onion deep-fake este o aplicație construită special care imită interfața și fluxul de lucru al pieței fără să atingă deloc backend-ul real.

Cum lasă fiecare tip de clonă o amprentă pe server

Decizia de găzduire de bază determină ce poate detecta un observator atent. Oglinzile sunt de obicei servite ca fișiere plate sau șabloane ușoare. Ele pot copia aspectul, formularea și chiar CSS-ul recent, dar nu pot reflecta stocurile reale, starea sesiunii sau soldurile fiecărui utilizator. Proxy-urile sunt cele mai periculoase pentru că răspund cu răspunsuri Torzon autentic valide — însă operatorul vede fiecare acreditare, fiecare PIN și, uneori, cookie-ul complet de sesiune. Anomalia detectabilă este comportamentală: un proxy poate elimina anteturile de securitate, poate reordona resursele sau poate injecta o redirecționare suplimentară. Onion deep-fake necesită cel mai mare efort de construcție. De obicei includ adrese de portofel false, anunțuri de vânzători fabricate și un flux de tranzacții conceput să pară complet, astfel încât victimele să finalizeze înainte să realizeze că nu a fost procesat nimic.

De ce contează categoriile pentru apărare

Distincția-cheie este unde începe minciuna. O oglindă păcălește un utilizator să introducă o parolă. Un proxy clonează încrederea folosind chiar răspunsurile site-ului real. Un deep-fake creează o întreagă realitate contrafăcută. Fiecare cere o apărare diferită: oglinzile cad la verificarea adresei, proxy-urile cad la compararea metadatelor și verificările comportamentale, deep-fake-urile cad la analiza entropiei și testele stării așteptate — de exemplu, verificarea dacă soldul cunoscut sau istoricul comenzilor apare exact așa cum ar trebui.

Oglindă

o copie statică sau semi-statică a paginii de autentificare Torzon găzduită pe o altă adresă onion, folosită pentru colectarea acreditărilor

Proxy

un onion intermediar care transmite trafic live către Torzon autentic, observând sau modificând datele de sesiune

Onion deep-fake

o piață imitativă de sine stătătoare care copiază interfața și fluxurile Torzon, dar rulează pe un backend fals

Amprentă pe server

combinația de anteturi, comportament TLS, timestamp-uri ale activelor și modele de răspuns care dezvăluie cum este găzduită o clonă

Reluarea sesiunii

folosirea cookie-urilor sau token-urilor capturate pentru a impersona o victimă autentificată pe piața reală

Ai salvat o adresă onion Torzon cu câteva ore în urmă, iar acum pagina de destinație se încarcă impecabil — logo, captcha, adâncimea pieței. Acea verificare vizuală nu înseamnă verificare. Testul decisiv este binar: metadatele criptografice și de director ale endpointului corespund unui onion V3 autentic sau prezintă semnături de entropie, protocol și marcaje temporale pe care doar clonele le produc?

Entropia adresei onion ca prim filtru

Un onion Torzon V3 autentic începe cu un șir Base32 fix de 56 de caractere, derivat dintr-o cheie publică ed25519. Clonele nu pot fabrica la scară o adresă convingătoare, așa că operatorii folosesc șiruri aproape identice, prefixe personalizate sau redirecționări scurtate. Testul este structural, nu cosmetic: scrie adresa completă. Trebuie să aibă exact 56 de caractere, alfabetul limitat la a–z și 2–7, cu terminația .onion. Dacă vezi mai mult de 56 de caractere, un lanț de sufixe .onion. sau un scurtător de URL înainte de destinație, tratează endpointul ca fiind ostil. Kiturile de phishing se bazează pe faptul că utilizatorii răsfoiesc rapid mijlocul șirurilor lungi, așa că compară treimea din mijloc caracter cu caracter cu referința salvată, în loc să verifici doar segmentele de la început și de la sfârșit.

Absența TLS acolo unde nu ar trebui să existe

Metadatele directorului și marcajele temporale ale anunțurilor

1. Verifică prospețimea anunțurilordeschide o categorie cu rulaj ridicat, cum ar fi „Fraud” sau „Digital Goods”; anunțurile autentice arată vechimi eșalonate, vânzători diferiți și marcaje temporale care se actualizează fără reîncărcarea completă a paginii
2. Verifică încrucișat eticheta mirrorului servitdacă pagina pretinde că este un mirror oficial rotativ, compară eticheta afișată cu lista de mirroruri salvată dintr-o sesiune anterioară verificată; clonele refolosesc etichete vechi sau inventate
3. Inspectează subsolul directoruluiinstanțele autentice afișează contoare de blocuri/escrow diferite de zero care se modifică de la minut la minut, nu un șir static de statistici înghețat în șablonul unei clone

Marcajele temporale dezvăluie automatizarea. Un mirror copiat poate afișa numele și prețurile corecte ale vânzătorilor, dar orele „ultima dată văzut” îngheață în momentul în care operatorul clonei a copiat HTML-ul. Un director activ, prin contrast, actualizează micro-marcajele temporale independent. Când reîncarci pagina și cel mai vechi anunț încă arată același minut de acum câteva ore, directorul este o captură, nu un serviciu live.

Un onion Torzon clonat nu trebuie să învingă întregul lanț de autentificare; are nevoie doar de o singură trimitere reușită din partea unui utilizator care crede că pagina este autentică. Obiectivul real al atacatorului nu este o singură parolă validă, ci un artefact de autentificare utilizabil: combinația dintre câmpurile de autentificare, metadatele sesiunii și semnalele de mediu care îi permit proprietarului clonei să continue sesiunea pe serviciul legitim înainte ca utilizatorul să observe ceva neobișnuit.

Pregătirea recoltei

Fluxul de pregătire creează în mod deliberat interacțiuni repetate. O singură parolă capturată este mai puțin valoroasă decât o parolă plus un al doilea factor proaspăt, așa că multe clone forțează o eroare artificială imediat după prima trimitere a autentificării. Victima, presupunând că este o defecțiune normală Torzon, reintroduce datele de autentificare și furnizează valoarea 2FA rotativă exact când releul atacatorului are nevoie de ea.

Telemetrie dincolo de parolă

Clonele moderne înregistrează mult mai mult decât perechea de autentificare. Pagina colectează șirul user-agent al victimei, dimensiunea viewport-ului, fonturile instalate, decalajul fusului orar și hash-ul canvas/WebGL. Aceste valori formează un plic comportamental pe care atacatorul îl redă pe onion-ul legitim pentru a reduce șansa declanșării unei anomalii de sesiune. Chiar și o fereastră incognito lasă să scape suficientă entropie pentru a separa o victimă de alta între sesiuni.

• Linkul onion promovat vizitat înainte de redirecționare
• Setările de limbă și locale ale browserului
• Calea de referință dacă victima a dat clic de pe un forum sau dintr-un director
• Latența răspunsului dintre trimiterea formularului și eroarea falsă
• Un cookie de scurtă durată sau un marker localStorage pentru reidentificarea aceluiași browser

Deoarece Torzon însuși nu solicită documente de identitate secundare, proprietarul clonei se bazează în schimb pe acest plic. Profilul recoltat îi permite atacatorului să redea sesiunea furată dintr-un mediu similar, adesea în câteva minute, înainte ca utilizatorul să finalizeze o deconectare manuală.

De ce este suficientă o singură încercare

O concepție greșită frecventă este că o parolă greșită pe o pagină de phishing este inofensivă. În fluxul clonei, prima încercare de autentificare a victimei nu este niciodată verificată local; este redirecționată, înregistrată și apoi i se răspunde cu orice eroare alege atacatorul. Chiar dacă parola este greșită, atacatorul deține acum numele de utilizator, sincronizarea celui de-al doilea factor și semnătura browserului, ceea ce poate fi suficient pentru a solicita o resetare a parolei pe un serviciu conex sau pentru a otrăvi încercările ulterioare ale victimei împotriva onion-ului real.

Etapa de redare a sesiunii este locul în care daunele onion-ului clonat se agravează. Odată ce o pereche validă de credențiale este obținută, atacatorul nu trebuie să controleze dispozitivul victimei. Trebuie doar să redea autentificarea împotriva onion-ului Torzon legitim dintr-un mediu care se potrivește suficient de bine cu amprenta capturată, apoi să acționeze înainte ca utilizatorul real să revină. Singura încercare de autentificare devine astfel o fereastră deschisă către sesiunile viitoare, nu doar un singur moment compromis.

A trata verificarea adresei ca pe un pas unic este eroarea operațională de bază: atacatorii mizează pe intervalul dintre „recunosc acest onion” și „mi-am introdus deja datele de autentificare”. O secvență repetabilă elimină această fereastră, pentru că fiecare vizită, chiar și la o adresă salvată acum douăzeci de minute, este tratată ca o pornire de la zero. Scopul nu este să dovedești că linkul este real, ci să dovedești că nu ai niciun motiv să îl suspectezi. Suspiciunea este mai ușor de transformat în acțiune decât încrederea, iar verificările de mai jos sunt concepute pentru a produce rapid suspiciune atunci când ceva nu este în regulă.

1. Confruntă onionulDeschide adresa așteptată dintr-o a doua sursă, obținută independent, înainte de a atinge linkul suspect.
2. Golește sesiuneaȘterge identitatea din Tor Browser sau folosește un profil proaspăt; nu refolosi o sesiune existentă când testezi un onion.
3. Încarcă la receSolicită onionul cu scripturile dezactivate și observă dacă interfața, anteturile și suprafețele de eroare corespund aspectului așteptat.
4. Asociază contulAutentifică-te cu identitatea izolată; dacă piața îți cere o frază mnemonică de recuperare, un secret extins sau importul portofelului, oprește-te imediat.
5. Testează comportamentulDupă autentificare, verifică dacă parcursurile dus-întors ale sesiunii corespund comportamentului normal al pieței: starea escrow, numărul de mesaje și asocierea adresei portofelului trebuie să coincidă cu datele cunoscute din trecut.