Beveiligingsbedrijf Searchlight Cyber heeft op 8 oktober een lek onthuld in GoBalance, een veelgebruikte tool om dark-web-sites bereikbaar te houden tijdens DDoS-aanvallen. Door een fout in de manier waarop GoBalance handtekeningen zet, kan een aanvaller de geheime sleutel herstellen die een .onion-adres beheert, puur op basis van publiek beschikbare informatie.
GoBalance is een Go-herimplementatie van het oudere Onionbalance en wordt meegeleverd met de EndGame-toolkit. Veel dark-web-forums en marktplaatsen gebruiken het om bezoekers over meerdere servers te verdelen, zodat een site blijft werken als een van die servers wordt platgelegd. Het probleem zit in de ondertekeningsstap: GoBalance laat daarbij de helft van de 64 bytes lange Tor-privésleutel weg, terwijl precies dat weggelaten deel het geheim achter elke handtekening moet afschermen. Met genoeg publieke handtekeningen van een site kan een aanvaller die ontbrekende helft terugrekenen en zo de volledige sleutel reconstrueren.
Wie die sleutel in handen krijgt, kan bezoekers ongemerkt naar een eigen kopie van de site sturen, bijvoorbeeld om inloggegevens te stelen, malware te verspreiden of misleidende advertenties te tonen. Toegang tot de onderliggende server, database of gebruikersgegevens krijgt een aanvaller er niet mee. Het lek raakt alleen wie het gekaapte onion-adres bezoekt. Searchlight zegt dat alleen sites geraakt worden waarvan de hoofdsleutel is opgeslagen in het originele Tor-sleutelformaat. Wie die sleutel via de eigen setup-tool van Onionbalance in het veiligere formaat heeft laten aanmaken, loopt geen risico. Tor zelf en het originele Onionbalance zijn niet getroffen.
Het lek kwam aan het licht via onderzoek naar de overname van het dark-web-forum Dread. Hoeveel sites GoBalance gebruiken is niet bekend, maar gezien de populariteit van EndGame onder criminele marktplaatsen is de kring van mogelijke slachtoffers niet klein.
Voor de gemiddelde Nederlandse lezer verandert dit weinig: GoBalance is een nichetool voor beheerders van dark-web-infrastructuur. Relevant is het vooral voor wie dark-web-activiteit onderzoekt of monitort.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Vooral relevant voor wie dark-web-infrastructuur beheert of monitort: een gekaapt onion-adres kan ongemerkt worden ingezet voor phishing, malware of misleidende advertenties onder het mom van een vertrouwde bron.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.