Hoy en día gran parte de la investigación en ciberseguridad se apoya en técnicas OSINT (Open Source Intelligence Technics), con las cuales se puede recopilar información de fuentes abiertas que no requieren contacto con el objetivo. El uso combinado y automatizado de técnicas OSINT para realizar investigación en la DarkWeb nos puede ayudar a identificar el nombre de un actor de amenazas, su ubicación, dirección IP o imagen, y estas técnicas también pueden ayudar a descubrir conexiones entre actores de amenazas, a monitorear la información que está circulando, posibles ataques o amenazas internas, y también a neutralizar o interrumpir actividad maliciosa en tiempo real.

Si bien sabemos que lo que se aloja en la DarkWeb se considera fuera del alcance de los motores de búsqueda convencionales, debemos saber también que todo lo que se encuentra allí no está en dentro de un área homogénea, ya que la DarkWeb está compuesta por DarkNets (conjunto de redes anónimas) que incluyen otras redes P2P, como FreeNet, I2P, o Tor. Dicho esto y teniendo en cuenta que Tor es la más popular, a lo largo del articulo nos centraremos en esta red ya que los servicios que se encuentran ocultos en la misma se utilizan por lo general para acceder a diferentes aplicaciones como chats, correos electrónicos o sitios web.

Es importante aclarar que en este artículo no explicaremos en profundidad todo lo que incluye Tor, pero sí utilizaremos como punto de partida en el análisis de los sitios web alojados en los servicios ocultos de esta red que utilizan la técnica de enrutamiento de cebolla, conocida en inglés como onion routing, para anonimizar el tráfico.

Podemos agilizar parte de este trabajo utilizando motores de búsqueda que sí funcionan en la DeepWeb, como son Ahmia, The Hidden Wiki, Torch, All You’re Wiki y The Uncensored Hidden Wiki. Si bien cada uno de estos motores de búsqueda funciona con lógicas distintas y los enlaces asociados varían muy rápidamente, utilizarlos puede ser un buen punto de partida para buscar información. Luego se puede combinar este proceso con servicios de reporte, como la lista de correo de Hunchly, la cual ofrece informes diarios de servicios ocultos en la red Tor que pueden proporcionar información de valor.

Motores de búsqueda para la DarkWeb

Veamos los detalles y características de algunos de estos motores de búsqueda.

Ahmia

Ahmia nace como parte del Proyecto Tor y podríamos decir que es una de las cosas más cercanas a un motor de búsqueda tradicional. Básicamente lo que hace es recopilar direcciones de la red Tor (.onion) para luego alimentar estas páginas a su índice (siempre que no contengan un archivo robots.txt que indique que no se deben indexar). Además permite a los servicios que operan dentro de la red onion registrar sus URL para ser encontrados. A través de la recopilación continua de direcciones .onion Ahmia ha creado uno de los índices más extensos de la DeepWeb.

Uncensored Hidden Wiki

A diferencia de Ahmia, Uncensored Hidden Wiki es tal como lo indica su nombre un Wiki oculto al que cualquiera se puede registrar sin censura. Una vez registradas todas las personas pueden editar conexiones en la base de datos y el motor de búsqueda funciona llamando a las descripciones de las páginas proporcionadas por estos enlaces .onion, ya que los nombres de dominio cambian muy a menudo.

Si bien estos son algunos puntos para comenzar a buscar y obtener enlaces, debemos considerar que estamos hablando de un ámbito muy dinámico que fuera de las herramientas nos obliga a participar activamente de foros especializados para mantenernos al tanto de los cambios repentinos que van surgiendo en el ecosistema de la DeepWeb.

Recopilación de datos

TorBot

Para el proceso de recopilación de información podemos mencionar a TorBot, una herramienta orientada a OSINT pensada para la DarkWeb que permite escanear enlaces .onion. Está escrita en Python y es de código abierto. Algunas de las funcionalidades más destacadas de TorBot son: su capacidad para devolver el título y la dirección de la página con una breve descripción del sitio, que almacena información de rastreo en un archivo JSON, que rastrea dominios personalizados, y que comprueba si un enlace está activo.

Los procesos de recopilación de información en la DarkWeb mediante técnicas OSINT se pueden llevar adelante fácilmente utilizando diversas herramientas. En este caso mencionamos TorBot, pero en la comunidad de entusiastas podemos encontrar otras opciones muy interesantes. Vale la pena mencionar que un punto central de esta etapa es la de documentar con comentarios toda la información recopilada.

Procesamiento de datos

Hasta el momento recopilamos información y enlaces de la red Tor y tras este paso llega el momento de guardar el contenido de las páginas y analizarlo. En este punto, la posibilidad real de hacer inteligencia dependerá de la correcta correlación y almacenamiento de estos datos, así como del análisis de los mismos. Si bien en esta instancia la experiencia del investigador será crucial, no podemos dejar de mencionar herramientas como Maltego, que permite realizar un análisis de redes e identificar relaciones entre diferentes vectores de análisis.

Más tarde En toda investigación lo más complicado y problemático es configurar un entorno para analizar los datos después de recopilarlos utilizando técnicas OSINT, ya que por lo general el volumen de información suele ser elevado y desorganizado. Aquí se vuelve muy importante la experiencia del investigador, ya que son circunstancias difíciles de parametrizar y cuenta mucho la intuición del investigador.

Directorios con enlaces

• The Hidden Wiki: es el directorio de enlaces Deep Web más popular. Tiene enlace Web y enlace Onion.
• OnionLinks: otro gran repositorio de enlaces. No todos son recomendables. Precaución. 
• TorLinks: una lista con servicios y contenidos Deep Web. Buscadores, tiendas online (poco recomendables), hosting, subida de archivos, medios de información, foros, etc.
• List of Tor onion services: la Wikipedia recopila un buen puñado de enlaces Onion de lo más variado. Comunicaciones, medios de información, software libre, páginas gubernamentales, buscadores… No todos están en activo.
• Onion Links: una breve pero original lista de enlaces Onion hospedados en GitHub.
• La Wiki Oculta: uno de los principales directorios en español con enlaces Deep Web. Buscadores, foros, chats, prensa, bibliotecas, redes sociales…

Fuentes:
https://www.welivesecurity.com/la-es/2023/04/11/introduccion-investigacion-darkweb-orientada-ciberseguridad/