W erze cyfrowej, gdzie zagrożenia związane z cyberatakami są na porządku dziennym, istnieje mniej znany, ale niezwykle aktywny świat cyberprzestępczości – kanały sprzedaży exploitów w darknecie. To właśnie tam toczy się czarnorynkowy handel podatnościami typu zero-day, narzędziami do eksploatacji luk, dostępami do infrastruktury firmowej oraz kompletnymi pakietami malware.
Czym są platformy wymiany exploitów?
Fora darkwebowe skupione na podatnościach to zamknięte, często szyfrowane i trudno dostępne platformy (działające m.in. w sieciach Tor lub I2P), które służą jako giełdy wymiany:
- eksploitów (0-day, 1-day)
- PoC na nowe podatności (Proof of Concept)
- narzędzi ofensywnych (malware, cryptery, C2 frameworki)
- danych uwierzytelniających i dostępów do firm (Initial Access Brokers)
- usług ataków na zlecenie (hacking-as-a-service)
Struktura i działanie forów
Aby uzyskać dostęp do takiego forum, zazwyczaj wymagane jest:
- zaproszenie od istniejącego użytkownika (tzw. vouching)
- opłata członkowska (w kryptowalutach)
- reputacja lub wcześniejsze dowody wiedzy technicznej
Komunikacja odbywa się najczęściej przy użyciu komunikatorów szyfrujących (np. Jabber/OTR, Tox) oraz poprzez escrow, co ma ograniczać ryzyko oszustwa.
Popularne miejsca handlem podatnościami
- Exploit.in – jedno z najdłużej działających forów, znane z ofert RDP i VPN
- XSS.is – rosyjskojezyczne forum z naciskiem na techniczne exploity
- RAMP – forum związane z ransomware (Conti)
- 0day.today – repozytorium PoC (dostęp publiczny i premium)
- BreachForums (następca zamkniętego RaidForums) – miejsce handlu danymi i exploitami
Rodzaje oferowanych exploitów i treści
- 0-day i 1-day RCE (Remote Code Execution)
- Luki w popularnym oprogramowaniu: MS Exchange, VPN-y, Active Directory
- Narzędzia do bypassu EDR/AV
- Exploity na mobilne systemy (Android/iOS)
- Moduły do Cobalt Strike, Sliver, Metasploit
- Gotowe skrypty do phishingu i AiTM
Ceny i popyt
Cena exploita zależy od:
- jego skuteczności (np. pre-auth RCE bez interakcji użytkownika)
- celu (korporacje, urzędy państwowe, infrastruktura krytyczna)
- rzadkości (0-day vs 1-day)
Przykładowe ceny:
- iOS WebKit 0-day: $500,000+
- RCE w Microsoft Exchange: $200,000
- Windows priv-esc: $10,000–$25,000
Kto korzysta?
- Grupy ransomware i przestępcze (np. FIN7, LockBit affiliates)
- APT (cyberwywiad państwowy)
- Red teamerzy (rzadko i ostrożnie)
- Cyberoszuści i „fejkowcy” (próbujący sprzedać nieistniejące exploity)
Ryzyko i działania organów ścigania
Fora są intensywnie monitorowane przez:
- FBI, Europol, CERT
- firmy analityczne (Mandiant, Flashpoint, Intel471)
Część forów to honeypoty, inne już zostały przejęte i zamknięte. Udział w takim forum wiąże się z dużym ryzykiem prawnym, technicznym i finansowym.
Skala wykorzystania exploitów z forów darknetowych
Fora darkwebowe skupione na podatnościach to nie tylko miejsca handlu, ale także fundament operacji cyberprzestępczych i wywiadowczych. Skala ich wykorzystania obejmuje:
- Ponad 40% incydentów ransomware rozpoczęło się od exploitów 1-day ujawnionych najpierw na forach darknetowych.
- Exploity na popularne oprogramowanie są wystawiane w ciągu 24-48 godzin od publikacji CVE.
- Tysiące celów może zostać zaatakowanych w ciągu dni od pojawienia się exploita (automatyczne skanowanie Shodanem, Masscanem).
- Eksploitacja jako usługa (Exploit-as-a-Service) pozwala na ataki nawet przez technicznie niedoświadczonych użytkowników.
- Przykład: Log4Shell (CVE-2021-44228) pojawił się na forach darknetowych w ciągu 6 godzin od PoC, a w ciągu 48 godzin był wykorzystywany globalnie przez grupy APT.
Darknetowe przykłady
- Oferta narzędzia do obejścia zabezpieczeń Windows Defender [Portal Exploit.IN]
- Handel podatnościami i szkoleniami do ich wykorzystania [Telegram]
W mrocznym zakątku internetu kryje się rynek cyberbroni. To świat, w którym stawki są wysokie, a techniczna wiedza ma kluczowe znaczenie, ale jednocześnie wiąże się z ogromnymi zagrożeniami. Zrozumienie tego tematu to obowiązek nie tylko dla badaczy bezpieczeństwa, ale także dla organizacji, które pragną skutecznie bronić się przed zaawansowanymi zagrożeniami.
Usługa wspierająca walkę z zagrożeniami: Aurora DarkWatch
W odpowiedzi na dynamiczne zmiany w środowisku zagrożeń, wprowadziliśmy usługę monitorowania darknetu: Aurora DarkWatch – usługa dostarczająca aktualnych informacji o zagrożeniach z for darknetowych, kanałów komunikacji cyberprzestępców oraz luk typu zero-day. Aurora DarkWatch umożliwia:
- monitorowanie aktywności for, gdzie pojawiają się exploity
- wykrywanie wycieków danych firmowych
- automatyczne ostrzeganie o lukach pojawiających się w obiegu przestępczym
- wykrycie planowanego ataku jeszcze przed jego przeprowadzeniem
Dzięki Aurorze DarkWatch firmy są w stanie zminimalizować ryzyko ataków przez wykorzystanie podatności, a także skrócić czas reakcji w przypadku wycieków danych, do których doszło na przykład za pomocą phishingu.
Zainteresował cię ten obszar? Napisz na eksperci@itpunkt.pl lub wypełnij poniższy formularz.
