Handel in TLS/SSL-certificaten op dark web

Venafi heeft de resultaten bekendgemaakt van een onderzoek naar het aanbod van TLS/SSL-certificaten op het dark web en de invloed daarvan op cybercriminaliteit. Het onderzoek is uitgevoerd door academici van de Evidence-based Cybersecurity Research Group van de Andrew Young School of Policy Studies at Georgia State University en de University of Surrey en is gesponsord door Venafi. Het onthult een groeiende handel in TLS-certificaten, die zowel afzonderlijk worden verkocht als verpakt met een scala aan crimeware. Met de aangeboden diensten kunnen cybercriminelen een machine-identiteit nabootsen om websites en versleuteld verkeer af te luisteren, ‘man-in-the-middle’ aanvallen uit te voeren en gevoelige gegevens te stelen.

Belangrijke onderzoeksresultaten:

• Vijf van de onderzochte Tor-netwerken hebben een continu aanbod van TLS/SSL-certificaten, in combinatie met gerelateerde diensten en producten.
• Certificaatprijzen variëren van $ 260 tot $ 1.600, afhankelijk van het type certificaat dat wordt aangeboden en het aantal bijbehorende diensten.
• Er zijn validatiecertificaten met diensten te koop ter ondersteuning van kwaadaardige websites, zoals Google-geïndexeerde ‘oude’ domeinen, after-sales support, webdesigndiensten en integratie met verschillende betalingsverwerkers – waaronder Stripe, PayPal en Square.
• Minimaal één leverancier op BlockBooth belooft certificaten uit te geven van gerenommeerde certificaatautoriteiten, samen met vervalste bedrijfsdocumentatie – inclusief DUNS-nummers. Met dit pakket aan producten en diensten kunnen aanvallers zich op geloofwaardige wijze presenteren als een betrouwbaar Amerikaans of Brits bedrijf voor minder dan $ 2.000,–.

Onderzoeksmethode

De academische onderzoekers hebben van oktober 2018 tot januari 2019 online markten en hackerfora onderzocht die actief waren op het Tor-netwerk, I2P en het Freenet. Daar zochten ze naar advertenties van te koop aangeboden gecompromitteerde en vervalste TLS-certificaten. Tijdens genoemde periode heeft het onderzoeksteam elke week 16 zoekopdrachten uitgevoerd en daarmee bijna 60 relevante online markten op Tor en 17 webpagina’s op I2P ontdekt. Tevens hebben ze een aantal aangeboden certificaten gedetailleerd onderzocht en met enkele verkopers gecommuniceerd om beter inzicht te krijgen in de aangeboden diensten. 

Gespecialiseerde markten voor TLS-certificaten

Eén representatieve zoekopdracht op vijf marktplaatsen heeft maar liefst 2.943 vermeldingen van ‘SSL’ en 75 van ‘TLS’ opgeleverd. Ter vergelijking, er waren maar 531 vermeldingen over ‘ransomware’ en 161 voor ‘zero days’. Het was ook duidelijk dat een aantal marktplaatsen – zoals Dream Market – zich lijkt te specialiseren in de verkoop van TLS-certificaten. Deze leveren de kopers effectieve ‘machine-identiteit-als-een-service’. Bovendien ontdekten de onderzoekers dat certificaten vaak worden verpakt met andere crimeware, waaronder ransomware.