Devenir Barron de la Drogue sur le DeepWeb

Bon c'est un tutoriel que j'ai trouvé, qui semblait peu connu et avec quelques informations donc je le met ici :
(je ne prend aucune responsabilité c'est que pour votre savoir bien sur)

Les conseils dans cet article peuvent être adaptés à d'autres hidden services, y compris pour des services qui seraient légaux dans votre juridiction. Le cas d’école développé sera celui d'un drug market. Je ne suis qu'un vieux briscard qui a très souvent raison et qui ne peut pas s'empêcher d’éduquer les jeunes effrontés à propos du fonctionnement de notre monde. Si cet article vous inspire pour une petite virée criminelle et que vous vous faîtes péter, pas la peine de venir me voir en pleurnichant.

Vous en avez marre de votre vie de merde à travailler pour une boîte qui profite de vous, qui vous paye au lance-pierres et vous fait de fausses promesses. Je n’en ai rien à battre mon petit. J’ai connu celui qui faisait tourner DOXBIN, un hidden service assez populaire qui a été saisi par le FBI après avoir diffusé pendant 3 ans et demi des informations privées de n’importe quelle personne d’intérêt, avant d’être ensuite récupéré par les autorités. C’est parce qu’il a réussi à ne pas se faire prendre et aussi tout simplement parce qu’il a plus d’expérience dans l’exploitation de hidden services que la plupart des gens sur tor  que c’est une référence pour former d’autres personnes sur les hidden services et la sécurité. En d’autres termes ses conseils n’ont rien à voir avec tout le bullshit qu’on peut trouver en abondance sur internet. Bon assez parlé de moi, parlons maintenant de ton futur en tant que baron de la drogue sur internet.

Politique/Légal

Tout d’abord il faut s’intéresser aux aspects juridiques, historiques et politiques. Renseignez-vous sur les piliers des cartels de la drogue du 20ème siècle, intéressez vous à comment ils se sont construits et comment ils sont tombés (cela ne sert à rien de s’intéresser au soutien qu’un cartel a pu avoir sur un autre de la part d’une agence de renseignement car cela ne vous arrivera pas). Une fois que vous maîtrisez bien cela, lisez tout ce que vous pouvez sur les markets qui se sont fait serrer et les enquêtes de cybercriminalité. Cela ne vous fera pas de mal non plus de vous familiariser avec les tactiques des forces de l'ordre et des agences de renseignement. Vous constaterez que tous les plus grands mafieux sont tués ou vont en prison. Réfléchissez donc à ces leçons et ensuite vous pouvez commencer à chercher un bon avocat spécialisé dans les affaires de drogue. Il faut aussi avoir un plan pour être en mesure de le payer au cas où votre gouvernement saisirait tous vos biens. Pendant que vous rêvez de faire fortune, faîtes des recherches sur les traités d’assistance judiciaire mutuelle et d’extraditions, sachant que depuis le CLOUD Act promulgué en 2018 par Trump, les sociétés américaines doivent coopérer avec les autorités peu importe le pays dans lequel se trouve le serveur ou l’utilisateur.

Les traités d’assistance judiciaire (MLAT) parlent d’eux mêmes : un pays A aidera un pays B à faire tout ce qu'il faut pour lutter contre la cybercriminalité si les crimes sont commis à partir du pays A. Etablissez une première liste de pays qui ne coopèrent pas avec le votre pour ces affaires et ensuite établissez une seconde liste des hébergeurs basés dans ces pays. Réduisez ensuite cette seconde liste aux hébergeurs qui acceptent tor ou du moins ne l’interdisent pas dans leurs conditions générales d’utilisation (on s’en fout de la bande passante, on veut juste des relais, souvenez vous en pour plus tard dans l’article). Une dernière chose aussi mais qui a toute son importance, c’est d’extraire dans cette liste ceux qui proposent des moyens de paiement qui ne vont pas vous provoquer de sueurs froides, la NSA monitore toutes les transactions financières mondiales depuis au moins les années 70. Il faut éviter les hébergeurs qui se prétendent « bulletproof », la couche matérielle de votre serveur sera compromise et tout ce qui a de la valeur sera siphonné et ceci en plus de vous sur facturer leurs services. Evitez aussi tous les hébergeurs qui vendent des VPS pas chers et vous promettent de garantir votre vie privée.

Un traité d’extradition, cela signifie que si vous êtes dans un pays A et que vous faîtes quelque chose qui fait que vous êtes poursuivi par un pays B, le pays A va probablement vous donner un aller simple dans le pays B. Si/quand votre serveur est saisi et que vous savez qu’il y a le feu, il faut se replier dans un endroit qui ne vous renverra pas dans un pays où vous pourriez finir le reste de vos jours en prison. Il faut toujours s’assurer d’avoir assez argent pour payer les bonnes personnes dans votre nouvelle vie ou bien le chemin qui suivra sera extrêmement sinueux. Si vous êtes intelligent, vous vous installerez dans ce pays avant d’avoir des ennuis avec la police.

Une dernière chose avant de continuer : ne soyez pas stupide à essayer d’embaucher un tueur à gage qui tuerait quelqu’un. Il n’y a pas de prescription pour des faits de meurtre donc vous ne pourrez pas écrire de livre qui révélerait quel bad boy vous étiez quand toutes ces histoires ne seront qu’un lointain souvenir. Si dans votre nouvelle carrière vous avez atteint un point où tuer des gens aurait du sens alors c’est que c’est le moment de tout arrêter. Ne devenez pas corrompu comme Dread Pirate Roberts.

Technique

Cette partie peut s’appliquer à n’importe quel système d’exploitation. Vous devez consulter la documentation de votre système d’exploitation pour plus de détails. Faire tourner un hidden service et ne pas se faire arrêter par les flics, c’est un peu plus compliqué que juste installer des trucs et croiser les doigts. Les conseils de cette partie ne vous protégeront pas contre les failles encore inconnues qui pourraient être mises en œuvre concrètement mais ces conseils peuvent quand même vous aider à limiter les dégâts. N’oubliez pas que s’ils veulent prendre le contrôle de ton hidden service, ils y arriveront probablement. 

Avant d’installer bitswasp et tor, vous devez vraiment comprendre comment tor fonctionne. Allez sur freehaven.net et lisez les whitepapers jusqu’à en perdre la vue. Il ne faut pas arrêter tant que vous n’avez pas tout lu. Portez une attention particulière sur les documents concernant les hidden services. Si vous sentez que vous n’avez pas tout compris, revenez les lire une fois que vous aurez davantage de connaissances. De nombreux documents expliquent les mêmes concepts avec juste de légères différences dans l’introduction. Il ne faut pas simplement survoler les documents car peut être qu’avec la manière de s’exprimer d’une personne, vous comprendrez un concept qu’une autre personne n’a pas réussi à vous faire comprendre avec ses propres mots. Revenez régulièrement sur freehaven. Une fois que vous êtes prêts, la meilleure chose à faire ensuite c’est de suivre les listes de diffusion du projet tor.   

Pendant que vous lisez tout ça, vous pouvez déjà aller de l’avant et installer tor sur un serveur de votre réseau local, pour simplement pratiquer. Gardez à l’esprit que la NSA commencera à ramasser tous vos paquets transmis par la couche réseau et ceci simplement parce que vous avez visité torproject.org. Cela veut dire qu’il ne faut pas par exemple poser de question sur le développement de votre market sur Stack Exchange si vous ne voulez pas donner à votre gouvernement des indices qu’il pourrait recoller. Une fois que vous avez votre hidden service fonctionnant pour http et ssh, vous allez faire vos premiers pas vers l’anonymat : liez votre hidden service à localhost et redémarrez le.

La prochaine étape dans votre parcourt pour changer à jamais le commerce de la drogue est de comprendre comment le trafic est redirigé vers un proxy au niveau de la couche réseau et comment configurer un par-feu pour votre système d’exploitation. Il faut s’assurer que les règles configurées pour le par-feu fonctionnent vraiment. Cela vous protégera des attaques qui feront que votre serveur enverra des données sur un serveur qu’un pirate contrôle, ce qui est très utile pour contrecarrer les tentatives d’obtention de l’IP de votre serveur. Vous voulez une installation similaire à la moyenne des serveurs anonymes, de préférence sans adresse IP publique et si votre application est compromise tor n’est pas touché.

En parlant d’application, il faut tout faire pour s’assurer que le code de l’application qui tourne sur votre hidden service n’est pas une passoire. Pour se protéger contre d’autres types d’attaque, il faut identifier tous les logiciels pré-compilés que vos utilisateurs toucheront et compilez les vous même avec Hardening ou tout autre équivalent, avec n’importe quelle option que vous voulez utilisez. Si vous minimisez les failles de votre application et de votre serveur alors vos plus gros soucis seront liés au réseau tor.

Vous vous connecterez uniquement à votre serveur de prod par un hidden service. C’est une bonne idée de commencer par prendre cette habitude. La seule chose pour laquelle c’est acceptable de ne pas suivre ces règles c’est pour mettre à jour tor, vous devez avoir un script prêt pour supprimer les règles de votre firewall et dissocier ssh de localhost juste le temps de vous connecter, faire la mise à jour, réappliquer les règles de votre firewall et lier ssh à localhost de nouveau. Si vous n’êtes pas prêt à faire face à de la latence, vous n’êtes pas prêt pour faire cela. N’oubliez pas de rediriger aussi le trafic de votre ordinateur vers un proxy de la couche réseau, cela évitera de se tromper par erreur. 

Au niveau de votre ordinateur, vous devez automatiser le processus pour mettre en place votre hidden service et le détruire. Changez de serveur régulièrement pour contrecarrer les tentatives de localisation et de saisie de votre site par les forces de l’ordre. Votre script de création doit comprendre l’application ainsi que ses fichiers de configuration. Votre script de destruction doit détruire toutes les preuves, de préférence avec un outil comme srm.

Il faut toujours sélectionner un fuseau horaire qui ne correspond pas avec la localisation du serveur. Il faudra faire de même avec l’ordinateur avec le quelle vous accédez tous les jours au hidden service. Si vous lisez les whitepapers vous remarquerez probablement un thème récurrent, les attaques qui utilisent comme biais l’horloge et qui sont principalement dirigées directement vers les clients. Tor ne démarre pas si votre horloge est trop décalée. 

Si pour vous la sécurité c’est plus important que l’argent, vous pouvez également mettre périodiquement votre serveur hors ligne afin de brouiller les tentatives de faire correspondre vos périodes d’inactivités aux données publiques. Si vous êtes le genre de personne qui a accès à des botnets, vous pouvez ddos des fournisseurs et attendre qu’une personne permette de faire le lien. Cette technique ne marchera qu’avec les gens qui recherchent via des informations publiques mais ne marchera pas avec les moyens que peut mettre en place un pays.

Je vous ai gardé le plus dur pour la fin de cette partie. C’est compliqué car il faut faire des choix et on ne peut pas dire lesquels sont les meilleurs. C’est un peu comme choisir entre une Peugeot ou une Renault. Dans cet esprit, tout ce que je peux faire c’est vous présentez les différentes possibilités tel que Hérodote l’aurait fait.

Une chose pour laquelle vous devez trancher, c’est si vous voulez faire tourner votre hidden service comme un relai ou non. Si c’est un relai alors le trafic d’autres utilisateurs innocents vous couvrira mais si votre relai tombe en même temps que votre hidden service, il sera probablement beaucoup plus remarqué. Beaucoup de plaintes ont abouties sur des saisies de hidden services qui n’étaient pas des relais mais Operation Onymous a réussi à stopper 3 relais à peu prêt au même moment donc ce n’est pas une défense garantie. Le choix vous appartient.

Vous vous souvenez quand je vous ai dit de faire une liste des hébergeurs qui n’interdisent pas tor ? C’est le moment où vous pouvez aider la communauté sous forme de relai tor ou de ponts au même titre que Pablo Escobar construisait des villes ou des hôpitaux mais qui servaient surtout ses intérêts. Vous allez acheter plusieurs serveurs pour les configurer comme relais ou ponts puis configurer votre hidden service pour utiliser uniquement ces relais ou ponts pour entrer dans le réseau tor. Maintenant cela va commencer à devenir théorique. 

Si votre adversaire effectue sur votre hidden service une attaque de type guard node discovery avec laquelle il peut déterminer le nœud que vous utilisez pour entrer sur le réseau tor et que les relais d’entrée vous appartiennent alors les seul ennuis possibles seront des attaques par déni de service si bien sûr on ne peut pas relier le relai à votre identité. Si vous décidez d’entrer dans le réseau tor avec des nœuds de pont, cela ralentirait probablement votre adversaire mais si c’est une agence de renseignement qui a de gros moyens alors il y aurait moins de trafic à sniffer ce qui rend les corrélations plus simples. Un nœud de pont permet par contre l’utilisation de obfsproxy qui permet que le trafic apparaisse comme un autre type de trafic et c’est une bonne défense contre les pays autres que les Five Eyes. Par exemple votre hébergeur pourrait décider de monitorer le trafic venant de tor pour des raisons qui leurs sont propres. Assurez vous qu’on ne puisse pas lier les relais ou ponts entre eux ou à vous.

Une dernière chose à propos des attaques de type guard node discovery, le laboratoire de recherche naval des USA a publié un article en juillet 2014 sur les attaques de type sniper qui fonctionnent en quelques mots de la manière suivante : votre adversaire découvre vos nœuds de garde et par déni de service vide la mémoire de tous vos nœuds et l’attaquant continue à la faire jusqu’à ce que votre hidden service utilise des nœuds de garde qu’il contrôle alors le jeu est fini. Si vous nœuds de sortis sont tous spécifiés dans votre fichier torrc et qu’ils sont tous attaqués par deni de service alors votre hidden service sera hors ligne. Dans cette situation vous savez que vous êtes ciblé et que c’est peut être le bon moment pour réserver votre billet vers le pays que vous avez choisi qui n’a pas de traité d’extradition avec le votre. Pour ceux d’entre vous qui ont déjà écrit des exploits, c’est le même principe que les systèmes qui empêchent les programmes d’écrire en dehors de leur zone mémoire allouée et qui rendra l’application inutilisable ou l’exploit inefficace. Je recommande une liste de relais ou ponts qui évolue sans arrêt, vous pouvez en ajouter de nouveaux périodiquement et laisser les vieux en impayé.

Sécurité opérationnelle (OPSEC)

Cette partie est critique, particulièrement quand les choses commencent à mal tourner. Suivre cette partie ou non peut faire la différence entre la liberté et la prison. 

Le trafic de votre ordinateur vers tor doit être redirigé avec un proxy au niveau de la couche réseau. C’est une bonne manière pour commencer à se protéger mais c’est loin d’être la seule.

Ne jamais mélanger son identité réelle avec son identité sur tor. Si vous voulez un jour peser dans le game, commencez par aller payer en cash un nouvel ordinateur. Vous n’avez pas besoin du meilleur ou du plus cher mais vous devez pouvoir faire tourner linux. Pour plus de sécurité, n’opérez pas du sous-sol de votre mère ou de n’importe quel endroit qui vous est habituellement associé. Eteignez votre téléphone lorsque vous partez pour gérer votre business pour que les relais téléphoniques ne puissent pas vous tracer. Une dernière chose aussi mais qui est très importante, c’est de ne pas parler des mêmes sujets avec vos différentes identités et d’essayer de changer votre style d’écriture. 

Il ne faut jamais enregistrer les conversations. Si vous vous faites péter et qu’on retrouve des logs, les autorités les utiliseront pour attraper d’autres personnes. Les logs sont bons pour les flics et autres indics et ne servent à rien pour quelqu’un dans votre position. Gardez-les dans votre tête ou ne gardez rien du tout.

Il arrivera un moment où votre entreprise devra embaucher. Si vous voulez en savoir trop sur eux, soit ils penseront que vous êtes un indic, soit vous embaucherez uniquement des débiles qui n’ont jamais pensé à tout ça. Cela faciliterait aussi la tâche des autorités pour arrêter vos employés si jamais vous vous faîtes serrer. Si votre entreprise est de nature criminelle et que vous vendez des produits ou services illicites ou bien si vous êtes dans un pays répressif qui aime punir ses dissidents, un moyen de débusquer rapidement les flics c’est de les forcer à faire un truc illégal, très sale, le plus vite possible. Il ne faut pas laisser le temps à la personne d’obtenir les autorisations pour commettre ce crime. S’il y a un laps de temps trop important entre le moment où on leur donne du travail et quand il est effectué, vous pouvez supposer que vous avez affaire à un flic infiltré et vous devriez trouver une autre personne. Si le travail est démarré sur le champ tout ira bien sauf si vous avez affaire au prochain maître Splynter.

La désinformation est essentielle pour pouvoir continuer à opérer en toute liberté. Préparez des scénarios afin de tester vos contacts, ce n’est pas grave s’ils se rendent compte qu’ils sont testés. Faites en sorte de glisser des détails sur vous par erreur qui sont faux. Tu ne voudrais pas ressembler à Ernest Lehmitz, un espion allemand qui pendant la seconde guerre mondiale qui envoya des lettres ennuyeuses sur lui-même contenant des écrits cachés à propos des mouvements des navires. Il s’est fait prendre car ses lettres contenaient des détails personnels que le FBI a pu corréler pour le retrouver après avoir intercepter seulement 12 lettres. Diffuser de la désinformation à propos de soit prend du temps mais avec l’habitude vous ne vous en rendrez même plus compte.

Assurez vous que vos communications et données soient toujours cryptées que ce soit au moment où elles sont envoyées ou bien stockées. Cela signifie que vous devez utiliser PGP pour les e-mail et OTR pour les messageries temps réel. Si vous devez donner des données à quelqu’un, commencez par les chiffrer. Pour l’ordinateur que vous utilisez pour administrer votre hidden service via le réseau tor, vous devez chiffrer complètement le disque. Il faut choisir le mot de passe le plus long et le plus complexe possible que vous pouvez retenir (« chipie1337 » n’est pas l’exemple d’un bon mot de passe). Enfin et surtout, lorsque vous avez fini d’utiliser votre ordinateur dédié à tor, il faut boot sur memtest86+. C’est un outil qui permet de vérifier s’il y a des problèmes au niveau de la mémoire ram mais et pour se faire il doit écrire dans chaque adresse. Cela permet donc d’effacer le contenu de la mémoire RAM. Simplement éteindre son ordinateur n’est pas suffisant.  Si vous choisissez d’utiliser Tails OS, votre ram sera nettoyée automatiquement lorsque vous éteindrez votre ordinateur. Si vous êtes parano, vous pouvez également retirer le cordon d’alimentation ou la batterie. Les puces électroniques perdront les informations stockées et vos clefs avec. La police peut débarquer chez vous à  n’importe quelle heure mais si vous suivez ces étapes et que vous refusez de donner votre mot de passe alors vous ferez pleurer James Comey comme un bébé. 

Il faut utiliser de fausses informations lors de l’inscription aux services d’hébergement. Utilisez des moyens de paiement difficilement traçable et il ne faut pas hésiter non plus à fournir de fausses factures. Si votre serveur est saisi ou bien que votre hébergeur crache l’info ou bien si un groupe de pirates réussit à s’emparer de la base client de votre fournisseur (oui cela arrive plus souvent que vous ne le pensez), les informations récoltées mèneront vers une voie sans issue. Pour les personnes qui ont été identifiée grâce à Operation Onymous, ce serait parce qu’elles ont donné des infos réelles pour souscrire à un service d’hébergement puis leur serveur a été démasqué. 

Parlons argent : vous allez devoir trouver comment blanchir vos nouveaux revenus. Vous ne devez pas utiliser des services de blanchiment de bitcoin. Vous ne devez pas non plus acheter une Ferrari et vous balader avec. Lorsqu’on vit au dessus de ses moyens, cela déclenche des enquêtes. Souvenez vous que l’argent peut également compromettre votre identité. Blanchir l’argent dans le marché de la drogue est une tradition et vous auriez tort de ne pas vous y intéresser. Vous pouvez seulement utiliser vos bénéfices pour envoyer des colis shitexpress.com aux gens que vous n’aimez pas.

Ne pas oublier : si vous comptez uniquement sur tor pour vous protéger, vous allez vous faire serrer et les gens comme moi se foutront de votre gueule. Rappelez vous qu’il y a quelqu’un là-bas qui observe sans arrêt et il faut savoir quand c’est le moment de fuir. Essayez de rester en sécurité lorsque vous enfreignez les lois. Pour reprendre les mots de Sam Spade « Success to crime ! ».

            ok

Le 03/05/2021 à 18:56, kbalzz a dit :

salut merci pour ce tutoriel qui en apprend beaucoup, tu as des forums français du DW à conseiller histoire d'aller jeter un oeil sans passer pr un skid mdr ?

non pas du tout