Phát hiện lỗ hổng nghiêm trọng trong công cụ GoBalance trên dark web

Các nhà nghiên cứu bảo mật vừa phát hiện một lỗ hổng có mức độ nghiêm trọng cao trong GoBalance, một công cụ thường được vận hành bởi các trang web trên dark web nhằm duy trì hoạt động trong các chiến dịch tấn công từ chối dịch vụ (DDoS). Điểm yếu này tạo điều kiện cho tin tặc khôi phục khóa bí mật chỉ bằng dữ liệu công khai để kiểm soát hoàn toàn địa chỉ .onion.

Cơ chế hoạt động và bản chất lỗ hổng

Theo thông tin từ hãng bảo mật Searchlight Cyber, mỗi địa chỉ .onion hoạt động dựa trên một cặp khóa công khai và khóa bí mật. Quyền kiểm soát địa chỉ thuộc về bên nắm giữ khóa bí mật. Các trang web thường phải công bố một bản ghi chữ ký mang tên descriptor để duy trì kết nối, và công cụ GoBalance đảm nhận vai trò ký các bản ghi này.

Sai sót kỹ thuật xảy ra ngay trong quy trình ký. Cụ thể, khóa bí mật của mạng lưới Tor có kích thước tiêu chuẩn 64 bytes, nhưng GoBalance chỉ trích xuất 32 bytes đầu tiên và bỏ qua phần còn lại. Chính phần dữ liệu bị lược bỏ này đóng vai trò quan trọng trong việc che giấu chữ ký số. Khi thiếu vắng nó, phần còn lại bị suy giảm thành một hằng số có thể dễ dàng tính toán bởi bất kỳ ai. Chỉ cần một bản ghi descriptor xuất hiện công khai, kẻ tấn công đã có đủ cơ sở dữ liệu để tái tạo lại khóa bí mật mà không cần xâm nhập trực tiếp vào máy chủ mục tiêu.

Phạm vi ảnh hưởng và ghi nhận thực tế

GoBalance thực chất là phiên bản tái lập trình bằng ngôn ngữ Go dựa trên công cụ Onionbalance truyền thống. Lỗ hổng này tác động trực tiếp đến các trang web tích hợp GoBalance thông qua bộ công cụ EndGame. Đáng chú ý, các chuyên gia xác nhận công cụ Onionbalance nguyên bản cùng toàn bộ hạ tầng mạng Tor không dính lỗi này.

Mức độ nguy hiểm càng gia tăng đối với các website lưu trữ khóa bí mật theo chuẩn truyền thống của Tor, trong khi những nơi áp dụng định dạng khóa nâng cao của GoBalance được bảo vệ an toàn hơn. Trên thực tế, sự cố đã bị khai thác trên diễn đàn Dread, nơi nhiều địa chỉ .onion bị chiếm đoạt quyền quản trị và tự động chuyển hướng người dùng sang một trang web đối thủ là Conclave.

Biện pháp khắc phục và khuyến cáo

Tính đến thời điểm hiện tại, đội ngũ phát triển GoBalance vẫn chưa phát hành bản vá chính thức. Dù vậy, một số nhà nghiên cứu độc lập đã chia sẻ mã nguồn vá lỗi tạm thời trên nền tảng GitHub.

Các chuyên gia bảo mật đưa ra cảnh báo khẩn cấp rằng việc cập nhật bản vá là chưa đủ đối với các hệ thống từng bị lộ khóa. Mọi địa chỉ .onion từng vận hành phiên bản GoBalance bị lỗi đều phải được xem là không còn an toàn, do việc khai thác và trích xuất khóa bí mật từ dữ liệu công khai hoàn toàn nằm trong tầm tay của tin tặc.