27/10 · 15h – 16h30
Conteúdo extra
Atrás do Firewall
Como Malwares Utilizam a Rede Tor para Escapar da Detecção
01 — O que vimos
Por que malware ama o Tor
O tráfego passa por três relays com três camadas de criptografia. Nenhum nó sabe ao mesmo tempo quem envia e para onde vai.
Servidores de comando e controle como serviços ocultos não têm IP público para bloquear nem domínio para derrubar.
Famílias de ransomware e botnets carregam o cliente Tor ou bibliotecas próprias para falar com o C2 sem depender do sistema.
obfs4, meek e Snowflake disfarçam o Tor como tráfego comum, driblando DPI e listas de bloqueio.
Dados roubados saem cifrados por circuito Tor, misturados a tráfego TLS que parece legítimo.
Gateways na web clara permitem que o malware alcance .onion via HTTPS comum, sem rodar Tor localmente.
02 — Como detectar
Checklist do defensor
- Compare conexões de saída com a lista pública de relays do Tor (consensus / Onionoo).
- Monitore portas típicas como 9001, 9030, 9050 e 9150.
- Busque consultas DNS terminadas em .onion e domínios tor2web.
- Use JA3/JA4 para identificar o fingerprint TLS do cliente Tor.
- Regras Suricata/Zeek e Sigma para processos tor.exe fora do lugar.
- Política de egress: negue por padrão e libere só o necessário.
- EDR atento a binários que abrem SOCKS local e criam circuitos.
03 — Para estudar
Ferramentas e fontes
O Tor é uma ferramenta legítima de privacidade. O objetivo aqui é entender o abuso para defender melhor.
Conecte-se
