Quando si parla di cyber crime, terrorismo, intelligence ambientale e via dicendo, si fa riferimento a scenari complessi in cui agire è un previlegio riservato a pochi tecnici: in questi ambiti è sempre più frequente l’uso di tecniche di OSINT Intelligence per l’individuazione di tracce criminose come quelle finanziarie a sostegno delle attività criminose.
Finanziamenti che, attualmente, si sono spostasti nel mondo delle criptovalute e il Web è il miglior posto per far crescere tali illeciti: pensiamo al Deep Web o al Dark Web con l’aggiunta dell’anonimato, un vero paradiso per i cyber criminali.
In Italia il D.lgs. n. 90/2017, attuativo della Direttiva relativa alla prevenzione dell’uso del sistema finanziario a scopo di riciclaggio dei proventi di attività criminose e di finanziamento del terrorismo, denota la presa di coscienza da parte del legislatore nazionale circa la pericolosità dell’anonimato delle transazioni finanziarie.
Non dimentichiamo che il finanziamento delle organizzazioni terroristiche è un crimine distinto dal terrorismo stesso ed è divenuto crimine internazionale nel 1999 con la “Convenzione di New York”. Il Framework for Future Alliance Operations (FFAO) Report 2018 con cui la Nato analizza le possibili situazioni di instabilità fino al 2035 ed oltre, definisce i possibili eventi futuri la cui criticità richiederà l’utilizzo dello Strumento militare. Per sopravvivere e finanziarsi, il terrorismo ha bisogno della copertura dei paradisi fiscali, per cui è necessario combattere là dove esso si alimenta, così da togliergli linfa vitale.
Indice degli argomenti
Utilizzo di OSINT Intelligence: uno use case reale
Durante una mia ricerca-consulenza in ambito di criptomonete ho utilizzato tecniche di OSINT intelligence avanzato per tenere traccia dell’attività di valuta crittografica sospetta.
Intanto è stato utile analizzare i vari elementi in gioco:
- i Bitcoin sono unità di conto composte da stringhe uniche di numeri e lettere che costituiscono unità di moneta e hanno valore solo perché i singoli utenti sono disposti a pagare per loro. Gli indirizzi Bitcoin, che dunque funzionano come conti correnti, non hanno nomi o altra identificazione del cliente e il sistema non ha server o un servizio centralizzato;
- i siti del Dark Web dedicati alle operazioni illegali, in cui si trova un po’ di tutto: progetti, ricerche di mercato, e-mail ordinarie o compromettenti, credenziali, numeri di carte di credito e informazioni personali. Una miniera di informazioni che permette di giocare sporco spaziando dai furti di identità alla concorrenza sleale.
In particolare, lo studio si è concentrato nella ricerca delle “impronte” lasciate nel Web e nel Dark Web, analizzando una serie di parametri illustrati di seguito.
Lo scenario è composto da:
- un sito bancario che vende “conti offshore” anonimi per attività illecite;
- servizi “The Dark Web Services” dove troviamo servizi illegali pagati in cryptovaluta. Si tratta, in particolare, di una raccolta di siti Web su una rete crittografata con indirizzi IP nascosti, il che offre agli utenti una forte protezione dell’anonimato. Poiché non sono indicizzati dai motori di ricerca tradizionali, si può accedere solo con speciali browser di anonimato, come I2P , Freenet e il pacchetto The Onion Router (TOR) più comune.
Durante la ricerca-consulenza non serviva identificare se si trattava di siti di truffa o meno, piuttosto, identificare la relazione tra loro, dimostrare se i servizi acquistati e il conto offshore fossero della stessa persona e tracciare le loro impronte digitali Blockchain su uno scambio di criptovaluta.
La ricerca non è stata semplice e consisteva nell’identificare la relazione tra determinati siti, tenuto conto che ci sono anche un certo numero di “impronte digitali” che un sito pur anonimo può lasciarsi alle spalle.
Ho quindi analizzato le impronte dei portafogli di criptovaluta attraverso il web per capire chi si poteva nascondere,ricercando le varie attività svolte e confrontandole con le persone coinvolte. Sono stati applicati anche processi di Intelligenza Artificiale, tra cui la PNL (Natural Language Processing) e l’OCR (Optical Character Recognition), con cui è possibile identificare e contrassegnare citazioni di portafogli crittografici in post, immagini o altro.
L’analisi è stata svolta tenendo conto di diversi parametri riportati di seguito.
Utilizzo di OSINT Intelligence: strumenti di analisi
Innanzitutto, nella fase preparatoria di indagini del genere è fondamentale dotarsi degli strumenti idonei:
Fresh Onions è un servizio nascosto che implementa un crawler/spider di servizi nascosti per Tor e sito Web. Fondamentalmente, illustra qualsiasi informazione nascosta che potremmo non vedere su un sito di Onion ed è ottima per identificare una di queste “impronte digitali” che stiamo cercando.
Il sito, esso stesso un servizio nascosto, differisce dai wiki nascosti di base per diversi motivi: innanzitutto, esegue mediante algoritmo la scansione del database per lo stato di uptime ogni 1-3 ore evidenziando i siti inaccessibili.
Le transazioni in Bitcoin non sono così anonime come si crede. Lo dimostra il servizio walletexplorer.com, che si occupa della scoperta delle attività nella rete Bitcoin.
Identificazione delle “impronte digitali” dei servizi Web oscuri
La relazione tra i due siti del Deep Web e del Dark Web identificati nello scenario della nostra analisi può essere identificata utilizzando il crawler Fresh Onions.
In particolare, in ambito di ricerca per l’analisi delle tracce, cerchiamo un’impronta digitale SSH. Si tratta, essenzialmente, di un marcatore unico che trasporterà un sito. Con Fresh Onions possiamo vedere tutti gli altri siti che contengono la stessa impronta digitale.
Come utilizzare Blockchain Forensics sulle transazioni
Il primo passo per qualsiasi analisi di un sito Web “oscuro” è individuare il suo indirizzo di criptovaluta. Possiamo trovare diverse valute, ma di solito è il Bitcoin il sovrano del mondo cripto e per fortuna ha una blockchain molto pubblica.
L’analisi di un solo indirizzo Bitcoin consente di rispondere ad alcune domande:
- Quante transazioni hanno avuto luogo?
- Da dove proviene il denaro e quanto?
- Dove è stato inviato il denaro e quanto?
- Esiste una cronologia storica delle transazioni?
- Esistono altri indirizzi Bitcoin associati in quel portafoglio?
Attraverso il Wallet Explorer siamo poi in grado di identificare qualsiasi altro indirizzo Bitcoin di proprietà dello stesso portafoglio.
Utilizzo di OSINT Intelligence: fase operativa
Quando accediamo agli indirizzi Bitcoin attraverso la sezione “Acquisto” del sito Web, possiamo identificare due indirizzi principali:
- l’indirizzo del sito “banca”;
- l’indirizzo del sito “del servizio del Dark web”.
La relazione tra questi due siti Web è che provengono dallo stesso portafoglio, nel senso che sono di proprietà della stessa entità o persona. Questa relazione è stata ricavata cercando su Wallet Explorer, da dove è possibile identificare la doppia proprietà degli indirizzi semplicemente inserendone uno nella funzione di ricerca (oppure premendo CTRL+F da tastiera) e quindi rivelando l’intero portafoglio.
Utilizzo di OSINT Intelligence: tracciamento dei pagamenti
Le transazioni pagate su questi conti sono come dovrebbero apparire: delle normali transazioni quando visualizzate sulla Blockchain. Nel nostro caso, nella transazione analizzata vediamo denaro spostato da un indirizzo Bitcoin all’indirizzo del servizio del Dark Web.
Dall’analisi risultano diversi indirizzi inclusi nello stesso scambio. Per questa transazione, l’indirizzo del destinatario chiave che si termina in Ndpe può essere una delle due cose:
- un servizio di mixaggio Bitcoin;
- uno scambio.
Per molti venditori sul Web oscuro, un servizio di mixaggio di criptovaluta garantisce l’anonimato in quanto essenzialmente rimescola gli indirizzi e i pagamenti effettuati: perfetto per venditori illegali e truffatori, ma non per i “cacciatori di tracce” che seguono l’impronta.
Ndpe è un indirizzo univoco in quanto la maggior parte dei suoi pagamenti viene effettuata nell’indirizzo Bitcoin. Questo indirizzo Bitcoin determina la traccia univoca di appartenenza: nel nostro caso, appartiene ad un “exchange di criptovalute”, cioè uno scambio di criptovaluta registrato.
Analisi Blockchain dell’indirizzo Ndpe
L’indirizzo di Ndpe appartiene ad un determinato portafoglio che, analizzato, contiene più di 140 mila indirizzi Bitcoin molti dei quali vedono grandi volumi di transazioni ogni giorno.
Ndpe è probabilmente l’indirizzo Bitcoin di uno scambio, o potrebbe essere un servizio di burattatura Bitcoin molto usato, che spiegherebbe l’ampio volume di indirizzi Bitcoin che contiene nel suo portafoglio, permettendogli essenzialmente di mescolare le transazioni.
Conclusioni
Dall’analisi si è dunque riscontrato che questi due siti di Onion nel web oscuro sono gestiti dallo stesso proprietario.
Ciò significa che c’è una relazione di fondi da questi due siti, con l’indirizzo Ndpe sulla blockchain. Esiste, inoltre, anche una relazione finanziaria in corso tra l’indirizzo Ndpe e altri indirizzi nello stesso portafoglio.
