Technische Samenvatting: Thematische Verschuivingen op het Dark Web

Probleemstelling

Het dark web fungeert als kritieke infrastructuur voor cybercriminaliteit, doch bestaand onderzoek behandelt dit ecosysteem grotendeels via statische momentopnames of kortetermijncorpora. Eerdere studies richten zich op het extraheren van actievere Cyber Threat Intelligence (CTI), zoals indicatoren van compromittering of marktplaatsvermeldingen, waarbij vaak wordt vertrouwd op woordenlijstgebaseerde methoden of beperkte toepassingen van machine learning. Er bestaat een aanzienlijke leemte in het begrijpen hoe cybercriminele discussies in de loop van de tijd evolueren. Huidige benaderingen onderscheiden niet tussen stabiele kernactiviteiten en vluchtige trends, omdat ze een longitudinaal perspectief missen. Zonder het volgen van het ontstaan, het voortbestaan en het verdwijnen van onderwerpen binnen het bredere ecosysteem van cybercriminaliteit, blijft veiligheidsanalyse reactief in plaats van strategisch.

Methodologie

Deze studie hanteert een longitudinale analyse van dark web-forums en marktplaatsen met behulp van een dataset van 25.065 websites en 11.403.638 HTML-momentopnames verzameld over een periode van zes jaar (2020–2026), goed voor ongeveer 1.245 GB aan data. De methodologie verloopt via drie hoofdfasen:

1. Datapreprocessing en Structurering:

   • Groepering van websites: Momentopnames werden gegroepeerd op basis van bestandspad en paginatitel om stabiele website-identiteiten te definiëren. Groepen met minder dan vier momentopnames werden uitgesloten om voldoende temporele diepgang te waarborgen.
   • Content-extractie: De bibliotheek trafilatura werd gebruikt om de belangrijkste tekstuele content te extraheren, waarbij scripts en navigatie-elementen werden verwijderd.
   • Normalisatie: Tekst werd gefilterd op Engelse taal, omgezet naar kleine letters, en ontdaan van URL's, e-mailadressen, leestekens en niet-linguïstische artefacten. Tokens werden gelemmatiseerd met WordNet en stopwoorden werden verwijderd.

2. Pijplijn voor Ontdekking van Onderwerpen:

   • Embedding: Documenten werden omgezet in semantische vectoren met DARK-BERT, een domein-geadapted transformer-model getraind op cybersecurity- en darknet-corpora, geselecteerd boven algemene modellen (MiniLM, AttackBERT) vanwege superieure semantische coherentie.
   • Dimensiereductie: Uniform Manifold Approximation and Projection (UMAP) reduceerde de embedding-dimensies terwijl semantische buurstructuur werd behouden.
   • Clustering: HDBSCAN (dichtheidsgebaseerde clustering) identificeerde thematische clusters zonder het aantal onderwerpen vooraf te specificeren, waarbij spaarzame content werd behandeld als ruis.
   • Labeling: Representatieve sleutelwoorden werden geëxtraheerd via class-based TF-IDF en KeyBERT. Deze werden ingevoerd in Llama-3.1-8B-Instruct om menselijk leesbare onderwerpslabels te genereren, die vervolgens handmatig werden gevalideerd en samengevoegd om semantische nauwkeurigheid te waarborgen.

3. Longitudinale Analyse:

   • Momentopnames kregen probabilistische onderwerpsverdelingen toegewezen met behulp van het zachte toewijzingsmechanisme van BERTopic.
   • Onderwerpsprobabiliteiten werden geaggregeerd over tijdsintervallen (kwartalen) voor elke website om Onderwerpsprevalentie (verdeling van activiteit) en Onderwerplevenscyclus (levensduur, groeicijfers en vervaltempo's) te meten.

Belangrijkste Bijdragen

• Longitudinaal Kader: De auteurs stellen een meetkader voor voor het analyseren van dark web-forums en marktplaatsen met behulp van herhaalde HTML-momentopnames, waarmee ze voorbij gaan aan statische analyse.
• Domeinspecifieke Pijplijn: Ontwikkeling van een pijplijn voor het ontdekken van onderwerpen die DARK-BERT-embeddings, dichtheidsgebaseerde clustering en LLM-ondersteunde labeling integreert om temporele dynamiek te modelleren.
• Grootschalige Dataset: De studie maakt gebruik van de grootste longitudinale dataset van dit type tot nu toe, bestaande uit meer dan 11 miljoen momentopnames van meer dan 25.000 dark web-websites verzameld over een periode van zes jaar.
• Open Middelen: De auteurs geven hun code en middelen vrij om softwareduurzaamheid te ondersteunen.

Resultaten

De analyse identificeerde 55 thematische clusters ingedeeld in vier overkoepelende groepen: Transacties, Producten, Infrastructuur en Gemeenschap.

• Onderwerpsprevalentie (RV1): Het discussievolume is sterk geconcentreerd. De top vijf onderwerpen staat voor 53,15% van de totale activiteit, en de top dertien verklaren 75%. De meest voorkomende onderwerpen zijn "Torrents en Bestanden" (15,71%), "Forumreputatie" (13,83%) en "Online Winkelen" (8,54%). Het ecosysteem wordt gedomineerd door gemeenschaps- en transactie-activiteiten, die samen meer dan 67% van het corpus uitmaken.
• Onderwerplevenscyclus (RV2): In tegenstelling tot de veronderstelling van snelle thematische turnover, vertoont het ecosysteem aanzienlijke stabiliteit.
  • Persistency: De mediaan levensduur van een onderwerp is 75 maanden (6,25 jaar), met een gemiddelde van ongeveer 68 maanden.
  • Continuïteit: Ongeveer 75% van het totale discussievolume is geconcentreerd in een kleine set van persistente kernonderwerpen. Kortlevende thema's staan voor slechts ongeveer 3% van de activiteit.
  • Evolutie: Veranderingen in thematische prominentie vinden plaats via geleidelijke groei en verval in plaats van abrupte verschijning of verdwijning. Zelfs afnemende onderwerpen vervagen doorgaans over meerdere perioden (gemiddelde vertraging van 28 maanden van piek tot verdwijning) in plaats van direct te verdwijnen.
  • Verdeling: De verdeling van onderwerplevensduren is bimodaal, waarbij onderwerpen de neiging hebben om ofwel continu actief te zijn (terugkerend) of kortlevend en sporadisch, met weinig tussenvormen.

Betekenis en Claims

Het artikel stelt dat het cybercriminele ecosysteem op het dark web structureel geconcentreerd en thematisch persistent is, en evolueert via geleidelijke verschuivingen in bestaande onderwerpen in plaats van continue thematische vervanging.

• Strategische Implicaties voor CTI: De bevindingen suggereren dat cybercriminele gemeenschappen worden gedefinieerd door stabiele, langlevende functies (bijvoorbeeld reputatieopbouw, transactiebescherming, infrastructuurhosting) in plaats van nieuwheid. Dit impliceert dat inspanningen voor dreigingsintelligentie moeten verschuiven van reactieve monitoring van vluchtige pieken naar longitudinale monitoring van persistente kernonderwerpen.
• Toewijzing van Middelen: De auteurs pleiten voor een gestratificeerde toewijzing van middelen: persistente kernonderwerpen vereisen continue geautomatiseerde monitoring, terwijl opkomende onderwerpen periodieke expertanalyse nodig hebben. Kortlevende uitbarstingen moeten worden behandeld als tijdelijke schommelingen.
• Evaluatie van Handhavingsimpact: De waargenomen meerjarige onderwerplevensduren bieden een basislijn voor het onderscheiden van tijdelijke verstoringen (bijvoorbeeld door law enforcement-takedowns) van structurele veranderingen in het ecosysteem.
• Planningshorizonten: De stabiliteit van het ecosysteem ondersteunt de adoptie van meerjarige strategische planning voor dreigingsintelligentie, verder dan reactieve, kortetermijnreacties.

De studie concludeert dat hoewel het dark web dynamisch is wat betreft platformmigratie en herbranding, de onderliggende thematische structuur van economisch gemotiveerde cybercriminaliteit opmerkelijk stabiel blijft in de tijd.