Measuring onion website discovery and Tor users' interests with honeypots

Este estudo utiliza honeypots na rede Tor para demonstrar que a descoberta de sites depende quase exclusivamente do mecanismo de busca Ahmia.fi e que, entre diversas categorias ilegais, o conteúdo relacionado ao abuso sexual infantil (CSAM) atraiu o maior engajamento de usuários, especialmente nas versões em inglês.

O essencial

Imagine que a internet tem uma "cidade subterrânea" chamada Tor. É um lugar onde as pessoas podem navegar e visitar sites sem que ninguém saiba quem elas são ou de onde vêm. Esses sites especiais têm endereços que terminam em .onion (como cebolas, porque têm várias camadas de proteção).

O problema é: ninguém sabe exatamente o que as pessoas estão procurando lá embaixo. Os pesquisadores costumam apenas "varrer" a cidade para ver quais lojas existem, mas não sabem quais lojas os clientes realmente querem entrar.

Foi aí que os autores deste estudo (da Universidade de Tampere, na Finlândia) tiveram uma ideia brilhante: criar armadilhas inteligentes, chamadas de "honeypots" (potes de mel).

O Experimento: A Armadilha de Mel

Em vez de apenas observar, eles construíram 32 sites falsos. Cada um parecia um fórum ilegal real, mas na verdade eram apenas "casas vazias" com um aviso: "Entre se quiser".

Eles criaram cenários para 8 tipos diferentes de atividades ilegais (ou que parecem ilegais):

1. Conteúdo abusivo com menores (CSAM)
2. Violência
3. Vírus e malware
4. Produtos roubados
5. Armas ilegais
6. Drogas ilegais
7. Falsificações
8. Um site "sem graça" (para comparação)

Eles fizeram esses sites em 4 idiomas (Inglês, Alemão, Finlandês e Russo) e espalharam os links em três lugares diferentes:

• Ahmia: O "Google" da cidade subterrânea.
• Pastebin e Stronghold: Como "murais de recados" onde as pessoas colam links.

A Regra do Jogo: O Quebra-Cabeça (CAPTCHA)

Para saber quem era humano e quem era um robô, eles colocaram um quebra-cabeça (CAPTCHA) na porta de entrada.

• Robôs: Geralmente não conseguem resolver o quebra-cabeça.
• Humanos: Conseguem resolver e entrar.

Dentro do site, havia um botão de "Criar Conta" ou "Entrar". Se alguém clicasse ali, os pesquisadores sabiam: "Caramba, essa pessoa estava realmente interessada no conteúdo!".

O Que Eles Descobriram? (Os Resultados)

Aqui estão as descobertas principais, explicadas de forma simples:

1. De onde vêm as pessoas? (O Google vs. Murais de Recado)

• A descoberta: Quase 100% das pessoas reais que resolveram o quebra-cabeça vieram do Ahmia (o buscador).
• A analogia: Imagine que você espalhou panfletos em três lugares: um jornal local famoso (Ahmia), um quadro de avisos num bar (Pastebin) e um mural num parque (Stronghold).
  • O jornal trouxe milhares de pessoas reais.
  • Os murais trouxeram apenas robôs (câmeras automáticas que leem tudo, mas não são pessoas).
  • Conclusão: Se você quer encontrar pessoas no Tor, você precisa estar no buscador, não apenas colar links em lugares aleatórios.

2. O que as pessoas mais querem? (A Surpresa)

• A descoberta: O site que mais atraiu pessoas foi o de conteúdo abusivo com menores (CSAM). Ele teve o dobro de interesse do segundo colocado (violência).
• A surpresa: O site de drogas, que todo mundo acha que é o mais popular na internet clandestina, foi um dos menos visitados!
• A analogia: É como se você abrisse uma loja de doces e uma loja de armas, e as pessoas entrassem em massa na loja de armas, ignorando a de doces.
  • Por que isso aconteceu? Os pesquisadores acham que quem usa o buscador (Ahmia) pode ser menos experiente. Eles digitam algo, encontram o primeiro link "sombrio" e clicam. Já os compradores de drogas experientes provavelmente já sabem exatamente onde estão os mercados e não usam o buscador público.

3. Qual idioma é o favorito?

• A descoberta: O Inglês foi o campeão, com muita folga.
• Curiosidade: O Finlandês teve mais interesse que o Russo, mesmo o Russo sendo falado por milhões.
• O motivo: O buscador Ahmia é finlandês, então as pessoas que usam ele provavelmente são da Finlândia ou falam finlandês. O Russo, por outro lado, pode ter seus próprios buscadores privados onde esses usuários estão, e não no Ahmia.

O Grande Resumo

Este estudo nos ensina que:

1. Robôs vs. Humanos: A maioria do tráfego em sites novos é de robôs. Só o buscador traz pessoas reais.
2. O que as pessoas buscam: No buscador público, as pessoas estão mais curiosas (ou infelizmente, mais expostas) a conteúdos de abuso e violência do que a mercados de drogas.
3. A língua importa: Se você quer atingir o público do Tor, fale Inglês.

Aviso Importante: Os pesquisadores enfatizam que não colocaram nada ilegal de verdade nos sites. Tudo era texto e imagens legais. Eles só queriam entender o comportamento humano, sem prejudicar ninguém ou violar a privacidade.

É como se eles tivessem colocado um espelho na entrada da cidade subterrânea para ver quem passa, o que eles olham e para onde eles correm, sem nunca precisar entrar nas casas das pessoas.

Resumo técnico

Aqui está um resumo técnico detalhado do artigo "Measuring onion website discovery and Tor users' interests with honeypots", apresentado em português:

Título: Medição da Descoberta de Sites Onion e dos Interesses dos Usuários do Tor com Honeypots

1. Problema e Motivação

A pesquisa existente sobre a "dark web" e o Tor foca predominantemente na raspagem de dados (crawling) e na análise de conteúdo estático para inferir a popularidade de sites ou categorias. No entanto, há uma lacuna significativa no conhecimento sobre o que os usuários humanos realmente tentam acessar e como descobrem esses sites. Métodos anteriores, como a resolução de nomes de domínio, não distinguem entre tráfego humano e robótico (crawlers automatizados). Além disso, a maioria dos estudos sobre descoberta de sites baseia-se em pesquisas (surveys) que sofrem de viés de auto-seleção. O objetivo deste estudo é preencher essa lacuna medindo diretamente o engajamento humano (tentativas de interação) em vez de apenas a disponibilidade de conteúdo.

2. Metodologia

Os autores desenvolveram uma abordagem baseada em honeypots (sites isca) para monitorar o comportamento real dos usuários no Tor entre março e abril de 2025.

• Design dos Honeypots: Foram criados 32 sites únicos (8 categorias × 4 idiomas).
  • Categorias: Material de Abuso Sexual Infantil (CSAM), Violência, Malware, Bens Roubados, Armas Ilegais, Drogas Ilegais, Falsificação e um fórum "Incerto" (linha de base).
  • Idiomas: Inglês, Alemão, Finlandês e Russo.
  • Estrutura: Cada site possuía uma página inicial neutra protegida por um CAPTCHA. Após a resolução do CAPTCHA, o usuário acessava uma página simulando um fórum de crime cibernético com campos de login/registro (sem funcionalidade real, apenas para registro de logs).
• Canais de Descoberta: Os links para os honeypots foram distribuídos através de três canais distintos para rastrear a origem do tráfego:
  1. Ahmia.fi: O principal motor de busca do Tor (links inseridos aleatoriamente nos resultados de busca).
  2. Pastebin.com: Serviço de "paste" público.
  3. Stronghold: Serviço de paste onion.
• Métricas de Análise: O estudo diferenciou tráfego humano de bots baseando-se em:
  • Visitas totais.
  • CAPTCHAs resolvidos (indicador forte de usuário humano).
  • Tentativas de registro ou login (indicador de interesse genuíno no conteúdo).

3. Contribuições Principais

1. Método de Descoberta vs. Engajamento Humano: Demonstrou que, embora três canais gerassem tráfego, o engajamento humano real (resolução de CAPTCHA e tentativas de login) originou-se quase exclusivamente do motor de busca Ahmia. Os links em pastebins foram majoritariamente acessados por bots/crawlers.
2. Engajamento por Tópico: Identificou que o conteúdo relacionado a CSAM (Material de Abuso Sexual Infantil) gerou um engajamento desproporcionalmente alto, superando significativamente outras categorias, incluindo drogas ilegais.
3. Preferência Linguística: Quantificou a preferência dos usuários por idiomas, mostrando uma clara dominância da versão em inglês, seguida por alemão e finlandês.

4. Resultados Chave

• Descoberta (RQ1):

  • Durante o período de distribuição, o Ahmia gerou 87,65% de todas as visitas.
  • Ao remover os links do Ahmia, as visitas caíram para quase zero e nenhum usuário resolveu CAPTCHA ou tentou login nos outros canais.
  • Apenas 2 CAPTCHAs foram resolvidos via Stronghold e nenhum via Pastebin, confirmando que esses canais atraíram principalmente automação, não humanos.
  • A taxa de conversão (visitas que levaram a tentativas de login) foi de aproximadamente 3,03% do total de visitas, mas 38,98% dos que resolveram o CAPTCHA tentaram interagir.

• Interesse por Categoria (RQ2):

  • CSAM: Foi a categoria mais popular, representando 37,67% de todas as tentativas de login/registro. A taxa de engajamento (tentativas por CAPTCHA resolvido) foi de 115,55%, indicando que muitos usuários tentaram múltiplas interações.
  • Violência: Segunda mais popular (20,47%).
  • Drogas Ilegais: Surpreendentemente, foi uma das categorias menos engajadas (3,43%), contradizendo a narrativa comum de que mercados de drogas são o foco principal do Tor. Os autores sugerem que compradores experientes já conhecem os mercados e não os buscam via motores de busca gerais.
  • Outras: Malware, Bens Roubados e Armas Ilegais tiveram interesse moderado; Falsificação foi a menos popular.

• Preferência de Idioma (RQ3):

  • Inglês: Dominou com 43,49% das tentativas de login e a maior taxa de conversão (67,40%).
  • Alemão e Finlandês: Seguiram com 22,47% e 18,07%, respectivamente.
  • Russo: Foi o menos popular (15,97%), apesar de ser uma língua comum na dark web. A sub-representação pode ser devido ao fato de que os usuários russos não utilizam o Ahmia com a mesma frequência.
  • A preferência pelo inglês manteve-se consistente em todas as categorias, inclusive no CSAM.

5. Significância e Limitações

• Significância: Este é o primeiro estudo quantitativo a medir diretamente como os usuários interagem com diferentes categorias de sites onion através de um motor de busca filtrado. Os resultados desafiam suposições sobre a prevalência de mercados de drogas em comparação com o interesse em material abusivo (CSAM) em canais de descoberta pública.
• Limitações:
  • Viés de Amostragem: O estudo foca apenas em usuários que usam o Ahmia (que filtra consultas relacionadas a CSAM). Portanto, os resultados refletem o comportamento de usuários que chegam via busca pública, possivelmente menos experientes, e não de usuários que usam fóruns privados ou links diretos.
  • Realismo do Honeypot: O design minimalista pode não refletir fielmente a complexidade de fóruns ilícitos reais.
  • Cobertura de Idiomas: A ausência de francês e italiano pode ter impactado os resultados, embora o inglês tenha dominado claramente.

Conclusão: O estudo conclui que, no contexto de descoberta via motores de busca públicos e filtrados, o interesse humano é desproporcionalmente focado em conteúdo de abuso sexual e violência, com o inglês sendo a língua franca predominante, enquanto o tráfego de bots domina canais de paste, e o interesse em drogas é menor do que o esperado nesse canal específico.