拉锯战：BreachForums管理员ShinyHunters声称已从FBI手中夺回明网域名，暗网域名仍在争夺中

臭名昭著的网络犯罪中心BreachForums在被联邦调查局查封后，可能会以相同的域名重新上线。黑客声称已经重新获得了明网域名的访问权，而暗网版本仍处于拉锯战中。

“暗网下/AWX”昨天根据媒体报道，第二版BreachForums的两名管理员Shinyhunter和Baphomet已经被FBI逮捕。但是经过多个消息源确认，Baphomet是第一版BreachForums的管理员，也是第二版BreachForums的创建者，确已被FBI逮捕，但是Shinyhunter是个黑客团伙，应还逍遥法外。

黑客组织ShinyHunters——BreachForums的主要管理员表示，他们已经于2024年5月16日重新获得了对BreachForums论坛明网域名BreachForums.st和暗网域名的访问权限。这还包括托管域名和一个停放域名 Breached.in。

BreachForums管理员ShinyHunters声称已从FBI手中收回域名

ShinyHunters透露，BreachForums管理员Baphomet已被执法部门逮捕。 因此，当局获得了BreachForums整个基础设施（包括后台）的登录凭据的访问权限。

然而，上周五，ShinyHunters联系了BreachForums的域名注册商并成功重新获得了访问权限。 因此，目前BreachForums明网域名的查封通知已被删除，并替换为“网站暂时不可用”消息，并且提供了其新创建的Telegram群组的链接。

BreachForums是一个因网络犯罪、黑客攻击、数据泄露和泄密而臭名昭著的平台，就在前一天，BreachForums被联邦调查局扣押，基础设施被摧毁。2024年5月15日，所有与新版BreachForums相关的域名均显示了FBI的扣押通知。

这些网站上的通知显示，联邦调查局（FBI）、司法部（DoJ）以及来自新西兰、澳大利亚、英国、瑞士、乌克兰和冰岛的国际合作伙伴参与了此次行动。虽然这一行动被广泛流传，但各国执法机构尚未正式证实这一行动（暂未发布官方公告）。

此外，ShinyHunters声称自己与当局均拥有暗网域名的私钥，双方都可以通过该私钥创建暗网网站，因此本站（anwangxia.com）认为，预计双方之间会发生拉锯战，除非某一方彻底放弃使用。

BreachForums已经关闭，新论坛即将上线

网络犯罪的循环往复有增无减。 当局捣毁了一个论坛，但几天之内又出现了另一个论坛。 这种趋势在BreachForums的案例中表现得很明显。 BreachForums的一名成员和臭名昭著的威胁行为者USDoD已宣布计划以相同的主题和形式复活该论坛，但使用不同的名称。

USDoD称，新论坛将被称为BreachNation，而不是BreachForums。 这反映了RaidForums的倒闭和BreachForums随后出现的模式。 然而值得注意的是，前BreachForums管理员Pompompurin沿着这一模式并没有好下场，他在纽约被捕并被判处20年监管释放。

总部位于纽约的自动化 SaaS 安全服务提供商 DoControl 的联合创始人兼首席风险官 Omri Weinberg 对此评论道：“尽管FBI成功查封了BreachForums，但它的迅速重新出现并不令人意外，因为它以前就曾重现过，这反映了执法部门在数字时代面临的持续挑战。“

Omri警告说：“虽然执法部门可以暂时瓦解这些非法活动，但网络犯罪分子针对基础设施和经济利益的动机依然强劲，而BreachForums的重新出现意味着之前被泄露的数据可能再次面临暴露的风险。”

他还建议，“组织必须积极主动地监控和保护其数字资产，确保他们有适当的流程来评估暴露数据的重要性并做出适当的反应。”

BreachForums管理员Baphomet被逮捕的思考

“暗网下/AWX”分析，BreachForums的访问可以通过明网域名（BreachForums.st）以及暗网域名（breachedu76kdyavc6szj6ppbplfqoz3pgrk3zw57my4vybgblpfeayd.onion），然后在后端有一台服务器（或云服务器，或虚拟专用服务器），暗网域名无法追踪，FBI显然是通过明网域名或者后端服务器开展追踪。

针对明网域名，FBI可以向域名注册商调取域名注册信息。域名注册商可以提供域名注册者的邮箱、登录访问使用的IP地址以及支付方式。

BreachForums使用了Cloudflare的CDN服务（应是免费套餐），因此FBI可以通过Cloudflare调取注册邮箱、登录使用的IP地址以及后端的服务器真实IP。

针对服务器，FBI在通过Cloudflare调取真实IP后，可以通过司法合作向IP所在国家的服务器注册商调取购买或租赁信息，也可以获取使用者的邮箱、登录访问使用的IP地址以及支付方式。

邮箱与IP地址均可以隐藏，但不一定能做到有效隐藏，而且FBI也有追踪的方法与渠道。支付方式可以锁定到个人，哪怕是加密货币支付，通过链上追踪加密货币的来源，也可以对使用者进行锁定，除非是门罗币。

因此，逮捕Pompompurin、Baphomet之类的管理员只是迟早的事情，除非ShinyHunters成员位于俄罗斯、伊朗、朝鲜、古巴等美国无法管辖的地域，否则也将会被抓获。

“暗网下/AWX”认为，这还是应了中国那句古话：莫伸手，伸手必被捉。

BreachForums竞争者HydraForums曾经曝光了Baphomet的信息

; BreachForums Administrators ;
`————————————————————————————————————————————‘
; ShinyHunters: ;
; RANK – Administrator ;
; EMAIL – [email protected] ;
; HASH – $argon2i$v=19$m=65536,t=4,p=1$VEUxbDEvMFVvRUJZQ25YQQ$ioLGikaXMY2NE6eykJyCWBFBQ2pR/2HxK+Ff1jbsJ40 ;
; IP – 192.42.116.196 (tor exit node) ;
; ;
; Baphomet : ;
; RANK – Administrator ;
; EMAIL – [email protected] ;
; HASH – $argon2i$v=19$m=65536,t=4,p=1$S0hQeEs0WmtveThxVm1XeA$AejdD5UzEJggwX5nV/K5tfsJCEVh/qvRmxZYXirVNws ;
; IP – 23.155.24.5 (onion proxy) ;
; ;
; Momondo : ;
; RANK – Administrator ;
; EMAIL – [email protected] ;
; HASH – $argon2i$v=19$m=65536,t=4,p=1$TUU3RFJaTW5NaTExanhscA$Xa0AizHcJHLOf3VFHXHj9FiYm9bjsoqwF49ATwEu81s ;
; IP – 217.138.252.200 ;
; ;
; Dedale : ;
; RANK – Moderator ;
; EMAIL – [email protected] ;
; HASH – $argon2i$v=19$m=65536,t=4,p=1$aUJiSG4wR1lvSXVZU0xuWQ$AGIuouwpI1Q1iO8YDOOakSsfNrPtBw35EMUBtMj46zs ;
; IP – 185.225.28.158 217.138.252.200 ;
; ;
; Pine : ;
; RANK – Moderator ;
; EMAIL – [email protected] ;
; HASH – $argon2i$v=19$m=65536,t=4,p=1$Q2MwYnViWFJ3VEJMQkQxdQ$obgjuTjtBxSmAzwYhhCc7oYuCvZmUX1nYjoyUo1+EH8 ;
; IP – 185.204.1.213 193.32.126.228