De vreemde zaak rondom een gehackte kinderpornosite is nog vreemder geworden

Aan het eind van vorig jaar, patchte Mozilla haastig een zero-day in Firefox die werd gebruikt tegen bepaalde doelwitten. Snel daarna ontdekte Motherboard dat het gerelateerde beveiligingslek was ingezet tegen gebruikers van een dark web kinderporno site met de naam The Giftbox Exchange. Volgens bronnen had iemand van de politie hetzelfde beveiligingslek gekocht. De malware zou het echte IP-adres van een sitebezoeker laten zien.

Nu blijkt dat Europol, de wetshandhavingsdienst van de Europese Unie, wordt gelinkt aan een onderzoek naar deze website. Uit het nieuws blijkt dat als criminelen anonimiseertechnologie zoals Tor blijven gebruiken, onderzoekers gebruik maken van beveiligingslekken en hacken om het zogenaamde dark web te infiltreren.

In december, diende Motherboard een toegangsverzoek in bij Europol met betrekking tot documenten over The Giftbox Exchange. Donderdag zei het agentschap dat het twee gerelateerde documenten had gevonden: een PowerPoint presentatie en een operationeel document dat is geclassificeerd als geheim. Deze classificatie wordt gebruikt om informatie te beschermen die, als ze uitlekken, "nadelige" gevolgen hebben voor de doelen van de EU, aldus een document van de Europese Commissie.

Europol weigerde om de documenten zelf uit te geven, maar de redenen van het agentschap geven alsnog context aan de recente activiteiten rondom Giftbox.

"De documenten bevatten gevoelige operationele informatie die de politie alleen mag gebruiken. Openbaring hiervan zou de lopende operaties van de wetshandhavingsinstanties van de lidstaten en derde landen ondermijnen in hun gevecht tegen de seksuele exploitatie van kinderen," staat in een e-mail van Europol.

Volgens de Uncensored Hidden Wiki, een soort encyclopedie van het dark web, werd Giftbox in juli 2015 gelanceerd. Op de site waren posts te vinden in het Engels, Duits, Frans, Spaans en Nederlands. De website had op een gegeven moment zelfs 45.000 gebruikers.

In november afgelopen jaar, verspreidde iemand een kwaadaardig Javascript van Giftbox. Deze code, waarvan een deel publiekelijk beschikbaar is en die leek op de code die de FBI gebruikte op een aantal andere dark web kindermisbruiksites, was ontworpen om door de bescherming van een Tor browser heen te breken en het echte IP-adres van een bezoeker te laten zien. Het werd naar verluidt verspreid nadat een gebruiker inlogde op de site, en Giftbox ging snel nadat de code werd ontdekt offline. (Volgens Uncensored Hidden Wiki, is de site nog steeds uit de lucht). Rond de tijd van de aanval, wees de malware naar een IP-adres van 5.39.27.226; een Franse server die wordt gehost door OVH.

Twee bronnen vertelden Motherboard eerder dat Exodus Intelligence, een Amerikaans onderzoeksbedrijf, het beveiligingslek dat op Giftbox werd gebruikt, verkocht aan tenminste één medewerker van de politie.

Europol ondersteunt de 28 lidstaten van de EU in criminele onderzoeken, en op de website richt Europol zich vooral op terrorisme, geld witwassen, en georganiseerde fraude. Het stipt verder ook online radicalisering en mensenhandel aan.

"De netwerken achter de misdaden in deze gebieden grijpen snel nieuwe kansen aan, en ze zijn veerkrachtig met het oog op maatregelen van de politie," staat op de website van Europol.

Europol nam al deel in andere onderzoeken naar kindermisbruik op het dark web. In februari 2015 hackte de FBI meer dan 8.000 computers in 120 landen, en verkreeg de IP-adressen van verdachten. Een deel van die informatie werd vervolgens doorgegeven aan Europol, die het verspreidde over rechtshandhavingsinstanties verspreid over Europa. Volgens een presentatie van Europol, eerder ontdekt door Motherboard, genereerde het agentschap meer dan 3.000 zaken van de hackoperatie. Toen Motherboard aan Europol om commentaar vroeg, stuurde het agentschap alle vragen door naar de FBI, omdat het Amerikaanse agentschap volgens hen de leider van de operatie was.

Maar dat lijkt niet het geval bij Giftbox. De FBI leidde geen onderzoek naar de kindermisbruiksite, vertelde een medewerker van de FBI aan Motherboard.

Een woordvoerder van Europol vertelde Motherboard per mail: "Zoals aangegeven in het antwoord van Europol met betrekking tot het toegangsverzoek, kunnen we bevestigen dat er twee documenten binnen ons gebied vallen. Maar we kunnen geen details geven over onze betrokkenheid in het onderzoek naar deze site. Wees je er wel van bewust dat Europol, conform haar mandaat, geen onderzoeken leidt maar ondersteunt en operationele activiteiten van lidstaten versterkt."