Cyberpediapor Brain
PTDEENESFRITNL

Tor, Deep Web e Dark Web

Como funciona o Tor, o encaminhamento em cebola, e porque é que um colaborador não o instala num posto de trabalho sem o acordo da DSI.

Em 30 segundos

Onde acontece
Grupos maliciosos servem-se do Tor para o seu tráfego1.
O que quer o atacante
Esconder a origem do seu tráfego, para que a empresa não consiga chegar até ele2.
O reflexo
Não instalar o Tor num posto de trabalho sem o acordo da DSI e não descarregar nenhum «navegador Tor» de uma fonte que ela não tenha confirmado.
Se já o fez
Avisar a DSI sem demora, sem apagar nada por iniciativa própria.

Do que se trata

O Tor é um software e uma rede que servem para tornar a navegação mais anónima. O seu nome aparece muitas vezes ao lado de «Deep Web» e «Dark Web», duas expressões que se confundem com facilidade. Esta ficha explica como o Tor funciona e o que muda para uma empresa.

As fontes reunidas aqui vêm da base MITRE ATT&CK, que descreve as técnicas dos atacantes. Dizem sobretudo como o Tor é desviado do seu fim e pouco sobre a sua utilização habitual. A ficha limita-se ao que elas estabelecem.

Perguntas diretas

O que é o Tor?

O MITRE ATT&CK descreve-o como um conjunto de software e uma rede que oferecem maior anonimato na Internet. Cria uma rede de retransmissores em cadeia (um «multi-hop proxy») e usa cifragem em várias camadas para proteger a mensagem e as informações de encaminhamento1. Existe para Linux, Windows e macOS1.

O que quer dizer «encaminhamento em cebola»?

As mensagens são cifradas com várias camadas. Em cada etapa da rede de retransmissores, a camada exterior é decifrada e o conteúdo é transmitido ao nó seguinte, até ao destino1. A imagem é a de uma cebola a que cada retransmissor retira uma pele.

Por quantos retransmissores passa o tráfego?

A fonte diz que o tráfego é transmitido a vários nós antes de sair da rede Tor e seguir para o destino1. Não indica um número. O valor de três retransmissores, muitas vezes citado, não consta de nenhuma das fontes aqui citadas.

A Dark Web é ilegal?

Nenhuma das fontes aqui citadas trata do estatuto jurídico da Dark Web nem do Tor. A ficha não se pronuncia, portanto, sobre este ponto. As fontes estabelecem outro facto: grupos maliciosos servem-se do Tor1.

Qual é a diferença entre Deep Web e Dark Web?

As fontes aqui citadas não definem nenhum destes dois termos. Descrevem apenas o Tor, uma rede de anonimização. Para a distinção entre conteúdos não indexados e serviços acessíveis por uma rede de anonimização, a DSI da empresa continua a ser o interlocutor.

1Como funciona1 min

O Tor combina dois mecanismos. O primeiro é o salto múltiplo: o tráfego atravessa vários nós antes de chegar ao destino1. O segundo é a cifragem: o Tor encapsula o tráfego em várias camadas de cifragem e usa TLS por predefinição1.

Para uma equipa de segurança, o efeito é este. Normalmente, quem defende uma rede consegue identificar o último proxy que o tráfego atravessou antes de entrar na rede. Pode ou não identificar os proxies anteriores2. Encadear vários proxies obriga a seguir o tráfego de retransmissor em retransmissor para encontrar a origem2. O MITRE cita a rede Tor, de acesso público, como exemplo de rede de encaminhamento em cebola2.

Quanto às comunicações de comando e controlo do software malicioso, o MITRE observa que, apesar de um algoritmo seguro, uma implementação pode ser vulnerável à engenharia inversa se chaves secretas estiverem codificadas ou forem geradas nas amostras de software malicioso ou nos respetivos ficheiros de configuração3.

Os atacantes também empregam proxies para evitar ligações diretas à sua infraestrutura, gerir as suas comunicações de comando e controlo ou aproveitar caminhos de comunicação já considerados fiáveis, a fim de evitar suspeitas4.

2O que faz1 min
  • Não instale o Tor, nem qualquer software de anonimização, num posto de trabalho sem o acordo da DSI.
  • Se uma informação parecer só estar acessível por esse meio, pergunte à DSI em vez de a procurar por si.
  • Se uma mensagem lhe propuser comprar, consultar ou verificar dados da empresa num site deste tipo, não clique e comunique-o à DSI.
  • Se já instalou um software deste tipo, diga-o à DSI, mesmo que nada pareça anormal.
3As armadilhas1 min

Acreditar num anonimato absoluto é a primeira. A cifragem e os retransmissores complicam o trabalho de quem defende: o MITRE fala de dificuldade em identificar a origem, não de impossibilidade2.

O Tor também serve os atacantes. O MITRE menciona redes em cebola usadas para transportar tráfego de comando e controlo cifrado através de um conjunto de máquinas comprometidas2. O tráfego de um atacante pode ainda diluir-se no tráfego web comum: HTTP/S e WebSocket são muito frequentes nos ambientes empresariais, e um atacante pode desviá-los para imitar um tráfego normal5.

A rede aloja sites de grupos criminosos. O Water Galura mantém um site de fugas de dados alojado no Tor para o ransomware Qilin e os seus afiliados1. O grupo ShinyHunters usou o Tor para o seu próprio site de fugas1. Ver o nome de uma empresa num site destes não prova, por si só, um ataque: a verificação cabe à DSI.

As fontes não tratam de falsos navegadores Tor, de descargas armadilhadas nem de ofertas de dados roubados. A prudência pedida sobre estes pontos decorre da instrução da DSI, não de um facto estabelecido aqui. Um caso ilustra, no entanto, o risco de um software instalado sem controlo: o software malicioso Dok descarrega e instala o Tor através do Homebrew2.

4Casos reais1 min

2025 Poland Wiper Attacks

Nos ataques com software destrutivo de 2025 na Polónia, os atacantes usaram nós Tor para o seu comando e controlo12. Na campanha CostaRicto, os atacantes geriram servidores de comando através do Tor1.

Scattered Spider e a extração de dados da Salesforce

Segundo o MITRE, o grupo Scattered Spider usou o Tor para comunicar com as organizações visadas1. Na campanha Salesforce Data Exfiltration, os atacantes usaram endereços IP do Tor para chamadas de voz e recolha de dados1.

Operation Wocao

Durante a operação Wocao, os atacantes empregaram nós de saída do Tor para executar comandos1.

Ficha

Identificador
CP-234
Ala
3. Protocolos e defesa
Competência Brain
Navegar em segurança (browse_safely)
Reflexo Brain
cr-077
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
  1. MITRE ATT&CK, «Tor». https://attack.mitre.org/software/S0183/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Proxy: Multi-hop Proxy». https://attack.mitre.org/techniques/T1090/003/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Encrypted Channel». https://attack.mitre.org/techniques/T1573/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Proxy». https://attack.mitre.org/techniques/T1090/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Application Layer Protocol: Web Protocols». https://attack.mitre.org/techniques/T1071/001/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Tor, Deep Web e Dark Web», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/

BibTeX 
@misc{brain_cp234_pt_2026,
  author = {Brain},
  title = {Tor, Deep Web e Dark Web},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0