Attacchi Watering Hole Malwarebytes

Che cos'è un attacco di tipo watering hole?

Che si parli di cybersecurity o di giungla, un attacco "watering hole" è quando gli attori delle minacce colpiscono i loro obiettivi dove si riuniscono. In natura, un abbeveratoio è una depressione naturale di acqua dove gli animali assetati vengono a bere. Con la guardia abbassata, sono una preda più facile per i cacciatori come i leoni. È un concetto simile nella sicurezza informatica, solo che, invece di grandi felini e gazzelle, si tratta di hacker che pedinano gli utenti di computer sul web.

Come funzionano gli attacchi dei watering hole?

Un attacco watering hole avviene quando i criminali informatici attaccano individui, coorti o organizzazioni su un sito web che frequentano, utilizzando abilità come l'hacking e l'ingegneria sociale. In alternativa, l'aggressore può attirare le vittime su un sito web da lui creato. Gli attacchi richiedono un'esecuzione meticolosa di tutte e quattro le fasi seguenti:

1. Raccolta di informazioni

L'attore della minaccia raccoglie informazioni tracciando le abitudini di navigazione sul Web dell'obiettivo. Gli strumenti più comuni per la raccolta di informazioni sono i motori di ricerca, le pagine dei social media, i dati demografici dei siti web, l'ingegneria sociale, lo spyware e i keylogger. A volte le conoscenze comuni sono di grande aiuto. Al termine di questa fase, i criminali informatici dispongono di una lista ristretta di obiettivi da utilizzare per un attacco informatico di tipo watering hole.

2. Analisi

I criminali informatici analizzano l'elenco dei siti web per individuare i punti deboli dei domini e dei sottodomini che possono sfruttare. In alternativa, gli aggressori possono creare un clone di un sito web dannoso. A volte fanno entrambe le cose: compromettono un sito web legittimo in modo che porti gli obiettivi a uno fasullo.

3. Preparazione

Gli hacker iniettano il sito web con exploit di origine web per infettare i loro obiettivi. Tale codice può sfruttare tecnologie web come ActiveX, HTML, JavaScript, immagini e altro ancora per compromettere i browser. Per attacchi più mirati, gli attori delle minacce possono anche utilizzare kit di exploit che consentono di infettare i visitatori con indirizzi IP specifici. Questi kit di exploit sono particolarmente utili quando si concentrano su un'organizzazione.

4. Esecuzione

Con l'acquario pronto, gli aggressori attendono che il malware faccia il suo lavoro. Se tutto va bene, i browser dell'obiettivo download eseguono il software dannoso dal sito Web. I browser Web possono essere vulnerabili agli exploit veicolati dal Web perché di solito download indiscriminatamente il codice dai siti Web ai computer e ai dispositivi locali.

Quali tecniche utilizzano gli hacker negli attacchi watering hole?

Cross-site scripting (XSS): Con questo attacco a iniezione, un hacker può inserire script dannosi nel contenuto di un sito per reindirizzare gli utenti a siti web dannosi.
Iniezione SQL: Gli hacker possono utilizzare attacchi di tipo SQL injection per rubare i dati.
Avvelenamento della cache DNS: Conosciuta anche come spoofing DNS, gli hacker utilizzano questa tecnica di manipolazione per inviare gli obiettivi a pagine dannose.
Download drive-by: I bersagli che si trovano in un'area di ristoro possono download contenuti dannosi a loro insaputa, senza il loro consenso o senza la loro azione in un drive-by download.
Malvertising: Conosciuto come malvertising, gli hacker iniettano codice dannoso negli annunci pubblicitari di una pozza d'acqua per diffondere malware alle loro prede.
Sfruttamento zero-day: Gli attori delle minacce possono sfruttare vulnerabilità zero-day in un sito web o in un browser che gli aggressori possono utilizzare come watering hole.

Esempi di attacchi watering hole

2012: Gli hacker hanno infettato il sito web dell'American Council on Foreign Relations (CFR) attraverso un exploit di Internet Explorer. È interessante notare che la falla ha colpito solo i browser di Internet Explorer che utilizzavano determinate lingue.

2013: Un attacco malware sponsorizzato dallo Stato ha colpito i sistemi di controllo industriale (ICS) negli Stati Uniti e in Europa, prendendo di mira i settori della difesa, dell'energia, dell'aviazione, della farmaceutica e del petrolchimico.

2013: Gli hacker hanno raccolto informazioni sugli utenti utilizzando il sito web del Dipartimento del Lavoro degli Stati Uniti come fonte di approvvigionamento.

2016: I ricercatori hanno trovato un kit di exploit personalizzato che ha preso di mira organizzazioni in oltre 31 Paesi, tra cui Polonia, Stati Uniti e Messico. La fonte dell'attacco potrebbe essere il server web dell'Autorità di vigilanza finanziaria polacca.

2016: L'Organizzazione Internazionale dell'Aviazione Civile (ICAO), con sede a Montreal, è un punto di accesso per quasi tutte le compagnie aeree, gli aeroporti e le agenzie nazionali per l'aviazione. Corrompendo due dei server dell'ICAO, un hacker ha diffuso il malware ad altri siti web, lasciando vulnerabili i dati sensibili di 2000 utenti e membri del personale.

2017: Il malware NotPetya si è infiltrato nelle reti di tutta l'Ucraina, infettando i visitatori dei siti web e cancellando i loro dati sul disco rigido.

2018: I ricercatori hanno individuato una campagna di watering hole chiamata OceanLotus. Questo attacco ha colpito siti web del governo cambogiano e siti di media vietnamiti.

2019: i criminali informatici hanno utilizzato un pop-up Adobe Flash dannoso per scatenare un attacco drive-by download su quasi una dozzina di siti web. Chiamato Holy Water, questo attacco ha colpito siti web religiosi, di beneficenza e di volontariato.

2020: L'azienda informatica americana SolarWinds è stata oggetto di un attacco watering hole che ha richiesto mesi per essere scoperto. Agenti sponsorizzati dallo Stato hanno utilizzato l'attacco watering hole per spiare le società di cybersecurity, il Dipartimento del Tesoro, l'Homeland Security, ecc.

2021: Il Threat Analysis Group (TAG) di Google ha rilevato attacchi diffusi di tipo watering hole rivolti ai visitatori di siti web di media e pro-democrazia a Hong Kong. L'infezione da malware installerebbe una backdoor su chi utilizza dispositivi Apple.

Ora: Gli attacchi watering hole sono una minaccia persistente avanzata (APT) contro tutti i tipi di aziende in tutto il mondo. Sfortunatamente, gli hacker stanno prendendo di mira le attività di vendita al dettaglio, le società immobiliari e altre strutture con il phishing watering hole guidato da strategie di social engineering.

Attacchi watering hole vs attacchi alla supply chain

Sebbene gli attacchi watering hole e gli attacchi alla supply chain possano essere simili, non sono sempre la stessa cosa. Un attacco alla catena di fornitura fornisce malware attraverso l'elemento più debole della rete di un'organizzazione, come un fornitore, un fornitore o un partner. Ad esempio, cinque aziende esterne potrebbero aver inconsapevolmente funzionato da paziente zero nell'attacco Stuxnet ai computer iraniani sotto controllo aereo. Un attacco alla catena di approvvigionamento può anche utilizzare un sito web compromesso come fonte di approvvigionamento, ma non è necessario.

Come proteggersi dagli attacchi watering hole

Per i consumatori, le buone pratiche di sicurezza informatica, come fare attenzione a dove si naviga e si fa clic sul Web, utilizzare un buon programma antivirus e usare una protezione del browser come Malwarebytes Browser Guard sono insieme un buon modo per evitare gli attacchi watering hole. Browser Guard consente di navigare in modo più sicuro bloccando le pagine Web che contengono malware.

Per le aziende, le migliori pratiche per proteggersi dagli attacchi "watering hole" includono:

Utilizzate un software avanzato di analisi delle minacce informatiche che utilizza l'apprendimento automatico per riconoscere i comportamenti dannosi nei siti web e nelle e-mail.
Testate regolarmente la vostra soluzione di sicurezza e monitorate il vostro traffico Internet alla ricerca di attività sospette.
Formare gli utenti finali sulle strategie di mitigazione degli attacchi watering hole.
Utilizzate le più recenti patch di sicurezza del sistema operativo e del browser per ridurre il rischio di exploit.
Provate i browser cloud invece di quelli locali per una maggiore sicurezza.
Controllare le autorizzazioni concesse ai siti web.
Utilizzate gli strumenti di Endpoint Detection and Response per Windows e Mac per proteggere gli endpoint della vostra organizzazione dalle minacce malware emergenti.
Utilizzate le risorse di cybersecurity pertinenti per saperne di più sui vettori di minaccia utilizzati dagli hacker per gli attacchi watering hole.

Attacco al watering hole