Atak na wodopój

Czym jest atak na wodopój?

Niezależnie od tego, czy mówimy o cyberbezpieczeństwie, czy o dżungli, atak przy wodopoju to atak atakujących w miejscu, gdzie gromadzą się ofiary . W naturze wodopoj to naturalne zagłębienie wody, do którego spragnione zwierzęta przychodzą się napić. Z obniżoną czujnością stają się łatwiejszym łupem dla myśliwych, takich jak lwy. Podobna koncepcja ma miejsce w cyberbezpieczeństwie, z tą różnicą, że zamiast wielkich kotów i gazeli, to hackers śledzą użytkowników komputerów w sieci.

Jak działają ataki na wodopoje?

Atak na "water hole" ma miejsce, gdy cyberprzestępcy atakują osoby, grupy lub organizacje na stronie, którą często odwiedzają, przy użyciu umiejętności takich jak hakowanie i inżynieria społeczna. Alternatywnie, napastnik może zwabić ofiary na utworzoną przez siebie stronę. Ataki te wymagają skrupulatnej realizacji w czterech następujących fazach:

1. Gromadzenie danych wywiadowczych

Cyberprzestępca zbiera informacje, śledząc nawyki przeglądania internetu przez swoje cele. Wspólne narzędzia do zbierania danych to wyszukiwarki, strony społecznościowe, dane demograficzne stron, inżynieria społeczna, programy szpiegowskie i rejestratory klawiszy. Czasami powszechna wiedza może być dużą pomocą. Na końcu tej fazy hakerzy mają listę stron internetowych do wykorzystania w ataku "water hole".

2. Analiza

Cyberprzestępcy analizują listę stron internetowych w poszukiwaniu luk, które mogą wykorzystać. Alternatywnie napastnicy mogą stworzyć klon złośliwej strony. Czasami robią jedno i drugie – kompromitują rzeczywistą stronę, aby prowadziła cele do fałszywej.

3. Przygotowanie

Hakerzy wstrzykują do strony złośliwy kod, by zainfekować swoje cele. Taki kod może wykorzystać technologie internetowe jak ActiveX, HTML, JavaScript, obrazy i więcej, aby przechwycić przeglądarki. Do bardziej ukierunkowanych ataków, aktywni zagrożenia mogą również używać zestawów eksploitów, które pozwalają na infekowanie odwiedzających o specyficznych adresach IP. Te zestawy są szczególnie użyteczne przy skupianiu się na organizacji.

4. Wykonanie

Po przygotowaniu „wodopoju” atakujący czekają, aż złośliwe oprogramowanie wykona swoje zadanie. Jeśli wszystko pójdzie zgodnie z planem, przeglądarki ofiary pobierają i uruchamiają złośliwe oprogramowanie ze strony internetowej. Przeglądarki internetowe mogą być podatne na ataki internetowe, ponieważ zazwyczaj bezkrytycznie pobierają kod ze stron internetowych na lokalne komputery i urządzenia.

Jakie techniki hackers używać w atakach przy wodopojach?

Atak typu cross-site scripting (XSS) : W tym ataku typu injection hacker może umieszczać złośliwe skrypty w treści witryny, aby przekierowywać użytkowników do złośliwych witryn.
Wstrzyknięcie kodu SQL: Hackers mogą wykorzystywać ataki SQL injection do kradzieży danych.
Zatruwanie pamięci podręcznej DNS: znane również jako podszywanie się pod DNS , hackers wykorzystaj tę technikę manipulacji, aby kierować cele na złośliwe strony.
Pobieranie drive-by download: Osoby atakowane w wodopoju mogą pobierać złośliwą zawartość bez ich wiedzy, zgody lub działania w ramach drive-by download.
Malvertising : Znany jako malvertising , hackers wstrzykują złośliwy kod do reklam w lokalach gastronomicznych, aby rozprzestrzeniać złośliwe oprogramowanie wśród swoich ofiar.
Wykorzystywanie luk typu zero-day: Podmioty stanowiące zagrożenie mogą wykorzystywać luki typu zero-day w witrynie lub przeglądarce, z których mogą korzystać atakujący.

Przykłady ataków na wodopoje

2012: Hakerzy zainfekowali stronę American Council on Foreign Relations (CFR) przy pomocy exploitu Internet Explorer. Co ciekawe, "water hole" atakował jedynie przeglądarki Internet Explorer używające określonych języków.

2013: Atak złośliwego oprogramowania, wspierany przez państwo, uderzył w Industrial Control Systems (ICS) w Stanach Zjednoczonych i Europie, celując w sektory obrony, energetyki, lotnictwa, farmaceutyczny i petrochemiczny.

2013: Hackers pozyskali informacje o użytkownikach, wykorzystując stronę internetową Departamentu Pracy Stanów Zjednoczonych jako wodopój.

2016: Badacze znaleźli niestandardowy zestaw eksploitów wymierzony w organizacje w ponad 31 krajach, w tym w Polsce, Stanach Zjednoczonych i Meksyku. Źródłem ataku mógł być serwer internetowy Komisji Nadzoru Finansowego w Polsce.

2016: Międzynarodowa Organizacja Lotnictwa Cywilnego (ICAO) z siedzibą w Montrealu jest bramą do niemal wszystkich linii lotniczych, lotnisk i krajowych agencji lotniczych. Poprzez uszkodzenie dwóch serwerów ICAO, hacker rozprzestrzeniać złośliwe oprogramowanie na inne strony internetowe, narażając na atak poufne dane 2000 użytkowników i pracowników.

2017: Złośliwe oprogramowanie NotPetya przeniknęło do sieci na całej Ukrainie, infekując odwiedzających strony internetowe i usuwając dane z ich dysków twardych.

2018: Badacze odkryli kampanię wodopoju o nazwie OceanLotus. Atak ten dotknął kambodżańskie strony rządowe i wietnamskie strony medialne.

2019: Cyberprzestępcy wykorzystali złośliwe wyskakujące okienko Adobe Flash do wywołania ataku drive-by download na prawie tuzin stron internetowych. Atak ten, nazwany Holy Water, uderzył w strony religijne, charytatywne i wolontariackie.

2020: Amerykańska firma informatyczna SolarWinds była celem ataku typu "watering hole", którego ujawnienie zajęło kilka miesięcy. Sponsorowani przez państwo agenci wykorzystali ten atak do szpiegowania firm zajmujących się cyberbezpieczeństwem, Departamentu Skarbu, Bezpieczeństwa Wewnętrznego itp.

2021: Grupa Google ds. analizy zagrożeń (TAG) wykryła szeroko zakrojone ataki typu "watering hole" wymierzone w osoby odwiedzające media i prodemokratyczne strony internetowe w Hongkongu. Infekcja złośliwym oprogramowaniem instalowała backdoora na urządzeniach Apple.

Teraz: Ataki typu watering hole to zaawansowane, uporczywe zagrożenie (APT) dla wszystkich rodzajów firm na całym świecie. Niestety, hackers biorą na celownik firmy handlu detalicznego , firmy z branży nieruchomości i inne instytucje, stosując phishing typu watering hole, oparty na strategiach socjotechnicznych.

Ataki typu "watering hole" a ataki na łańcuch dostaw

Chociaż ataki typu "watering hole" i ataki na łańcuch dostaw mogą być podobne, nie zawsze są takie same. Atak na łańcuch dostaw dostarcza złośliwe oprogramowanie poprzez najsłabszy element w sieci organizacji, taki jak dostawca, sprzedawca lub partner. Na przykład, pięć firm zewnętrznych mogło nieświadomie funkcjonować jako pacjent zero w ataku Stuxnet na irańskie komputery. Atak na łańcuch dostaw może również wykorzystywać zaatakowaną stronę internetową jako wodopój, ale nie jest to konieczne.

Jak chronić się przed atakami typu "watering hole

W przypadku konsumentów dobre praktyki w zakresie cyberbezpieczeństwa, takie jak ostrożność w przeglądaniu i klikaniu stron internetowych, korzystanie z dobrego programu antywirusowego i stosowanie zabezpieczeń przeglądarki, takich jak Malwarebytes Browser Guard są dobrym sposobem na uniknięcie ataków typu „watering pit”. Browser Guard umożliwia bezpieczniejsze przeglądanie stron internetowych poprzez blokowanie stron zawierających złośliwe oprogramowanie.

W przypadku firm najlepsze praktyki ochrony przed atakami typu "watering hole" obejmują:

Korzystaj z zaawansowanego oprogramowania do analizy złośliwego oprogramowania, które wykorzystuje uczenie maszynowe do rozpoznawania złośliwych zachowań na stronach internetowych i w wiadomościach e-mail.
Regularnie testuj swoje rozwiązanie bezpieczeństwa i monitoruj ruch internetowy pod kątem podejrzanej aktywności.
Szkolenie użytkowników końcowych w zakresie strategii łagodzenia ataków typu "watering hole".
Korzystaj z najnowszych poprawek zabezpieczeń systemu operacyjnego i przeglądarki, aby zmniejszyć ryzyko ataków.
Wypróbuj przeglądarki w chmurze zamiast przeglądarek lokalnych, aby zapewnić większe bezpieczeństwo.
Uprawnienia do audytu nadawane stronom internetowym.
Użyj narzędzi Endpoint Detection and Response do Windows I Mac w celu ochrony punktów końcowych w Twojej organizacji przed nowymi zagrożeniami ze strony złośliwego oprogramowania.
Skorzystaj z odpowiednich zasobów dotyczących cyberbezpieczeństwa , aby dowiedzieć się więcej o wektorach zagrożeń hackers używać do ataków przy wodopoju.