Ein Watering-Hole-Angriff ist ein gezielter Angriff, bei dem Hacker eine Website kompromittieren, die eine bestimmte Personengruppe regelmäßig besucht, sodass die Seite diese Besucher infiziert oder ausspäht.
Wie ein Watering-Hole-Angriff funktioniert
Der Name stammt von Raubtieren, die an einer Wasserstelle lauern, statt ihrer Beute nachzujagen. Angreifer ermitteln zunächst Websites, die bei ihren Zielen beliebt sind – einen Branchenverband, ein regionales Nachrichtenportal, eine Behördenseite oder die Download-Seite eines Softwareherstellers. Dann:
- kompromittieren sie die Seite, meist über ein verwundbares CMS oder ein Hosting-Konto;
- schleusen sie bösartiges JavaScript oder einen iFrame ein, der Besucher anhand von IP-Adresse, Browser und Sprache klassifiziert;
- liefern sie einen Exploit oder einen gefälschten Download nur an ausgewählte Opfer aus und lassen andere Besucher unbehelligt, um nicht aufzufallen.
Die Infektion selbst ist meist ein Drive-by-Download, mitunter mit einem Zero-Day-Exploit oder mit Code aus einem Exploit-Kit. MITRE ATT&CK beschreibt die Technik als Drive-by Compromise (T1189).
Warum Watering-Hole-Angriffe gefährlich sind
Watering Holes sind bei APT-Gruppen beliebt, weil sie gut geschützte Organisationen erreichen, ohne eine einzige E-Mail zu verschicken. Forschende von RSA machten den Begriff 2012 bekannt. Bekannte Fälle sind die Kompromittierung einer Website des US-Arbeitsministeriums 2013, die einen Zero-Day im Internet Explorer auslieferte, der 2017 der Lazarus-Gruppe zugeschriebene Hack der Website der polnischen Finanzaufsicht, um Banken anzugreifen, und die Entdeckung von Websites durch Googles Project Zero 2019, die iPhone-Exploit-Ketten an alle Besucher verteilten.
Wie man sich vor Watering-Hole-Angriffen schützt
- Browser und Betriebssysteme zeitnah patchen und automatische Updates aktivieren.
- Für besonders gefährdete Nutzer Browser-Isolation oder gehärtete Browser einsetzen.
- Endgeräte auf ungewöhnliche, vom Browser gestartete Prozesse überwachen.
- Für Website-Betreiber: CMS und Plug-ins aktuell halten und Seiten auf unbefugte Skriptänderungen überwachen.
