Un ataque de abrevadero (watering hole) es un ataque dirigido en el que los atacantes comprometen un sitio web que visita con frecuencia un grupo concreto de personas para infectar o perfilar a esos visitantes.
Cómo funciona un ataque de abrevadero
El nombre alude a los depredadores que esperan junto a un abrevadero en lugar de perseguir a sus presas. Los atacantes eligen sitios populares entre sus objetivos: una asociación sectorial, un portal regional, una web gubernamental o la página de descargas de un fabricante. Después:
- comprometen el sitio, normalmente mediante un CMS vulnerable o una cuenta de alojamiento;
- inyectan JavaScript malicioso o un iframe que perfila a los visitantes por dirección IP, navegador e idioma;
- sirven un exploit o una descarga falsa solo a las víctimas elegidas y dejan intactos al resto para no ser detectados.
La infección suele ser una descarga drive-by, a veces con un exploit de día cero o con código tomado de un kit de exploits. MITRE ATT&CK la recoge como Drive-by Compromise (T1189).
Por qué importan los ataques de abrevadero
Son una técnica favorita de los grupos de amenaza persistente avanzada, porque alcanzan organizaciones bien defendidas sin enviar ningún correo. Investigadores de RSA popularizaron el término en 2012. Casos destacados: el compromiso en 2013 de una web del Departamento de Trabajo de EE. UU. que servía un día cero de Internet Explorer; el hackeo en 2017 de la web del regulador financiero polaco para atacar a bancos, atribuido al grupo Lazarus; y el descubrimiento en 2019, por Project Zero de Google, de sitios que entregaban cadenas de exploits para iPhone a todos sus visitantes.
Cómo protegerse de los ataques de abrevadero
- Parchear pronto navegadores y sistemas operativos y activar las actualizaciones automáticas.
- Usar aislamiento del navegador o navegadores reforzados para usuarios de alto riesgo.
- Vigilar en los endpoints procesos inusuales iniciados por el navegador.
- Para los propietarios de webs: actualizar CMS y plugins y vigilar cambios en los scripts.
