Una descarga drive-by es la descarga involuntaria de malware en un dispositivo con solo visitar un sitio web, cargar un anuncio malicioso o ver una página manipulada, a menudo sin ningún clic ni aviso.
Cómo funcionan las descargas drive-by
Existen dos formas principales:
- Basadas en exploits: el código de la página sondea el navegador y sus complementos y usa un exploit para ejecutar código en el dispositivo. Basta con cargar la página. Los kits de exploits automatizaron este enfoque a gran escala.
- Descargas engañosas: la página induce al usuario a descargar un archivo, como una falsa actualización del navegador, un códec de vídeo «necesario» o una fuente que supuestamente falta. La campaña SocGholish (FakeUpdates) lleva años usando falsas actualizaciones del navegador en sitios comprometidos.
Las víctimas llegan a estas páginas a través de sitios legítimos comprometidos, malvertising, envenenamiento SEO o ataques de abrevadero dirigidos. Las cadenas de redirección filtran a los visitantes por país, navegador y dirección IP, lo que dificulta reproducir los ataques. MITRE ATT&CK recoge la técnica como Drive-by Compromise (T1189).
Por qué importan las descargas drive-by
Infectan a usuarios que no han hecho nada claramente arriesgado, como abrir un adjunto. En la década de 2010 propagaron ransomware y troyanos bancarios a través de instalaciones vulnerables de Flash, Java e Internet Explorer. Los navegadores modernos, con sandboxing y actualizaciones automáticas, han hecho que los ataques basados en exploits sean más raros y caros, así que los delincuentes recurren más a la ingeniería social, mientras que los grupos respaldados por Estados siguen usando días cero de navegador en ataques dirigidos.
Cómo protegerse de las descargas drive-by
- Mantener actualizados el navegador y el sistema operativo y eliminar complementos obsoletos.
- Recordar que los navegadores se actualizan solos: nunca instalar una «actualización» ofrecida por una web.
- Usar bloqueo de anuncios, filtrado DNS y la protección web del software de seguridad.
- Restringir la ejecución de archivos y scripts descargados en los equipos corporativos.
