Un kit de exploits es un conjunto de herramientas alojado en un servidor web malicioso que analiza automáticamente los navegadores de los visitantes en busca de vulnerabilidades y las explota para instalar malware.
Cómo funcionan los kits de exploits
Un ataque con un kit de exploits suele tener tres fases:
- Tráfico: las víctimas llegan a la página de aterrizaje del kit desde sitios comprometidos o mediante malvertising, a menudo tras varios saltos que filtran a investigadores y bots.
- Perfilado: la página identifica el navegador, el sistema operativo y complementos como Flash, Java o Silverlight.
- Explotación: el kit elige un exploit adecuado, logra ejecutar código y descarga en silencio la carga útil: ransomware, un troyano bancario o un loader.
Todo el proceso es una descarga drive-by clásica: basta con visitar la página. Los kits se alquilaban como servicio, con paneles de estadísticas, y sus autores añadían rápido nuevos fallos de navegador, a veces incluso exploits de día cero.
Por qué importan los kits de exploits
A principios de la década de 2010 eran una de las principales vías de llegada del malware a ordenadores domésticos y de oficina. Blackhole dominó hasta que su autor, conocido como Paunch, fue detenido en Rusia en 2013. Le siguieron Angler, Nuclear, Neutrino, RIG y Magnitude; Angler desapareció en 2016 tras la detención de miembros de la banda Lurk por la policía rusa. Después la actividad cayó en picado: los navegadores se volvieron más difíciles de explotar, se extendieron las actualizaciones automáticas y Adobe Flash llegó al fin de su vida útil en 2020. RIG y Magnitude resistieron más tiempo atacando instalaciones obsoletas de Internet Explorer.
Cómo protegerse de los kits de exploits
- Actualizar automáticamente navegadores y sistemas y eliminar complementos obsoletos.
- Usar bloqueo de anuncios y filtrado DNS para cortar las cadenas de malvertising.
- Aplicar protección contra exploits y seguridad de endpoints que vigile los procesos hijo del navegador.
- Parchear los servidores web para no alojar código de redirección inyectado.
