Атака «водопой» (watering hole) — целевая атака, при которой хакеры взламывают сайт, регулярно посещаемый определённой группой людей, чтобы через него заражать или профилировать этих посетителей.
Как работает атака «водопой»
Название пришло от хищников, которые не гоняются за добычей, а поджидают её у водопоя. Сначала атакующие выясняют, какие сайты популярны у их целей: портал отраслевой ассоциации, региональное новостное издание, правительственная страница или сайт загрузок производителя ПО. Затем они:
- взламывают сайт, обычно через уязвимую CMS или аккаунт хостинга;
- внедряют вредоносный JavaScript или iframe, который профилирует посетителей по IP-адресу, браузеру и языку;
- отдают эксплойт или поддельный файл только выбранным жертвам, не трогая остальных посетителей, чтобы избежать обнаружения.
Само заражение обычно происходит через drive-by-загрузку, иногда с использованием эксплойта нулевого дня или кода, позаимствованного из набора эксплойтов. В MITRE ATT&CK это техника Drive-by Compromise (T1189).
Почему атаки «водопой» опасны
Атаки «водопой» любят группировки APT: так можно добраться до хорошо защищённых организаций, не отправив ни одного письма. Термин популяризировали исследователи RSA в 2012 году. Известные случаи — взлом сайта Министерства труда США в 2013 году, раздававшего эксплойт нулевого дня для Internet Explorer; взлом сайта польского финансового регулятора в 2017 году для атак на банки, приписанный группировке Lazarus; а также обнаруженные Google Project Zero в 2019 году сайты, которые доставляли цепочки эксплойтов для iPhone всем посетителям.
Как защититься от атак «водопой»
- Оперативно обновлять браузеры и операционные системы, включить автоматические обновления.
- Использовать изоляцию браузера или защищённые браузеры для пользователей из группы риска.
- Отслеживать на конечных точках необычные процессы, запущенные браузером.
- Владельцам сайтов — обновлять CMS и плагины и контролировать несанкционированные изменения скриптов на страницах.
