Drive-by-загрузка (drive-by download) — непреднамеренное скачивание вредоносного ПО на устройство просто при посещении сайта, показе вредоносной рекламы или открытии специально созданной страницы, часто без клика.
Как работает drive-by-загрузка
Существуют две основные разновидности:
- С использованием эксплойтов — код на странице исследует браузер и его плагины и с помощью эксплойта выполняет код на устройстве. От пользователя не требуется ничего, кроме загрузки страницы. Наборы эксплойтов поставили этот подход на поток.
- Обманные загрузки — страница уговаривает пользователя скачать файл, например поддельное обновление браузера, «недостающий» видеокодек или «нужный» шрифт. Кампания SocGholish (FakeUpdates) годами показывает на взломанных сайтах фальшивые окна обновления браузера.
Жертвы попадают на такие страницы через взломанные легитимные сайты, малвертайзинг, SEO-отравление или целевые атаки «водопой». Цепочки перенаправлений фильтруют посетителей по стране, браузеру и IP-адресу, из-за чего такие атаки трудно воспроизвести. В MITRE ATT&CK техника называется Drive-by Compromise (T1189).
Почему drive-by-загрузки опасны
Drive-by-загрузки заражают пользователей, которые не сделали ничего явно рискованного, например не открывали вложений. В 2010-х они распространяли шифровальщики и банковские трояны через уязвимые Flash, Java и Internet Explorer. Современные браузеры с песочницей и автообновлением сделали атаки на основе эксплойтов более редкими и дорогими, поэтому преступники теперь больше полагаются на социальную инженерию, а проправительственные группировки по-прежнему применяют браузерные уязвимости нулевого дня в целевых атаках.
Как защититься от drive-by-загрузок
- Обновлять браузер и операционную систему, лучше автоматически, и удалять устаревшие плагины.
- Помнить, что браузеры обновляются сами: никогда не устанавливать «обновление», предложенное сайтом.
- Использовать блокировку рекламы, DNS-фильтрацию и веб-защиту в составе защитного ПО.
- Ограничить запуск скачанных файлов и скриптов на корпоративных устройствах с помощью контроля приложений.
