Набор эксплойтов (exploit kit) — готовый инструментарий на вредоносном веб-сервере, который автоматически проверяет браузеры посетителей на уязвимости и эксплуатирует их, чтобы установить вредоносное ПО.
Как работают наборы эксплойтов
Атака с помощью набора эксплойтов обычно проходит три стадии:
- Трафик — жертв перенаправляют на посадочную страницу кита со взломанных сайтов или через вредоносную рекламу, часто через несколько промежуточных переходов, отсеивающих исследователей и ботов.
- Профилирование — посадочная страница определяет браузер, операционную систему и плагины вроде Flash, Java или Silverlight.
- Эксплуатация — кит выбирает подходящий эксплойт, добивается выполнения кода и незаметно скачивает нагрузку: шифровальщик, банковский троян или загрузчик.
Весь процесс — классическая drive-by-загрузка: жертве достаточно просто открыть страницу. Киты сдавались преступникам в аренду как сервис с панелями статистики заражений, а их авторы быстро добавляли новые браузерные уязвимости — иногда даже эксплойты нулевого дня.
Почему наборы эксплойтов важны
В начале 2010-х наборы эксплойтов были одним из главных способов доставки вредоносов на домашние и офисные компьютеры. Blackhole доминировал, пока его автор, известный как Paunch, не был арестован в России в 2013 году. Затем лидировали Angler, Nuclear, Neutrino, RIG и Magnitude; Angler исчез в 2016 году после ареста российской полицией участников группировки Lurk. После этого активность резко упала: браузеры стало труднее эксплуатировать, распространились автоматические обновления, а в 2020 году закончилась поддержка Adobe Flash. RIG и Magnitude продержались дольше за счёт устаревших установок Internet Explorer.
Как защититься от наборов эксплойтов
- Автоматически обновлять браузеры и операционные системы, удалять устаревшие плагины и браузеры.
- Использовать блокировку рекламы и DNS-фильтрацию, чтобы разрывать цепочки вредоносной рекламы.
- Применять защиту от эксплойтов и средства защиты конечных точек, отслеживающие дочерние процессы браузера.
- Обновлять веб-серверы, чтобы на них не внедрили код перенаправления.
