Атака «водопій» (watering hole) — цільова атака, під час якої хакери зламують сайт, що його регулярно відвідує певна група людей, аби цей сайт заражав або профілював саме цих відвідувачів.
Як працює атака «водопій»
Назва походить від хижаків, які чекають біля водопою, замість того щоб переслідувати здобич. Спершу зловмисники визначають сайти, популярні серед їхніх цілей: галузеву асоціацію, регіональний новинний портал, урядову сторінку чи сайт завантажень розробника ПЗ. Потім вони:
- зламують сайт, зазвичай через вразливу CMS або обліковий запис хостингу;
- впроваджують шкідливий JavaScript чи iframe, що профілює відвідувачів за IP-адресою, браузером і мовою;
- віддають експлойт або фальшиве завантаження лише вибраним жертвам, не чіпаючи інших відвідувачів, щоб уникнути виявлення.
Саме зараження зазвичай є drive-by-завантаженням, іноді з використанням експлойта нульового дня чи коду, запозиченого з набору експлойтів. У MITRE ATT&CK це техніка Drive-by Compromise (T1189).
Чому атаки «водопій» важливі
Атаки «водопій» полюбляють угруповання APT, бо вони дають змогу дістатися до добре захищених організацій без жодного листа. Дослідники RSA популяризували термін 2012 року. Серед відомих випадків — злам сайту Міністерства праці США 2013 року, який поширював експлойт нульового дня для Internet Explorer; злам 2017 року сайту польського фінансового регулятора для атак на банки, який приписують угрупованню Lazarus; а також виявлення 2019 року командою Google Project Zero сайтів, що доставляли ланцюжки експлойтів для iPhone усім відвідувачам.
Як захиститися від атак «водопій»
- Швидко оновлювати браузери й операційні системи та ввімкнути автоматичні оновлення.
- Використовувати ізоляцію браузера або захищені браузери для користувачів із високим ризиком.
- Відстежувати на кінцевих точках незвичні процеси, запущені браузером.
- Власникам сайтів — оновлювати CMS і плагіни та стежити за несанкціонованими змінами скриптів на сторінках.
