Набір експлойтів (exploit kit) — готовий інструментарій на шкідливому вебсервері, який автоматично перевіряє браузери відвідувачів на вразливості та експлуатує їх, щоб встановити шкідливе ПЗ.
Як працюють набори експлойтів
Атака за допомогою набору експлойтів зазвичай має три стадії:
- Трафік — жертв перенаправляють на цільову сторінку кіта зі зламаних сайтів або через шкідливу рекламу, часто через кілька проміжних переходів, які відсіюють дослідників і ботів.
- Профілювання — цільова сторінка визначає браузер, операційну систему та плагіни, як-от Flash, Java чи Silverlight.
- Експлуатація — кіт обирає відповідний експлойт, домагається виконання коду й непомітно завантажує навантаження: програму-вимагача, банківський троян чи завантажувач.
Увесь процес — класичне drive-by-завантаження: жертві достатньо просто відкрити сторінку. Кіти здавали злочинцям в оренду як сервіс із панелями статистики заражень, а їхні автори швидко додавали нові браузерні вразливості — іноді навіть експлойти нульового дня.
Чому набори експлойтів важливі
На початку 2010-х набори експлойтів були одним із головних способів доставки шкідливого ПЗ на домашні й офісні комп’ютери. Blackhole домінував, доки його автора, відомого як Paunch, не заарештували в Росії 2013 року. Далі лідирували Angler, Nuclear, Neutrino, RIG і Magnitude; Angler зник 2016 року після арешту російською поліцією учасників угруповання Lurk. Відтак активність різко впала: браузери стало важче експлуатувати, поширилися автоматичні оновлення, а 2020 року завершилася підтримка Adobe Flash. RIG і Magnitude протрималися довше завдяки застарілим інсталяціям Internet Explorer.
Як захиститися від наборів експлойтів
- Автоматично оновлювати браузери й операційні системи, видаляти застарілі плагіни та браузери.
- Використовувати блокування реклами й DNS-фільтрацію, щоб розривати ланцюжки шкідливої реклами.
- Застосовувати захист від експлойтів і засоби захисту кінцевих точок, що відстежують дочірні процеси браузера.
- Оновлювати вебсервери, щоб на них не впровадили код перенаправлення.
