Un atac de tip watering hole este o tehnică prin care atacatorul compromite un site web vizitat frecvent de o anumită categorie de victime — angajați ai unei industrii, membri ai unei organizații — și așteaptă ca aceștia să vină singuri, infectându-se prin simpla vizitare a site-ului de încredere. Numele vine din natură: în loc să vâneze prada, prădătorul așteaptă lângă adăpătoarea unde știe că aceasta va veni oricum.
Cum funcționează un atac watering hole?
Atacatorul studiază ținta — de exemplu, o industrie sau organizație anume — și identifică site-urile pe care le vizitează frecvent angajații acesteia: un forum de specialitate, un site de știri din domeniu, portalul unei asociații profesionale. Compromite apoi acel site, de multe ori mai puțin protejat decât ținta finală, prin exploatarea unei vulnerabilități, și inserează cod malițios care infectează vizitatorii, similar cu malvertising, dar prin compromiterea directă a site-ului, nu prin reclame.
De ce contează?
Pentru că ocolește apărările construite pentru amenințări directe — victima nu primește niciun e-mail suspect, nu face click pe niciun link neobișnuit, doar vizitează un site pe care îl accesează în mod normal, de multe ori zilnic. Această tehnică este folosită frecvent în atacuri sofisticate, țintite asupra unor sectoare sau organizații specifice, greu de anticipat cu filtre standard de securitate.
Cum te protejezi?
- Menține browserul și toate plugin-urile actualizate, ca să reduci suprafața de atac chiar dacă un site vizitat este compromis.
- Folosește o soluție EDR, capabilă să detecteze comportament malițios chiar dacă infecția vine dintr-o sursă considerată de încredere.
- Segmentează rețeaua, ca un dispozitiv infectat printr-un site compromis să nu poată ajunge automat la sistemele critice.
- Urmărește surse de threat intelligence relevante pentru industria ta, care semnalează adesea astfel de campanii țintite.
Un exemplu concret
Angajații dintr-un sector industrial vizitează frecvent site-ul unei asociații profesionale pentru actualizări din domeniu. Atacatorii compromit acel site, mai puțin protejat decât firmele mari din sector, și inserează cod care infectează automat vizitatorii identificați ca aparținând companiilor țintă, pe baza adresei IP sau a altor semnale, lăsând neatinși ceilalți vizitatori obișnuiți.
Vrei să afli dacă dispozitivele firmei tale ar rezista unui astfel de atac țintit? Cere un audit de securitate.
Întrebări frecvente
Cum diferă watering hole de phishing?
Phishing-ul cere o acțiune activă a victimei (deschiderea unui e-mail sau link); watering hole infectează prin simpla vizitare a unui site de încredere, fără niciun mesaj trimis direct victimei.
De ce sunt atacurile watering hole greu de anticipat?
Pentru că folosesc site-uri considerate legitime și de încredere de către victime, ocolind reflexele obișnuite de precauție față de mesaje sau linkuri necunoscute.