Watering hole — это стратегия компьютерной атаки , при которой злоумышленник угадывает или наблюдает, какие веб-сайты организация часто использует, и заражает один или несколько из них вредоносным ПО . В конце концов, какой-то член целевой группы будет заражен. [1] [2] [3] Хакеры, ищущие определенную информацию, могут атаковать только пользователей, приходящих с определенного IP-адреса . Это также затрудняет обнаружение и исследование взломов. [4] Название происходит от хищников в естественной среде, которые ждут возможности напасть на свою добычу возле водопоев . [5]
Одной из самых существенных опасностей атак типа «водяная яма» является то, что они выполняются через легитимные веб-сайты, которые невозможно легко внести в черный список. Кроме того, скрипты и вредоносные программы, используемые в этих атаках, часто создаются тщательно, что затрудняет для антивирусного программного обеспечения идентификацию их как угроз. [6]
Веб-сайты часто заражаются через уязвимости нулевого дня в браузерах или другом программном обеспечении. [4] Защита от известных уязвимостей заключается в применении последних исправлений программного обеспечения для устранения уязвимости, которая позволила заразить сайт. Этому помогают пользователи, чтобы убедиться, что все их программное обеспечение работает в последней версии. Дополнительная защита заключается в том, что компании отслеживают свои веб-сайты и сети, а затем блокируют трафик при обнаружении вредоносного контента. [7] Другие методы защиты включают использование сложных паролей и ключей доступа для доступа к веб-сайтам, а также биометрической информации для защиты данных от атак. Использование веб-инъекций, таких как брандмауэры или загрузка антивирусного программного обеспечения на устройства, также может защитить от атак. [8] Кроме того, веб-сайты могут усилить защиту, отключив или удалив уязвимое программное обеспечение, такое как Flash и Adobe Reader, которое обычно является целью кибератак.
В декабре 2012 года было обнаружено, что веб-сайт Совета по международным отношениям был заражен вредоносным ПО через уязвимость нулевого дня в Internet Explorer от Microsoft . В этой атаке вредоносное ПО было установлено только для пользователей, использующих Internet Explorer с установленными на английском, китайском, японском, корейском и русском языках. [13]
Havex был обнаружен в 2013 году и является одним из пяти известных вредоносных программ, разработанных для промышленных систем управления (ICS) за последнее десятилетие. Energetic Bear начал использовать Havex в широкомасштабной шпионской кампании, нацеленной на энергетический, авиационный, фармацевтический, оборонный и нефтехимический секторы. Кампания была нацелена на жертв в основном в Соединенных Штатах и Европе. [14] Havex использовал атаки на цепочки поставок и watering hole на программное обеспечение поставщиков ICS в дополнение к кампаниям целевого фишинга, чтобы получить доступ к системам жертв. [15]
В середине начала 2013 года злоумышленники использовали веб-сайт Министерства труда США для сбора информации о пользователях, которые посещали веб-сайт. Эта атака была специально нацелена на пользователей, посещавших страницы с содержанием, связанным с ядерной тематикой. [16]
В конце 2016 года польский банк обнаружил вредоносное ПО на компьютерах учреждения. Предполагается, что источником этого вредоносного ПО был веб-сервер Польской службы финансового надзора . [17] Сообщений о каких-либо финансовых потерях в результате этого взлома не поступало. [17]
В 2016–2017 годах в Монреале была совершена атака типа «водопад» на уровне организации, совершенная неизвестным лицом, что привело к утечке данных. [18]
С августа по сентябрь 2017 года установочный двоичный файл CCleaner , распространяемый серверами загрузки поставщика, включал вредоносное ПО. CCleaner — популярный инструмент, используемый для очистки потенциально нежелательных файлов с компьютеров Windows, широко используемый пользователями, заботящимися о безопасности. Распространяемые двоичные файлы установщика были подписаны сертификатом разработчика, что делало вероятным, что злоумышленник скомпрометировал среду разработки или сборки и использовал ее для внедрения вредоносного ПО. [19] [20]
В июне 2017 года вредоносная программа NotPetya (также известная как ExPetr), предположительно возникшая на Украине, скомпрометировала украинский правительственный веб-сайт. Вектором атаки были пользователи сайта, загружавшие ее. Вредоносная программа стирает содержимое жестких дисков жертв. [21]
С конца 2017 года по март 2018 года в Китае была совершена общенациональная атака, организованная группой «LuckyMouse», также известной как «Iron Tiger», «EmissaryPanda», « APT 27» и «Threat Group-3390». [22]
В 2019 году атака watering hole под названием Holy Water Campaign была нацелена на азиатские религиозные и благотворительные группы. [23] Жертвам было предложено обновить Adobe Flash , что инициировало атаку. Она была креативной и отличительной из-за своей быстрой эволюции. [ 24] Мотив остается неясным. [24] Эксперты предоставили подробный технический анализ вместе с длинным списком индикаторов компрометации (IoCs), задействованных в кампании, но ни один из них не удалось отследить до Advanced Persistent Threat. [25]
В США совместный гражданский иск, поданный Американским союзом гражданских свобод (ACLU), Клиникой гражданских свобод и прозрачности и Privacy International против различных ветвей правительства США, утверждал, что правительство США использовало атаки на водопои в новом массовом вторжении в частную жизнь рядовых граждан. Кроме того, характер гражданского иска заключался в неспособности предоставить соответствующие документы в рамках запроса FOIA в различные агентства. ACLU и Privacy International et al против Агентств США доступны на Courtlistener.com