El abrevadero es una estrategia de ataque informático en la que un atacante adivina u observa qué sitios web utiliza a menudo una organización e infecta uno o más de ellos con malware . Con el tiempo, algún miembro del grupo objetivo se infectará. [1] [2] [3] Los hackers que buscan información específica pueden atacar solo a usuarios que provienen de una dirección IP específica . Esto también hace que los hackers sean más difíciles de detectar e investigar. [4] El nombre se deriva de los depredadores del mundo natural, que esperan una oportunidad para atacar a sus presas cerca de los abrevaderos . [5]
Uno de los peligros más importantes de los ataques de tipo watering hole es que se ejecutan a través de sitios web legítimos que no se pueden incluir fácilmente en listas negras. Además, los scripts y el malware que se utilizan en estos ataques suelen crearse meticulosamente, lo que dificulta que un software antivirus los identifique como amenazas. [6]
Los sitios web suelen infectarse a través de vulnerabilidades de día cero en los navegadores u otro software. [4] Una defensa contra las vulnerabilidades conocidas es aplicar los parches de software más recientes para eliminar la vulnerabilidad que permitió que el sitio se infectara. En esto, los usuarios ayudan a garantizar que todo su software esté ejecutando la última versión. Una defensa adicional es que las empresas monitoreen sus sitios web y redes y luego bloqueen el tráfico si se detecta contenido malicioso. [7] Otras técnicas de defensa incluyen el uso de contraseñas y claves de acceso complejas para acceder a los sitios web, así como información biométrica para proteger los datos de los ataques. El uso de inyecciones web como firewalls o la descarga de software antivirus en los dispositivos también pueden proteger contra los ataques. [8] Además, los sitios web pueden mejorar la protección desactivando o eliminando software vulnerable, como Flash y Adobe Reader, que suelen ser el objetivo de los ataques cibernéticos.
En diciembre de 2012, se descubrió que el sitio web del Consejo de Relaciones Exteriores estaba infectado con malware a través de una vulnerabilidad de día cero en Internet Explorer de Microsoft . En este ataque, el malware solo se implementó entre los usuarios que utilizaban Internet Explorer configurado en inglés, chino, japonés, coreano y ruso. [13]
Havex fue descubierto en 2013 y es uno de los cinco programas maliciosos conocidos diseñados para sistemas de control industrial (ICS) desarrollados en la última década. Energetic Bear comenzó a utilizar Havex en una campaña de espionaje generalizada dirigida a los sectores de energía, aviación, farmacéutica, defensa y petroquímica. La campaña se dirigía principalmente a víctimas en Estados Unidos y Europa. [14] Havex explotó los ataques a la cadena de suministro y a los abrevaderos del software de los proveedores de ICS, además de campañas de phishing selectivo para obtener acceso a los sistemas de las víctimas. [15]
A mediados de 2013, unos atacantes utilizaron el sitio web del Departamento de Trabajo de los Estados Unidos para recopilar información sobre los usuarios que lo visitaban. Este ataque se dirigió específicamente a los usuarios que visitaban páginas con contenido relacionado con la energía nuclear. [16]
A finales de 2016, un banco polaco descubrió un malware en los ordenadores de la institución. Se cree que la fuente de este malware era el servidor web de la Autoridad de Supervisión Financiera de Polonia . [17] No ha habido informes de pérdidas financieras como resultado de este ataque. [17]
Entre 2016 y 2017, en Montreal se produjo un ataque a nivel de organización por parte de una entidad desconocida que provocó una filtración de datos. [18]
Entre agosto y septiembre de 2017, el binario de instalación de CCleaner distribuido por los servidores de descarga del proveedor incluía malware. CCleaner es una herramienta popular que se utiliza para limpiar archivos potencialmente no deseados de las computadoras Windows, ampliamente utilizada por los usuarios preocupados por la seguridad. Los binarios de instalación distribuidos estaban firmados con el certificado del desarrollador, lo que hacía probable que un atacante comprometiera el entorno de desarrollo o compilación y lo usara para insertar malware. [19] [20]
En junio de 2017, el malware NotPetya (también conocido como ExPetr), que se cree que se originó en Ucrania, comprometió un sitio web del gobierno ucraniano. El vector de ataque fue que los usuarios del sitio lo descargaron. El malware borra el contenido de los discos duros de las víctimas. [21]
Desde finales de 2017 hasta marzo de 2018, se produjo un ataque a nivel nacional en China, perpetrado por el grupo "LuckyMouse", también conocido como "Iron Tiger", "EmissaryPanda", " APT 27" y "Threat Group-3390". [22]
En 2019, un ataque de abrevadero, llamado Holy Water Campaign, tuvo como objetivo a grupos religiosos y de caridad asiáticos. [23] Se instó a las víctimas a actualizar Adobe Flash , lo que desencadenó el ataque. Fue creativo y distintivo debido a su rápida evolución. [24] El motivo sigue sin estar claro. [24] Los expertos proporcionaron un análisis técnico detallado junto con una larga lista de indicadores de compromiso (IoC) involucrados en la campaña, pero ninguno pudo rastrearse hasta una amenaza persistente avanzada. [25]
En los EE. UU., una demanda civil conjunta interpuesta por la Unión Estadounidense por las Libertades Civiles (ACLU), la Clínica de Libertades Civiles y Transparencia y Privacy International contra varias ramas del gobierno de los EE. UU. alegó que el gobierno de los EE. UU. había estado utilizando ataques de abrevadero en una nueva invasión masiva de la privacidad de los ciudadanos comunes. Además, la naturaleza de la demanda civil fue la falta de presentación de documentos relevantes como parte de una solicitud de FOIA a las diversas agencias. El expediente de ACLU y Privacy International et al. contra Agencias de los Estados Unidos está disponible en Courtlistener.com