El abrevadero es una estrategia de ataque informático en la que un atacante adivina u observa qué sitios web utiliza con frecuencia una organización e infecta uno o más de ellos con malware . Con el tiempo, algún miembro del grupo objetivo quedará infectado. [1] [2] [3] Los hacks que buscan información específica solo pueden atacar a usuarios que provengan de una dirección IP específica . Esto también hace que los hacks sean más difíciles de detectar e investigar. [4] El nombre se deriva de los depredadores del mundo natural, que esperan una oportunidad para atacar a sus presas cerca de los abrevaderos . [5]
Uno de los peligros más importantes de los ataques de abrevadero es que se ejecutan a través de sitios web legítimos que no pueden incluirse fácilmente en listas negras. Además, los scripts y el malware utilizados en estos ataques suelen crearse meticulosamente, lo que dificulta que un software antivirus los identifique como amenazas. [6]
Los sitios web suelen estar infectados mediante vulnerabilidades de día cero en los navegadores u otro software. [4] Una defensa contra las vulnerabilidades conocidas es aplicar los parches de software más recientes para eliminar la vulnerabilidad que permitió que el sitio fuera infectado. Los usuarios ayudan con esto para garantizar que todo su software esté ejecutando la última versión. Una defensa adicional es que las empresas supervisen sus sitios web y redes y luego bloqueen el tráfico si se detecta contenido malicioso. [7] Otras técnicas de defensa incluyen el uso de contraseñas y claves de acceso complejas para acceder a sitios web, así como información biométrica para proteger los datos de ataques. El uso de inyecciones web, como firewalls o la descarga de software antivirus en los dispositivos, también puede proteger contra ataques. [8] Además, los sitios web pueden mejorar la protección desactivando o eliminando software vulnerable, como Flash y Adobe Reader, que suelen ser el objetivo de los ataques cibernéticos.
En diciembre de 2012, se descubrió que el sitio web del Consejo de Relaciones Exteriores estaba infectado con malware a través de una vulnerabilidad de día cero en Internet Explorer de Microsoft . En este ataque, el malware sólo se implementó entre usuarios que utilizaban Internet Explorer configurado en inglés, chino, japonés, coreano y ruso. [13]
Havex fue descubierto en 2013 y es uno de los cinco programas maliciosos conocidos adaptados al sistema de control industrial (ICS) desarrollados en la última década. Energetic Bear comenzó a utilizar Havex en una campaña de espionaje generalizada dirigida a los sectores de energía, aviación, farmacéutico, defensa y petroquímico. La campaña se dirigió a víctimas principalmente en Estados Unidos y Europa. [14] Havex aprovechó los ataques a la cadena de suministro y los abrevaderos contra el software del proveedor de ICS, además de realizar campañas de phishing para obtener acceso a los sistemas de las víctimas. [15]
A mediados de principios de 2013, los atacantes utilizaron el sitio web del Departamento de Trabajo de los Estados Unidos para recopilar información sobre los usuarios que visitaron el sitio web. Este ataque se dirigió específicamente a los usuarios que visitaban páginas con contenido relacionado con la energía nuclear. [dieciséis]
A finales de 2016, un banco polaco descubrió malware en los ordenadores de la institución. Se cree que la fuente de este malware fue el servidor web de la Autoridad de Supervisión Financiera de Polonia . [17] No ha habido informes sobre pérdidas financieras como resultado de este ataque. [17]
Hubo un ataque a nivel de organización en Montreal entre 2016 y 2017 por parte de una entidad desconocida que provocó una violación de datos. [18]
De agosto a septiembre de 2017, el binario de instalación de CCleaner distribuido por los servidores de descarga del proveedor incluía malware. CCleaner es una herramienta popular utilizada para limpiar archivos potencialmente no deseados de computadoras con Windows, ampliamente utilizada por usuarios preocupados por la seguridad. Los archivos binarios del instalador distribuido estaban firmados con el certificado del desarrollador, lo que hacía probable que un atacante comprometiera el entorno de desarrollo o compilación y lo utilizara para insertar malware. [19] [20]
En junio de 2017, el malware NotPetya (también conocido como ExPetr), que se cree que se originó en Ucrania, comprometió un sitio web del gobierno ucraniano. El vector de ataque procedía de los usuarios del sitio que lo descargaban. El malware borra el contenido de los discos duros de las víctimas. [21]
Hubo un ataque a nivel nacional en China desde finales de 2017 hasta marzo de 2018, por parte del grupo "LuckyMouse", también conocido como "Iron Tiger", "EmissaryPanda", " APT 27" y "Threat Group-3390". [22]
En 2019, un ataque a un abrevadero, llamado Campaña del Agua Bendita, tuvo como objetivo grupos religiosos y caritativos asiáticos. [23] A las víctimas se les pidió que actualizaran Adobe Flash , lo que desencadenó el ataque. Fue creativo y distinto debido a su rápida evolución. [24] El motivo sigue sin estar claro. [24] Los expertos proporcionaron un análisis técnico detallado junto con una larga lista de indicadores de compromiso (IoC) involucrados en la campaña, pero ninguno pudo rastrearse hasta una amenaza persistente avanzada. [25]
En los EE. UU., una demanda civil conjunta presentada por la Unión Estadounidense de Libertades Civiles (ACLU), la Clínica de Libertades Civiles y Transparencia y Privacy International contra varias ramas del gobierno de los EE. UU. alegó que el gobierno de los EE. UU. había estado utilizando ataques a abrevaderos en una nueva invasión masiva. de la privacidad de los ciudadanos comunes y corrientes. Además, la naturaleza de la demanda civil fue la falta de presentación de documentos relevantes como parte de una solicitud de la FOIA a las distintas agencias. Expediente de ACLU y Privacy International et al v. United States Agencies disponible en Courtlistener.com