drive-by download

Drive-by download to pobranie i uruchomienie złośliwego oprogramowania (malware) wywołane samym wejściem na spreparowaną albo zainfekowaną stronę, bez świadomej zgody użytkownika. MITRE ATT&CK opisuje szerszą technikę „drive-by compromise”: atakujący uzyskuje dostęp do systemu, gdy użytkownik odwiedza stronę w zwykłym toku przeglądania ^[1]. Celem nie jest serwer strony, lecz komputer odwiedzającego ^[1]. CERT Polska pisał o atakach drive-by download już w 2010 roku, analizując narzędzia do wykrywania złośliwych stron ^[4].

Jak działa

MITRE opisuje typowy przebieg w czterech krokach ^[1]. Użytkownik odwiedza stronę, na której znajduje się treść kontrolowana przez atakującego. Skrypty uruchamiają się automatycznie i sprawdzają wersję przeglądarki oraz wtyczek. Jeśli trafią na podatną wersję, dostarczają exploit. Udane wykorzystanie błędu daje atakującemu wykonanie kodu na komputerze ofiary.

RYS. 1Atak drive-by download

Złośliwy kod rzadko leży na stronie wprost. CERT Polska wskazywał, że znaczna część szkodliwych skryptów jest zaciemniona albo spakowana ^[4], co utrudnia wykrycie. Typowe elementy takich stron to pływające ramki (iframe) pobierające szkodliwy program i automatyczne przekierowania do złośliwych stron ^[4]. Gotowe zestawy skryptów sprawdzających przeglądarkę i dobierających exploit to exploit kity.

Odmiany

MITRE wymienia kilka dróg, którymi złośliwa treść trafia na stronę odwiedzaną przez ofiarę ^[1].

Granica bywa płynna. W ścisłym sensie drive-by download nie wymaga żadnego działania poza otwarciem strony. MITRE zalicza jednak do drive-by compromise także kampanie, w których przejęta strona wyświetla fałszywą aktualizację przeglądarki i ofiara sama pobiera plik ^[2]. Tu decydujący krok wykonuje użytkownik, a atak łączy infekcję strony z socjotechniką.

W WordPressie

Dla właściciela strony WordPress drive-by download oznacza, że jego witryna staje się narzędziem ataku na gości. Przejęta strona działa normalnie, ale do kodu dopisany jest skrypt, który przekierowuje odwiedzających albo ładuje złośliwą treść.

Sucuri w raporcie za pierwsze półrocze 2024 roku opisał kampanię SocGholish, odpowiedzialną za ponad 11,88 procent wykrytych wstrzyknięć ^[3]. Na 37 269 stronach znaleziono skrypty odwołujące się do znanych domen SocGholish ^[3]. Według raportu te skrypty kierują gości na strony nakłaniające do instalacji fałszywych aktualizacji przeglądarki, a pobrany plik to RAT (remote access trojan) ^[3]. Sucuri opisuje też typowy układ infekcji: wstrzyknięty JavaScript w kodzie strony albo na końcu każdego pliku .js oraz ukryty skrypt PHP w losowym katalogu tej samej domeny, który serwuje fałszywe strony aktualizacji ^[3].

MITRE opisuje SocGholish jako loader napisany w JavaScript, używany co najmniej od 2017 roku i rozprowadzany przez przejęte strony podszywające się pod aktualizacje przeglądarki ^[2].

Drogą infekcji strony jest zwykle podatność we wtyczce albo w motywie, przejęte konto administratora lub zaniedbany hosting. Sygnały, że strona może serwować złośliwą treść:

• nieznane skrypty z obcych domen w kodzie strony;
• pliki PHP w nietypowych katalogach, wykrywane przez monitorowanie integralności plików;
• ostrzeżenia w raporcie Security Issues w Google Search Console ^[6].

Zagrożenia i skutki

Dla odwiedzającego skutkiem jest zainfekowany komputer. MITRE zwraca uwagę, że w odróżnieniu od ataku na aplikację publiczną ta technika trafia w oprogramowanie na komputerze użytkownika i może otworzyć drogę do sieci wewnętrznej ^[1]. Sucuri odnotowuje, że SocGholish bywa pierwszym etapem ataków ransomware na duże firmy ^[3].

Dla właściciela strony skutki są pośrednie, ale poważne. Google ostrzega użytkowników przed stronami i plikami rozpoznanymi jako złośliwe ^[6], co odpowiada wpisowi na czarną listę (blacklisting). W raporcie Security Issues Google odróżnia kategorię „Malware”, działającą bez wyraźnej akcji użytkownika, od „Harmful downloads”, wymagającej pobrania pliku ^[6]. Ta druga kategoria odpowiada wariantowi z fałszywą aktualizacją.

Jak się bronić

Po stronie użytkownika MITRE wymienia ^[1]:

• izolację aplikacji i piaskownicę (sandbox) przeglądarki;
• narzędzia wykrywające próby wykorzystania błędów;
• ograniczenie treści webowych, na przykład blokowanie reklam i skryptów;
• aktualizację przeglądarki i jej dodatków;
• szkolenia użytkowników.

Aktualna przeglądarka zamyka większość znanych luk. Nie chroni przed zero-day, dlatego pozostałe warstwy mają znaczenie.

Po stronie właściciela WordPressa obrona polega na tym, by strona nie została przejęta. Sucuri zaleca aktualizowanie rdzenia, wtyczek i motywów, monitorowanie integralności plików oraz silne, unikalne hasła ^[3]. Nagłówek CSP (Content Security Policy) ogranicza domeny, z których przeglądarka pobierze skrypty. Po wykryciu infekcji Google wymaga usunięcia problemu i zgłoszenia prośby o ponowną weryfikację w Search Console ^[6].

Historia i przykłady

W grudniu 2012 roku Niebezpiecznik opisał atak na czytelników serwisu amerykańskiej organizacji Council on Foreign Relations ^[5]. Przejęta strona wykorzystywała nieznaną wcześniej lukę w Internet Explorerze 8 ^[5]. Serwis określił to jako przykład ataku drive-by download połączonego z techniką wodopoju, zawężającą ofiary do wybranej grupy ^[5].

MITRE w procedurach techniki T1189 opisuje między innymi atak grupy APT19 przez serwis Forbes.com oraz przejmowanie legalnych stron przez Lazarus Group ^[1]. Sucuri w 2024 roku wymieniło SocGholish wśród szczególnie istotnych kampanii wstrzykiwania kodu w strony ^[3].