exploit kit

Exploit kit to gotowe narzędzie przestępcze, zwykle aplikacja webowa oparta na bazie danych, która automatycznie atakuje odwiedzających stronę zestawem exploitów na błędy przeglądarek i ich wtyczek ^[1]. Po udanym ataku na komputer ofiary trafia złośliwe oprogramowanie (malware), najczęściej trojan, klient botnetu albo program kradnący dane ^[1]. Autorzy nie atakują sami: sprzedają licencje albo wynajmują narzędzie na dni i miesiące ^[1]. Exploit kit jest silnikiem ataku typu drive-by download, w którym do infekcji wystarcza wejście na stronę.

Jak działa

MITRE opisuje tę technikę jako uzyskanie dostępu do systemu przez to, że użytkownik odwiedza stronę w zwykłym toku przeglądania ^[2]. Skrypty wykonują się automatycznie i zwykle sprawdzają wersje przeglądarki i jej wtyczek w poszukiwaniu wersji podatnej; gdy ją znajdą, dostarczają kod exploita ^[2]. Udane wykorzystanie daje atakującemu wykonanie kodu na komputerze ofiary ^[2].

Ruch do exploit kitu zapewniają strony, których właściciele o niczym nie wiedzą. MITRE wymienia przejęte legalne witryny z wstrzykniętym kodem, zmodyfikowane skrypty w publicznej chmurze, płatne reklamy podstawione przez legalnych dostawców, czyli malvertising, oraz błędy aplikacji webowych, takie jak XSS (Cross-Site Scripting) ^[2]. Między stroną a exploit kitem często stoi skrypt kierujący ruchem (Traffic Direction Script, TDS), który decyduje, kogo przekierować ^[8]. Łańcuch pokazuje schemat poniżej.

RYS. 1Infekcja przez exploit kit

Operator zarządza całością przez panel webowy ze statystykami ataków ^[1]. Kampania prowadząca do exploit kitu potrafi też odsiewać odwiedzających: Malwarebytes opisał kod, który robił fingerprinting przeglądarki i atakował tylko Internet Explorera przy rozdzielczości ekranu większej niż 800×600, żeby ominąć systemy analizy ^[6].

Model biznesowy

Exploit kit był jednym z pierwszych produktów przestępczych sprzedawanych jak usługa, zanim upowszechnił się model malware-as-a-service (MaaS). Sekurak podaje, że pierwszym popularnym zestawem był Web Attacker z 2006 roku z siedmioma exploitami na Internet Explorera i Firefoksa ^[1]. Ceny i formy sprzedaży zestawia tabela.

Usługa szyfrowania ładunku odpowiada roli, jaką w pliku wykonywalnym pełni packer: ma utrudnić wykrycie przez antywirusy. Najdroższe zestawy kupowały luki zero-day; według Krebsa autor Blackhole'a zaczynał od budżetu 100 000 USD na zakup exploitów ^[3].

W WordPressie

Strona na WordPressie nie jest celem exploit kitu, tylko jego źródłem ruchu. Przejęta witryna dostaje wstrzyknięty kod, który przekierowuje odwiedzających do strony startowej kitu. To odmiana złośliwego przekierowania: właściciel widzi zwykłą stronę, a zainfekowani są jego czytelnicy.

Dobrze opisanym przykładem jest kampania pseudo-Darkleech. Unit 42 podaje, że wykryto ją w marcu 2015 roku, a przejęte strony przekierowywały użytkowników do exploit kitu; wstrzyknięty skrypt najczęściej wskazywał wprost stronę startową kitu ^[5]. Sucuri w grudniu 2015 roku opisał wariant, w którym złośliwy kod PHP wstrzykiwano do pliku wp-includes/nav-menu.php, a przeglądarka ofiary dostawała odpowiedź od Angler EK, próbującego zainstalować ransomware ^[7]. W lutym 2016 roku Malwarebytes opisał kampanię, w której do wszystkich plików JavaScript przejętych stron WordPress dopisywano dwukrotnie zaciemniony fragment; w jej ramach Angler EK zastąpił Nuclear EK, a ładunkiem był TeslaCrypt ^[6].

Wynika z tego praktyczna wskazówka. Zmiana w pliku rdzenia albo dopisek w plikach JS motywu to wskaźnik kompromitacji (IoC), który wykrywa monitorowanie integralności plików. Kod wstrzyknięty zwykle jest objęty zaciemnianiem kodu, więc przegląd wzrokowy łatwo go pomija.

Zagrożenia i skutki

Według Krebsa Blackhole był przez kilka lat odpowiedzialny za dużą część infekcji i kradzieży danych logowania do bankowości ^[3]. Group-IB przypisał narzędziom tego autora, Blackhole i Cool Exploit Kit, ponad 40% infekcji ^[4]. Ładunki zmieniały się z czasem: od trojanów bankowych po ransomware CryptoWall i TeslaCrypt, dostarczane przez Angler EK albo Neutrino EK ^[5].

Dla właściciela przejętej strony skutkiem jest to, że jego witryna rozsyła malware. Może trafić na listy ostrzeżeń przeglądarek i stracić zaufanie odwiedzających, nawet jeśli sama nie przechowuje żadnych cennych danych.

Jak się bronić

Obrona ma dwie strony. Użytkownik ogranicza skutki przez aktualizacje oprogramowania: exploit kit dobiera exploity do wykrytych wersji przeglądarki i wtyczek ^[2], więc przestarzały komponent jest warunkiem udanego ataku. Znaczenie ma też usuwanie niepotrzebnych wtyczek przeglądarki, na które sekurak wskazywał jako główne cele, takich jak Java, Flash Player i Adobe Acrobat ^[1].

Właściciel strony dba o to, żeby jego witryna nie stała się ogniwem łańcucha. Pomagają aktualne wtyczki i motywy, kontrola integralności plików rdzenia i skryptów oraz skanery złośliwego oprogramowania (malware scanner), które wykrywają wstrzyknięte przekierowania.

Historia i przykłady

• 2006 — Web Attacker, pierwszy popularny exploit kit, z siedmioma exploitami ^[1].
• 2011 — Niebezpiecznik opisuje Blackhole i zwraca uwagę na jego TDS ^[8].
• 4 października 2013 — zatrzymanie autora Blackhole'a o pseudonimie Paunch; według Group-IB miał ponad 1000 klientów i zarabiał 50 000 USD miesięcznie ^[4].
• 2015–2016 — kampania pseudo-Darkleech na stronach WordPress kieruje ruch do Angler EK i Neutrino EK ^[5].
• kwiecień 2016 — rosyjski sąd skazuje autora Blackhole'a na siedem lat kolonii karnej ^[3].