technika wodopoju

Technika wodopoju (watering hole) to atak pośredni: zamiast kontaktować się z ofiarą, sprawca włamuje się na legalną witrynę, którą wybrana grupa regularnie odwiedza, i czeka, aż ofiary same na nią wejdą. MITRE ATT&CK opisuje ją jako odmianę techniki Drive-by Compromise, w której strona jest odwiedzana przez określoną społeczność, na przykład administrację, branżę albo region, a celem jest przejęcie konkretnych użytkowników połączonych wspólnym zainteresowaniem ^[1]. Ta sama pozycja podaje drugą nazwę: strategic web compromise ^[1]. Nazwa nawiązuje do drapieżnika, który czeka przy wodopoju zamiast ścigać zwierzynę.

Jak działa

Według ATT&CK przeciwnik może przejąć system użytkownika, który po prostu przegląda strony w zwykły sposób ^[1]. Wodopój jest tu nośnikiem, a nie celem. Strona zostaje przejęta i dostaje wstrzyknięty kod; ATT&CK wymienia też wykupione reklamy i wbudowane interfejsy aplikacji internetowej, przez które da się wstawić skrypt albo ramkę iframe ^[1]. Wstrzyknięty kod zwykle ładuje exploit dla przeglądarki albo jej wtyczek, a po udanej infekcji instaluje tylną furtkę.

Niebezpiecznik w 2012 roku opisał wodopój jako atak drive-by download połączony z zawężeniem ofiar do ściśle wybranej grupy osób ^[2]. To zawężenie odróżnia technikę wodopoju od masowych infekcji: skrypt na przejętej stronie często sprawdza adres IP odwiedzającego i atakuje tylko adresy z listy, a pozostałych gości zostawia w spokoju ^[3]. Dzięki temu właściciel strony i przypadkowi użytkownicy długo niczego nie zauważają.

Przebieg ataku pokazuje schemat poniżej.

RYS. 1Atak techniką wodopoju

Kto i po co jej używa

Technika wodopoju wymaga rozpoznania ofiar, przejęcia cudzej witryny i zwykle własnych exploitów, dlatego kojarzy się z grupami APT. ATT&CK przypisuje grupie Turla, łączonej z rosyjską FSB, prowadzenie kampanii wodopoju i spear phishingu ^[5]. Google Threat Analysis Group oceniło sprawcę kampanii z 2021 roku jako grupę z dużymi zasobami, prawdopodobnie wspieraną przez państwo, z własnym zespołem programistów ^[4].

Celem są zwykle ludzie, do których trudno dotrzeć wprost: pracownicy banków, urzędnicy, dziennikarze, działacze. Wiadomość phishingowa mogą rozpoznać; wizyty na znanej stronie branżowej nie podejrzewają.

W WordPressie

Strona WordPress może stać się wodopojem, jeśli jej odbiorcy są interesujący dla atakującego: portal branżowy, serwis stowarzyszenia, strona uczelni albo urzędu. Właściciel nie jest wtedy celem, tylko narzędziem. ATT&CK odnotowuje, że Turla często używała przejętych stron WordPress jako infrastruktury dowodzenia i kontroli ^[5], co pokazuje, że takie witryny są dla grup APT zasobem wielokrotnego użytku.

Typowe drogi wejścia to podatność we wtyczce albo w motywie, porzucona wtyczka bez poprawek i przejęte konto administratora. Wstrzyknięty kod ląduje w pliku motywu, w bibliotece JavaScript albo w treści zapisanej w bazie.

Dokumentacja WordPressa wskazuje kilka zabezpieczeń, które utrudniają przejęcie strony ^[6].

Stała DISALLOW_FILE_EDIT według dokumentacji działa jak odebranie uprawnień edit_themes, edit_plugins i edit_files ^[6], czyli wyłącza edytor plików motywów i wtyczek. Monitorowanie integralności plików ma tu szczególną wagę, bo wodopój filtruje ofiary i zwykły gość nie zobaczy objawów.

Jak się bronić

Obrona dzieli się na dwie strony. Właściciel witryny dba, by jego strona nie stała się wodopojem: aktualizuje oprogramowanie, ogranicza dostęp do panelu i sprawdza, czy pliki i skrypty nie zmieniły się bez jego wiedzy. Content Security Policy ogranicza źródła, z których strona może ładować skrypty, co utrudnia dołączenie zewnętrznego ładunku.

Po stronie odwiedzających ATT&CK wymienia izolację aplikacji i piaskownicę, ochronę przed exploitami, ograniczanie treści internetowych, na przykład blokery skryptów i reklam, aktualizację przeglądarek i wtyczek oraz szkolenie użytkowników ^[1]. Aktualizacja oprogramowania nie chroni jednak przed luką zero-day, której producent jeszcze nie zna.

Historia i przykłady

Council on Foreign Relations, 2012. Niebezpiecznik opisał 29 grudnia 2012 roku przejęcie strony organizacji Council on Foreign Relations (CFR), na której umieszczono złośliwy JavaScript ^[2]. Kod wykorzystywał nieznaną wcześniej lukę w Internet Explorerze 8, oznaczoną CVE-2012-4792, a ofiarami mieli być czytelnicy i pracownicy organizacji ^[2].

KNF i banki, 2016–2017. Według opisu z 7 lutego 2017 roku atakujący wykorzystali dziurę w serwerze JBoss na stronie Komisji Nadzoru Finansowego i 7 października 2016 roku wstrzyknęli złośliwy kod do jednej z bibliotek JavaScript ^[3]. Kod celował w około 150 adresów IP należących do 104 organizacji z 31 krajów, głównie instytucji finansowych ^[3]. Ta sama technika została użyta na stronie meksykańskiego nadzoru finansowego ^[3]. Artykuł zaznacza, że nie było dowodów kradzieży środków z polskich banków ^[3].

Hongkong, 2021. Google TAG pod koniec sierpnia 2021 roku wykrył ataki wodopoju na odwiedzających stronę hongkońskiego medium i prodemokratycznej organizacji politycznej ^[4]. Strony zawierały dwie ramki iframe serwujące exploity dla iOS i macOS z serwera atakującego ^[4]. Łańcuch wykorzystywał między innymi lukę CVE-2021-30869 w jądrze XNU, niezałataną wtedy w macOS Catalina, prowadzącą do eskalacji uprawnień ^[4].