Watering
Hole es una técnica de ataque que consiste en comprometer sitios web legítimos
para instalar en ellos algún mecanismo de infección (por ejemplo un exploit
para el navegador o un documento malicioso) e intentar infectar a los usuarios
que visiten sus páginas.
El termino
viene de la técnica de caza que utilizan algunos depredadores que esperan a sus
presas cerca de los sitios donde acuden a beber (watering hole = abrevadero).
Algunos
analistas utilizan también la denominación SWC (Strategic Web
Compromise) para referirse a esta técnica de ataque.
Normalmente
los ataques de Watering Hole son un primer componente de ataques dirigidos de
mayor alcance. Se inician con el compromiso de sitios que tengan relación con
la entidad a atacar. Por ejemplo si es una entidad financiera se comprometen
portales de bolsa, si es una entidad militar se comprometen portales de
temática militar o de fabricantes de armamento.
En 2013
tuvimos en España un caso bastante sonado. La web del fabricante español de
equipos de comunicaciones militares Amper fue comprometida a mediados de Septiembre
y utilizada para distribuir el malware PlugX (asociado al grupo Emissary Panda)
mediante un documento Word malicioso.
Este tipo de
ataques son bastante efectivos ya que:
- La seguridad del sitio infectado queda fuera del perímetro de seguridad de la entidad que es el objetivo final, de forma que las medidas de protección de la misma no lo cubren.
- Los sitios infectados normalmente tienen un nivel de seguridad inferior al que tendrían los de las organizaciones objetivo, siendo por tanto necesarias técnicas de ataque menos sofisticadas. Por ejemplo comprometer la web de una publicación o de un blog de temática militar se supone más fácil que hacerlo directamente en una red de defensa.
- Facilita la realización de ataques dirigidos ya que pueden elegirse los sitios a infectar en base al perfil de sus usuarios.
- Pillan a los usuarios con la guardia baja ya que son sitios que visitan habitualmente y en los que suelen confiar.
Protegerse
de este tipo de ataques es complejo. Es necesario que los usuarios tengan sus
equipos actualizados y protegidos, que estén concienciados contra este tipo de
riesgos y que se realice una monitorización activa de los sitios que suelen
visitar nuestros usuarios.
