轉自Mcafee Labs，作者German Lancioni
水坑攻擊巧妙而危險的動態
一組研究人員最近公布了利用多個iPhone漏洞利用網站感染最終目標的研究結果。這類攻擊背後的關鍵概念是使用可信的網站作為攻擊他人的中間平臺，它被定義為水坑攻擊。
再通俗一點講，就是在受害者必經之路設置了一個「水坑(陷阱)」。最常見的做法是，黑客分析攻擊目標的上網活動規律，尋找攻擊目標經常訪問的網站的弱點，先將此網站「攻破」並植入攻擊代碼，一旦攻擊目標訪問該網站就會「中招」。
它是如何工作的?
你們的組織是一個堅不可摧的堡壘，實施了每一項網絡安全措施。壞蛋很難破壞您的系統。但是，如果最薄弱的環節不是您的組織，而是第三方呢?這就是「跳島」攻擊可以摧毀你的堡壘的地方。
「跳島」是一種軍事戰略，目的是集中力量在戰略位置較弱的島嶼上，以接近最後一個主要陸地目標。
「跳島」的一個相關例子是水坑攻擊。水坑攻擊的動機是攻擊者的挫敗感。如果他們不能到達目標，也許他們可以妥協一個較弱的次級目標，然後獲得接近目標?組織中的員工總是與第三方網站和服務進行交互。
可以是供應商、供應鏈中的實體，甚至是公開可用的網站。即使您的組織可能具有最先進的安全外圍保護，與您交互的第三方可能沒有。
在這種類型的攻擊中，壞人開始對員工進行剖析，以找出他們通常使用的網站或服務。什麼是最常訪問的新聞博客?他們更喜歡哪家航空公司?他們使用哪個服務提供商來檢查工資單?目標組織所在的行業類型、員工的職業興趣等是什麼?
基於這一分析，他們分析了員工訪問的眾多網站中哪些是薄弱和脆弱的。當他們發現一個，下一步是危害這個第三方網站注入惡意代碼，託管惡意軟體，感染現有/受信任的下載，或重定向到釣魚網站竊取證書。
一旦網站被入侵，他們就會等待目標組織的員工訪問網站並被感染，有時會更加直接，比如發送給員工的釣魚郵件。
有時，這需要某種形式的交互，例如員工使用文件上傳表單、下載以前受信任的PDF報告或試圖從合法的站點重定向後登錄釣魚站點。最後，黑客將從受感染的員工設備橫向移動到期望的最終目標。
圖1:水坑攻擊動態
水坑攻擊的受害者不僅是最終目標，而且是參與攻擊鏈的戰略組織。例如，2019年3月發現一起水坑襲擊事件，目標是聯合國成員國，將國際民航組織(ICAO)作為中間目標[1]。
由於國際民航組織是預定目標經常訪問的網站，它受到了利用易受攻擊的伺服器的攻擊。去年的另一個例子是一個由20多個新聞和媒體網站組成的團體，他們作為中間目標被攻擊，以達到越南和柬埔寨的特定目標[2]。
風險分析
由於此類攻擊依賴於脆弱但可信的第三方網站，因此通常不會引起注意，也不容易與進一步的數據洩露聯繫起來。為了確保你的風險分析考慮到了這種潛在的威脅，你需要問以下幾個問題:
互動網站和服務有多安全?
第三方的安全利益是否與我的一致?(提示:可能不是!您可能急於修補您的web伺服器，但這並不意味著第三方站點也在這麼做)。
水坑攻擊有什麼影響?
對於每種威脅，重要的是分析這種威脅的可能性以及攻擊者實現它的難度。這將因組織而異，但是一種通用的方法是分析最流行的網站。
在查看全球排名前100萬的網站時，有趣的是，其中60%左右的網站使用內容管理系統(cms)，如WordPress、Joomla或Drupal。
這帶來了一個額外的挑戰，因為從統計上看，這些流行的CMSs更有可能出現在組織的網絡流量中，因此更有可能成為水坑攻擊的目標。
因此，每月發現和利用CMSs上的幾十個漏洞就不足為奇了(在過去兩年中，僅前4個CMSs[4]就發現了大約1000個漏洞)。
更令人擔憂的是，CMSs被設計成與其他服務集成並使用插件進行擴展(到目前為止，已有超過55,000個插件可用)。這進一步擴展了攻擊面，因為它創造了損害這些框架所使用的小型庫/插件的機會。
因此，CMSs經常成為水坑攻擊的目標，通過利用漏洞使壞人能夠控制伺服器/站點，修改其內容以達到惡意目的。在一些高級場景中，他們還會添加指紋腳本來檢查IP位址、時區和其他有關受害者的有用細節。
根據這些數據，當受害者不是目標公司的員工時，黑客可以自動決定放手還是繼續，或者當他們捉住中了頭彩的受害者時，他們可以進一步進入攻擊鏈。
防禦水坑攻擊
隨著組織加強其安全姿態，壞行為者正被推向新的邊界。因此，水坑攻擊得到了越來越多的關注，因為這些攻擊允許壞人攻擊中間目標(更脆弱的目標)，以便以後能夠接近預定的最終目標。
為了幫助您的組織免受水坑攻擊，請確保包含了web保護。即使用戶正在訪問一個遭受水坑攻擊的站點，它也可以幫助提供針對特定類型攻擊的額外防禦。你也可以:
建立一個零信任模型，特別是圍繞訪問公共站點的員工，以確保即使一個酒吧攻擊針對的是您的組織，您也可以阻止它繼續前進。
定期檢查您的組織的網絡流量，以確定您的員工可能接觸到的易受攻擊的第三方網站。
檢查組織的提供者公開的網站和服務。這些是否足夠安全，並適當修補?如果沒有，考慮這些可能成為中間目標的可能性，並應用策略來限制對這些站點的暴露(例如，如果這是一個選項，就不允許下載)。
在可能的情況下，向提供者發出關於未修補的web伺服器、CMS框架或庫的警告，以便他們能夠迅速降低風險。
處理水坑攻擊要求我們更加關注和仔細審查我們訪問的網站，即使這些網站被列為受信任的網站。通過這樣做，我們不僅可以降低水坑攻擊的風險，還可以避免數據洩露的可能途徑。
聲明：我們尊重原創者版權，除確實無法確認作者外，均會註明作者和來源。轉載文章僅供個人學習研究，同時向原創作者表示感謝，若涉及版權問題，請及時聯繫小編刪除！
精彩在後面
Hi，我是超級盾
超級盾能做到：防得住、用得起、接得快、玩得好、看得見、雙向數據加密！
截至到目前，超級盾成功抵禦史上最大2.47T黑客DDoS攻擊，超級盾具有無限防禦DDoS、100%防CC的優勢。