水坑攻击

目录

• 简介
• 原理
• 攻击技巧
• 实例
• 防御技巧

简介

"水坑攻击"是指黑客通过分析被攻击者的网络活动规律，寻找被攻击者经常访问的网站的弱点，
先攻下该网站并植入攻击代码，等待被攻击者来访时实施攻击。

这种攻击行为类似《动物世界》纪录片中的一种情节：捕食者埋伏在水里或者水坑周围，
等其他动物前来喝水时发起攻击猎取食物。

在人们安全意识不断加强的今天，黑客处心积虑地制作钓鱼网站却被有心人轻易识破，
而水坑攻击则利用了被攻击者对网站的信任。

原理

水坑攻击属于APT攻击的一种，与钓鱼攻击相比，黑客无需耗费精力制作钓鱼网站，
而是利用合法网站的弱点，相对于通过社会工程方式引诱目标用户访问恶意网站更具欺骗性，
隐蔽性比较强,攻击效率也更高。

水坑方法主要被用于有针对性的攻击，而Adobe Reader、Java运行时环境(JRE)、
Flash和IE中的零漏洞被用于安装恶意软件

水坑攻击利用网站的弱点在其中植入攻击代码，攻击代码利用浏览器的缺陷，
被攻击者访问网站时终端会被植入恶意程序或者直接被盗取个人重要信息。

攻击技巧

在互联网上出于个人或商业目的进行搜索时，绝大多数人会不自觉地提供跟踪信息。
该跟踪信息使网络攻击者能够对目标目标受害者的网络行为进行描绘，并提供有关
其公司和组织的安全协议、策略、访问和云服务的其他重要信息。

网络攻击者建立了个人最喜欢的，可信赖的网站和信息源，他们就会调查自己的漏洞，
以及如何最好地利用这些漏洞来达到他们不正当的目的。
然后，他们开始将恶意Javascript或HTML代码插入到你最常访问和信任的网站中，
或者在发现网络安全漏洞后重新创建异常相似的非法网站。
然后，将目标用户重定向到这些伪造的，受感染的网站，在这些网站中，
恶意软件或恶意软件正等待将其与后续的网络钓鱼和勒索软件攻击挂钩。

实例

1. 2013年的VOHO事件

在此事件中，网络攻击者将注意力集中在特定地理区域内的合法网站上，他们认为他们想要攻击和利用的组织经常光顾。
目标组织的用户访问了伪造的水坑网站，然后通过恶意Javascript链接将其重定向到漏洞利用站点。
在安装“gh0st RAT”(一种远程访问木马)以监控该组织收集情报的相关区域之前，
系统会检查受害者电脑的Windows操作系统和Internet Explorer，RAT恶意软件还可能暗中感染并操作网络摄像头和麦克风。

人们发现，在这次攻击中，马萨诸塞州和华盛顿特区与金融和技术有关的网站受到影响。
据报道，超过32000位用户访问了“水坑”站点，影响到州、联邦、教育机构、国防和科技部门的4000个组织。

2. 2015年的福布斯事件

2015年，Forbes.com被攻击，攻击者利用了Microsoft 互联网 Explorer和Adobe Flash中现有的零日漏洞来
创建福布斯“每日想法”功能的恶意版本。每当有人访问Forbes.com的页面时，都会加载Flash Widget，
然后只要设备在活动运行期间进行访问，就会对拥有易受攻击设备的任何人造成影响。
这场水坑攻击特别针对国防和金融服务行业。

还有许多例子，这里就不一一列举了。

防御技巧

• 定期检查员工访问量最大的网站是否存在恶意软件;
• 阻止访问你发现的所有受感染站点;
• 设置浏览器和工具，以利用网站信誉让用户知道不良网站;
• 在允许你的员工访问这些站点之前，请检查所有来自第三方和外部站点的所有流量并进行验证;
• 为了帮助进行验证并增强网络安全状况，建议你采用包括威胁检测在内的多种方法。