Vattenhålattacker skaffar upp alla, inte bara utvecklare på Facebook, Twitter

"Vattenhål" -kampanjer är mer synliga nyligen, med forskare som identifierar nya incidenter nästan varje dag. Attacken som komprometterade flera datorer på Facebook, Twitter, Apple och Microsoft förra månaden verkar också ha påverkat fler företag.

Facebook avslöjade förra månaden att några av dess utvecklare hade infekterats med en Mac Trojan efter att ha besökt ett hackat mobilutvecklingsforum. Vid den tiden antydde företaget att många andra företag också hade drabbats. Det verkar som att angriparna smittade anställda i "ett brett spektrum av målföretag över hela branschen", fann säkerhetsboken tidigare denna vecka. Listan över berörda organisationer inkluderade framstående biltillverkare, amerikanska myndigheter och "till och med en ledande godisproducent", enligt rapporten.

"Bredden av typer av tjänster och enheter som riktas in återspeglar inte en riktad attack på en enda teknik- eller industrisektor, " sade Joe Sullivan, Facebooks säkerhetschef, till The Security Ledger .

Vad är ett vattningshål?

Angriparna verkar ha kapat två andra utvecklingswebbplatser för mobilapplikationer - en som ägnas åt Android-utvecklare - förutom iPhone-utvecklarforumet som lade upp Facebook-utvecklare, rapporterade The Security Ledger . Andra webbplatser - inte bara utvecklare av mobilapplikationer eller annan typ av programvaruutveckling - användes också i denna breda kampanj, enligt källor som är bekanta med utredningen.

I en vattenhålangrepp komprometterar och manipulerar angriparna en webbplats för att servera skadlig programvara för besökare på webbplatsen. Angriparnas motiv i denna typ av attack skiljer sig dock från de hackande webbplatserna som en form av protest eller avsikt att stjäla information eller pengar. Istället utnyttjar dessa angripare osäkra webbplatser och applikationer för att rikta in sig på den användare som troligtvis kommer att besöka den specifika webbplatsen. I fallet med rådet för utrikesrelationer tillbaka i december var angriparna förmodligen efter politikvinnar och andra som hanterar utrikespolitik. Mobilutvecklare kommer sannolikt att besöka ett utvecklarforum och listan fortsätter.

Hackade eller vattna hålattack?

Åtgärder i vattningshål verkar vara attacker du jour , med nya rapporter om webbplatser som äventyras varje dag. Websense Security Labs konstaterade igår att den israeliska regeringens relaterade webbplatser ict.org.il och herzliyaconference.org hade hackats för att tjäna ett Internet Explorer-utnyttjande. Attacken laddade ner en Windows-dropper-fil och öppnade en ihållande bakdörr för att kommunicera med kommandot-och-kontrollservern, sade Websense. Labs uppskattade användare smittades redan 23 januari.

Företaget hittade ledtrådar som antydde samma "Elderwood" -grupp bakom rådet för utrikesrelaterade attacker som också låg bakom denna kampanj.

National Journal, en publikation för politiska insiders i Washington, DC, visade sig tjäna upp varianter av ZeroAccess rootkit och falska antivirus denna vecka, fann Invincea-forskare. Tidpunkten för attacken är lite förvånande, eftersom tidningen hade hittat skadlig programvara på sin webbplats redan i februari och just hade säkrat webbplatsen och rensat den. Den senaste attacken använde två kända Java-sårbarheter och riktade besökare till en webbplats som var värd för Fiesta / NeoSploit exploit-kit.

Varför händer dessa attacker?

Utvecklare är "vanligtvis mjuka mål", eftersom de har omfattande tillgång till interna resurser och ofta har administratörsrättigheter (eller höga privilegier) på sina egna datorer, säger Rich Mogull, analytiker och VD för Securosis. Utvecklare tillbringar mycket tid på olika utvecklarwebbplatser och kan delta i forumdiskussioner. Många av dessa forumwebbplatser har inte den bästa säkerheten på plats och är sårbara för kompromisser.

Oavsett om angriparen lanserar en riktad attack eller fortfarande förlitar sig på en utbredd kampanj för att netto så många offer som möjligt, "kriminella" följer medarbetaren om du vill ha tillgång till företaget, "skrev Anup Ghosh, VD och grundare av Invincea.

Även om angriparna kan ha kastat ett brett nät och inte specifikt inriktat sig på en typ av användare, valde brottslingarna dessa webbplatser av en anledning. Regeringswebbplatser, publikationer och utvecklarforum är webbplatser med hög trafik, vilket ger angriparna en stor pool av potentiella offer.

När angriparna har en lista över offren, kan de identifiera de högvärda offren och skapa nästa attackrunda, vilket kan innebära mer social teknik eller instruera den inhemska skadlig programvaran att ladda ner ytterligare skadlig programvara.

Ur användarens synvinkel framhäver detta bara vikten av att hålla dina säkerhetsverktyg, programvara och operativsystem uppdaterade med de senaste korrigeringarna. Angripare använder inte bara nolldagar; många av attackerna litar faktiskt på gamla, kända sårbarheter eftersom människor bara inte uppdaterar regelbundet. Om ditt jobb kräver att du öppnar webbplatser som använder Java, har du en särskild webbläsare för dessa webbplatser och inaktiverar Java i den defult webbläsaren för att få åtkomst till resten av webben.

Var försiktig där ute.