Un “drive-by download” es un ataque en línea que se produce cuando un usuario visita un sitio web comprometido y se descarga automáticamente malware en su sistema sin su conocimiento ni consentimiento. Este tipo de ataque es especialmente peligroso porque el usuario no necesita hacer nada más que visitar el sitio web para que el malware se descargue y se ejecute en su dispositivo.

Los sitios web comprometidos que realizan ataques de drive-by download suelen aprovechar vulnerabilidades en el software del navegador o en los complementos del navegador, como Java o Adobe Flash, para descargar y ejecutar el malware. En algunos casos, el malware se descarga en segundo plano sin que el usuario lo note, mientras que en otros casos, se puede pedir al usuario que haga clic en un botón o enlace engañoso para iniciar la descarga.

¿Cómo funcionan los Drive-by download?

Los Drive-by download son ataques que suelen aprovechar vulnerabilidades en el software del dispositivo o en los navegadores web para instalar malware de manera silenciosa y automática. Aquí tienes un resumen de cómo funcionan:

• Identificación de vulnerabilidades: Los ciberdelincuentes buscan activamente vulnerabilidades en el software, especialmente en los navegadores web, los complementos o las extensiones, así como en los sistemas operativos. Estas vulnerabilidades son puntos débiles que pueden ser explotados.
• Creación de contenido malicioso: Una vez que encuentran una vulnerabilidad, los atacantes crean contenido malicioso, como un sitio web, un anuncio publicitario o un enlace, que contiene código diseñado para explotar la vulnerabilidad específica.
• Difusión del contenido malicioso: Los atacantes difunden el contenido malicioso a través de diversos medios, como sitios web comprometidos, anuncios publicitarios maliciosos o incluso enlaces en correos electrónicos de phishing.
• Engaño al usuario: Cuando un usuario visita un sitio web o hace clic en un enlace que contiene el contenido malicioso, el ataque se inicia automáticamente sin que el usuario se dé cuenta. En algunos casos, la víctima ni siquiera necesita hacer clic en el contenido malicioso; la visita al sitio comprometido es suficiente para desencadenar la descarga.
• Explotación de la vulnerabilidad: El contenido malicioso aprovecha la vulnerabilidad específica del software objetivo. Puede ser una vulnerabilidad en el navegador, en un complemento o en el sistema operativo. A través de esta vulnerabilidad, el malware se descarga e instala en el dispositivo de la víctima sin su conocimiento.
• Ejecución del malware: Una vez que se instala el malware, puede llevar a cabo diversas acciones maliciosas, como robo de información, control remoto del dispositivo, cifrado de archivos o cualquier otro objetivo que los atacantes tengan en mente.

Tipos de Drive-by download

Los atacantes utilizan una variedad de técnicas para realizar ataques de Drive-by Download, y estas técnicas pueden evolucionar con el tiempo a medida que se descubren vulnerabilidades, estas son: 

Drive-by Download basado en navegador

– Exploits de navegador: Los atacantes explotan vulnerabilidades conocidas en los navegadores web para descargar e instalar malware en el dispositivo del usuario cuando visitan un sitio web malicioso.

– Descargas ocultas: Los sitios web maliciosos pueden engañar a los usuarios para que descarguen archivos maliciosos sin su conocimiento mientras navegan por el sitio.

Drive-by Download basado en publicidad maliciosa

– Anuncios maliciosos: Los anuncios en línea pueden contener código malicioso que se activa cuando un usuario hace clic en el anuncio o incluso cuando simplemente carga una página web que muestra el anuncio. Esto se conoce como “malvertising“.

Drive-by Download basado en correo electrónico

– Adjuntos maliciosos: Los atacantes pueden enviar correos electrónicos de phishing que incluyen archivos adjuntos maliciosos. Si el usuario abre el archivo adjunto, podría desencadenar una descarga de malware.

Drive-by Download basado en aplicación

– Actualizaciones falsas de software: Los atacantes pueden hacer que los usuarios descarguen supuestas actualizaciones de software que en realidad son malware disfrazado. Esto a menudo se ve en el contexto de aplicaciones legítimas, como reproductores de medios o complementos del navegador.

Drive-by Download basado en red

– Redireccionamiento malicioso: Los atacantes pueden manipular las configuraciones de red o interceptar el tráfico web para redirigir a los usuarios a sitios web maliciosos donde se produce la descarga de malware.

Drive-by Download basado en dispositivos móviles

– Descargas maliciosas de aplicaciones: Los usuarios de dispositivos móviles pueden verse afectados por descargas de aplicaciones maliciosas desde tiendas de aplicaciones no oficiales o sitios web móviles comprometidos.

Drive-by Download basado en complementos y extensiones del navegador

– Extensiones maliciosas: Algunas extensiones y complementos de navegadores pueden estar comprometidos o ser maliciosos y pueden instalar malware en el dispositivo del usuario.

Drive-by Download basado en inyección de código

-Los atacantes pueden aprovechar vulnerabilidades en un sitio web legítimo para inyectar código malicioso en las páginas web visitadas por los usuarios.

Ejemplos reales de ataques Drive-by download

Los atacantes han utilizado diferentes técnicas y herramientas para llevar a cabo ataques de Drive-by Download en diversas situaciones. Algunos ejemplos de ataques de “Drive-by Download” reales que han ocurrido en el pasado son:

• Ataque Angler Exploit Kit (2015):

El Angler Exploit Kit fue una de las herramientas de ataque más notorias que se utilizó para llevar a cabo ataques de Drive-by Download. En 2015, se informó que el sitio web del periódico británico “The Daily Mail” fue comprometido y utilizado para distribuir malware a través de anuncios maliciosos. Los visitantes del sitio web se infectaron con malware sin su conocimiento.

• Ataque de ZeroAccess (2012):

En 2012, el botnet ZeroAccess utilizó ataques de Drive-by Download para infectar computadoras con malware y utilizarlas para actividades maliciosas, como la minería de bitcoins. Este botnet se propagó principalmente a través de sitios web comprometidos y anuncios maliciosos.

• Ataque del sitio web de PHP.net (2013):

El sitio web oficial de PHP, un popular lenguaje de programación, fue comprometido en 2013. Los atacantes aprovecharon una vulnerabilidad en el software del servidor web utilizado por el sitio para distribuir malware a los visitantes. Esto demuestra que incluso sitios web de alto perfil pueden ser víctimas de ataques de Drive-by Download.

• Ataque del sitio web de Forbes (2015):

En 2015, el sitio web de Forbes fue víctima de un ataque de malvertising. Los anuncios maliciosos en el sitio web redirigieron a los visitantes a un sitio web comprometido que distribuyó malware a través de vulnerabilidades en los navegadores web de los usuarios.

• Ataque Sundown Exploit Kit (2017):

El Sundown Exploit Kit se utilizó en 2017 para llevar a cabo ataques de Drive-by Download a través de sitios web comprometidos y anuncios maliciosos. Los atacantes aprovecharon vulnerabilidades en los navegadores de los usuarios para entregar malware a gran escala.

• Ataques de Watering Hole (varios años):

Los ataques de Watering Hole implican comprometer sitios web frecuentados por un grupo específico de usuarios. Por ejemplo, un grupo de ciberdelincuentes puede comprometer un sitio web popular entre empleados de una empresa objetivo. Cuando los empleados visitan el sitio, pueden ser víctimas de ataques de Drive-by Download diseñados específicamente para ellos.