Los kits de explotación de navegadores son colecciones de herramientas maliciosas diseñadas para sondear los navegadores web (y sus plugins) en busca de vulnerabilidades conocidas. Entregados a través de sitios comprometidos o maliciosos, estos kits detectan los detalles del navegador del usuario y entregan exploits a medida, a menudo instalando malware de forma silenciosa. Desde el punto de vista de la seguridad del lado del cliente, actualizar regularmente los navegadores, deshabilitar los plugins innecesarios y desplegar el sandboxing del navegador ayudan a defenderse de los kits de explotación. Dado que automatizan el escaneo y la explotación, los kits de explotación siguen siendo una amenaza importante en los entornos del lado del cliente.
Un kit de exploits para navegador es un conjunto de herramientas empaquetado que automatiza el descubrimiento y la explotación de vulnerabilidades del navegador. Las víctimas suelen llegar a través de un sitio comprometido, un anuncio malicioso o una cadena de redirecciones que canaliza el tráfico hacia una página de aterrizaje. El kit hace fingerprinting del visitante, leyendo la versión del navegador, el sistema operativo y los plugins instalados, y luego elige de su repertorio un exploit que encaje con un fallo conocido y sin parchear. Si alguno funciona, descarga y ejecuta de forma silenciosa una carga útil elegida por el operador. Los kits se venden o alquilan como servicio, con paneles de control, funciones de evasión y exploits actualizados con regularidad, lo que permite que atacantes con pocos conocimientos técnicos lancen grandes campañas de infección.
Como toda la cadena, desde el fingerprinting hasta la entrega de la carga útil, está automatizada, un solo kit puede comprometer a miles de visitantes al día sin ningún esfuerzo manual. Los operadores van rotando dominios de alojamiento, ofuscan su código y protegen los exploits detrás de comprobaciones para detectar analistas y sandboxes, lo que mantiene las campañas vivas y difíciles de rastrear. El propio kit no necesita vulnerar el sitio objetivo: basta con alquilar espacio publicitario o secuestrar un único script de terceros de confianza para alcanzar a una gran audiencia. Cualquier dispositivo que ejecute un navegador o plugin desactualizado se convierte en candidato, y la carga útil entregada —ransomware, un ladrón de información o un agente de botnet— causa el daño real.
Los kits de exploits dependen de vulnerabilidades conocidas, así que un parcheo disciplinado de navegadores, plugins y sistemas operativos les quita la mayor parte de su munición, y el sandboxing del navegador limita hasta dónde puede llegar un exploit exitoso. Eliminar los plugins innecesarios reduce todavía más la superficie de ataque. Del lado del sitio web, el vehículo de entrega habitual es un anuncio malicioso o un script de terceros manipulado, así que importa controlar y vigilar qué se carga en tus páginas. cside enruta los scripts de terceros a través de un método Script e inspecciona la carga útil real, de modo que un script que empieza a hacer fingerprinting de los visitantes o a redirigirlos hacia una página de aterrizaje con exploits puede detectarse y bloquearse, con un registro forense de exactamente qué se ejecutó.
Se solapan, pero no son lo mismo. Un kit de exploits es el marco de software reutilizable que hace fingerprinting de los navegadores y lanza los exploits que encajan. Una descarga automática es el resultado: malware entregado sin un clic deliberado. Los kits son una forma común de llevar a cabo descargas automáticas a gran escala.
Trátalo como un compromiso. Identifica y elimina el script inyectado, el anuncio malicioso o la etiqueta de terceros secuestrada, rota cualquier credencial expuesta y revisa cómo se insertó el código. Luego añade una vigilancia continua de los scripts de terceros para que una reinfección se detecte rápido, en lugar de después de que los visitantes reporten problemas.
We answer client-side security questions every day. Bring yours.