Un ataque de descarga drive-by se produce cuando se descarga software malicioso y a veces se instala sin el conocimiento o consentimiento del usuario simplemente visitando un sitio web comprometido. Estos ataques suelen explotar las vulnerabilidades del navegador, de los plugins o del sistema operativo. La protección implica mantener el software actualizado, utilizar navegadores modernos con funciones de seguridad habilitadas e implementar políticas de seguridad de contenidos sólidas.
Una descarga automática (drive-by download) entrega malware al dispositivo de un visitante sin necesidad de más clic que el de cargar una página. El atacante compromete un sitio legítimo o atrae a la víctima hacia uno malicioso y, a continuación, sirve contenido que sondea de forma silenciosa el navegador, sus plugins y el sistema operativo en busca de vulnerabilidades conocidas. Cuando encuentra un fallo que encaja, se ejecuta un exploit que descarga una carga útil y deja malware como un troyano bancario o un cargador de ransomware. Algunas variantes solo necesitan que la página se renderice; otras dependen de un aviso engañoso disfrazado de códec o actualización de software. Como el exploit se dispara dentro de una sesión de navegación por lo demás confiable, la víctima normalmente no ve nada raro mientras se completa la infección.
El ataque escala de forma barata. Una sola red publicitaria, CDN o script de terceros comprometidos pueden exponer a todos los visitantes de todos los sitios que los carguen, convirtiendo la navegación cotidiana en una infección masiva. Las víctimas no necesitan cometer ningún error de seguridad más allá de usar un navegador o plugin sin parchear, así que la formación en concienciación sirve de poco. Una vez que aterriza la carga útil, puede robar credenciales, sumar la máquina a una botnet o cifrar archivos. Para quien opera un sitio web, servir sin saberlo una descarga automática —normalmente a través de un script secuestrado o de malvertising— daña su reputación, puede llevar a que los navegadores y motores de búsqueda lo incluyan en listas de bloqueo y puede exponer datos regulados que se gestionan en la página afectada.
La defensa más fuerte es aplicar parches: los navegadores, extensiones y sistemas operativos actualizados cierran las vulnerabilidades que apuntan la mayoría de los kits, y el sandboxing moderno de los navegadores contiene el código que sí logra colarse. Quienes tienen un sitio también deberían controlar qué se ejecuta en sus páginas, ya que la vía de entrega habitual es un script de terceros comprometido o malicioso, más que el propio código del sitio. Una Content Security Policy estricta limita desde dónde pueden cargarse los scripts, pero no lo que hace un script que ya es de confianza. cside enruta los scripts de terceros a través de un método Script y analiza la carga útil de JavaScript, de modo que una etiqueta que de repente intenta disparar un exploit o descargar algo de forma oculta puede detectarse y bloquearse en tiempo real.
A menudo no. La forma clásica se ejecuta en cuanto un navegador vulnerable renderiza la página maliciosa, sin necesidad de ningún aviso de descarga ni de un clic deliberado. Algunas campañas sí añaden un botón falso de actualización o de códec para aumentar su tasa de éxito, pero el rasgo que las define es que la infección puede producirse solo con visitar una página.
Aplicar parches elimina la mayor parte del riesgo, porque los kits dependen de vulnerabilidades conocidas y ya corregidas, pero no es absoluto. Los exploits de día cero, los plugins sin parchear y los avisos de ingeniería social todavía pueden tener éxito. Sumar sandboxing, control de scripts y un uso prudente de las extensiones por encima de las actualizaciones inmediatas ofrece la protección más fiable.
We answer client-side security questions every day. Bring yours.