Les kits d'exploitation de navigateur sont des ensembles d'outils malveillants conçus pour rechercher les vulnérabilités connues des navigateurs Web (et de leurs plug-ins). Diffusés via des sites compromis ou malveillants, ces kits détectent les détails du navigateur de l'utilisateur et diffusent des exploits personnalisés, installant souvent des logiciels malveillants à l'insu de l'utilisateur. Du point de vue de la sécurité côté client, la mise à jour régulière des navigateurs, la désactivation des plug-ins inutiles et le déploiement d'un bac à sable pour navigateur contribuent à se prémunir contre les kits d'exploitation. Comme ils automatisent l'analyse et l'exploitation, les kits d'exploitation continuent de représenter une menace majeure dans les environnements côté client.
Un kit d'exploitation de navigateur (browser exploit kit) est un ensemble d'outils clé en main qui automatise la découverte et l'exploitation des vulnérabilités des navigateurs. Les victimes arrivent généralement via un site compromis, une publicité malveillante ou une chaîne de redirections qui achemine le trafic vers une page d'atterrissage. Le kit établit l'empreinte du visiteur, en lisant la version du navigateur, le système d'exploitation et les plugins installés, puis sélectionne dans son arsenal un exploit correspondant à une faille connue et non corrigée. Si l'un d'eux réussit, il télécharge et exécute silencieusement une charge utile choisie par l'opérateur. Les kits sont vendus ou loués sous forme de service, avec tableaux de bord, fonctions d'évasion et exploits régulièrement actualisés, ce qui permet à des attaquants peu qualifiés techniquement de mener de vastes campagnes d'infection.
Comme toute la chaîne, de l'empreinte à la livraison de la charge utile, est automatisée, un seul kit peut compromettre des milliers de visiteurs par jour sans aucun effort manuel. Les opérateurs font tourner les domaines d'hébergement, obfusquent leur code et conditionnent les exploits à des vérifications visant à détecter les analystes et les sandboxes, ce qui maintient les campagnes actives et difficiles à retracer. Le kit lui-même n'a pas besoin de pénétrer le site cible : louer un espace publicitaire ou détourner un seul script tiers de confiance suffit à atteindre un large public. Tout appareil équipé d'un navigateur ou d'un plugin obsolète devient une cible potentielle, et c'est la charge utile livrée, rançongiciel, voleur d'informations ou agent bot, qui cause les véritables dégâts.
Les kits d'exploitation dépendent de vulnérabilités connues ; une application rigoureuse des correctifs sur les navigateurs, les plugins et les systèmes d'exploitation leur retire donc l'essentiel de leurs munitions, et le sandboxing des navigateurs limite ce qu'un exploit réussi peut atteindre. Supprimer les plugins inutiles réduit encore la surface d'attaque. Côté site web, le vecteur de diffusion habituel est une publicité malveillante ou un script tiers altéré ; il est donc important de contrôler et de surveiller ce qui se charge sur vos pages. cside achemine les scripts tiers via un méthode Script et inspecte la charge utile réelle : un script qui se met à établir l'empreinte des visiteurs ou à les rediriger vers une page d'atterrissage d'exploit peut ainsi être détecté et bloqué, avec un enregistrement forensique de ce qui s'est exactement exécuté.
Ils se recoupent, mais ne sont pas identiques. Un kit d'exploitation est le cadre logiciel réutilisable qui établit l'empreinte des navigateurs et lance les exploits correspondants. Un téléchargement furtif est le résultat, un logiciel malveillant livré sans clic délibéré. Les kits sont l'un des moyens courants de mener des téléchargements furtifs à grande échelle.
Traitez-le comme une compromission. Identifiez et supprimez le script injecté, la publicité malveillante ou la balise tierce détournée, faites tourner tous les identifiants exposés et examinez la façon dont le code a été inséré. Ajoutez ensuite une surveillance continue des scripts tiers afin qu'une réinfection soit détectée rapidement, plutôt qu'après que des visiteurs aient signalé des problèmes.
We answer client-side security questions every day. Bring yours.