Une attaque par téléchargement furtif se produit lorsqu'un logiciel malveillant est téléchargé et parfois installé à l'insu ou sans le consentement de l'utilisateur, simplement en visitant un site web compromis. Ces attaques exploitent souvent les vulnérabilités des navigateurs, des plugins ou des systèmes d'exploitation. Pour s'en protéger, il convient de maintenir les logiciels à jour, d'utiliser des navigateurs modernes dotés de fonctionnalités de sécurité activées et de mettre en œuvre des politiques de sécurité du contenu strictes.
Un téléchargement furtif (drive-by download) installe un logiciel malveillant sur l'appareil d'un visiteur sans qu'aucun clic ne soit nécessaire au-delà du chargement d'une page. L'attaquant compromet soit un site légitime, soit attire la victime vers un site malveillant, puis diffuse un contenu qui sonde discrètement le navigateur, ses plugins et le système d'exploitation à la recherche de vulnérabilités connues. Lorsqu'une faille correspondante est trouvée, un exploit s'exécute et récupère une charge utile, déposant un logiciel malveillant tel qu'un cheval de Troie bancaire ou un chargeur de rançongiciel. Certaines variantes n'ont besoin que du rendu de la page ; d'autres reposent sur une invite trompeuse déguisée en codec ou en mise à jour logicielle. Comme l'exploit se déclenche à l'intérieur d'une session de navigation par ailleurs de confiance, la victime ne remarque généralement rien d'anormal pendant que l'infection s'installe.
L'attaque passe à l'échelle à moindre coût. Une seule régie publicitaire, un CDN ou un script tiers compromis peut exposer tous les visiteurs de tous les sites qui le chargent, transformant une navigation ordinaire en infection de masse. Les victimes n'ont commis aucune erreur de sécurité si ce n'est d'utiliser un navigateur ou un plugin non corrigé, si bien que la sensibilisation n'y peut pas grand-chose. Une fois la charge utile en place, elle peut voler des identifiants, enrôler la machine dans un botnet ou chiffrer des fichiers. Pour l'exploitant d'un site web, diffuser à son insu un téléchargement furtif, généralement via un script détourné ou du malvertising, nuit à sa réputation, peut entraîner un blocage par les navigateurs et les moteurs de recherche, et peut exposer des données réglementées traitées sur la page concernée.
La meilleure défense reste l'application des correctifs : des navigateurs, des extensions et des systèmes d'exploitation à jour comblent les vulnérabilités que ciblent la plupart des kits, et le sandboxing moderne des navigateurs contient le code qui parvient malgré tout à passer. Les propriétaires de sites doivent aussi maîtriser ce qui s'exécute sur leurs pages, car la voie de diffusion la plus courante est un script tiers compromis ou malveillant plutôt que le code propre au site. Une Content Security Policy stricte limite les origines depuis lesquelles les scripts peuvent se charger, mais pas ce que fait un script déjà considéré comme de confiance. cside achemine les scripts tiers via un méthode Script et analyse la charge utile JavaScript ; ainsi, une balise qui tente soudainement de déclencher un exploit ou de récupérer un téléchargement caché peut être signalée et bloquée en temps réel.
Souvent non. La forme classique s'exécute dès qu'un navigateur vulnérable affiche la page malveillante, sans invite de téléchargement ni clic délibéré. Certaines campagnes ajoutent bien un faux bouton de mise à jour ou de codec pour augmenter leur taux de réussite, mais le trait caractéristique reste que l'infection peut survenir par la seule visite d'une page.
Les correctifs éliminent la plus grande partie du risque, car les kits s'appuient sur des vulnérabilités connues et déjà corrigées, mais ce n'est pas absolu. Des exploits zero-day, des plugins non corrigés et des invites d'ingénierie sociale peuvent encore réussir. Superposer le sandboxing, le contrôle des scripts et une utilisation prudente des extensions par-dessus des mises à jour rapides offre la protection la plus fiable.
We answer client-side security questions every day. Bring yours.