Een drive-by download aanval treedt op wanneer kwaadaardige software wordt gedownload en soms geïnstalleerd zonder medeweten of toestemming van de gebruiker, simpelweg door een gecompromitteerde website te bezoeken. Deze aanvallen exploiteren vaak browser-, plugin- of besturingssysteemkwetsbaarheden. Bescherming omvat software up-to-date houden, moderne browsers met beveiligingsfuncties ingeschakeld gebruiken en sterke Content Security Policies implementeren.
Een drive-by download bezorgt malware op het apparaat van een bezoeker zonder dat er meer nodig is dan het laden van een pagina. De aanvaller compromitteert een legitieme site of lokt het slachtoffer naar een kwaadaardige site, en serveert vervolgens content die stilletjes de browser, de plugins en het besturingssysteem aftast op bekende kwetsbaarheden. Zodra er een passend lek wordt gevonden, draait er een exploit die een payload ophaalt en malware plaatst, zoals een banking-trojan of een ransomware-loader. Sommige varianten hebben alleen nodig dat de pagina rendert; andere leunen op een misleidende prompt die zich voordoet als een codec of software-update. Omdat de exploit afgaat binnen een verder vertrouwde browsersessie, ziet het slachtoffer meestal niets ongewoons terwijl de infectie zich voltrekt.
De aanval schaalt goedkoop. Eén gecompromitteerd advertentienetwerk, CDN of third-party script kan elke bezoeker van elke site die het laadt blootstellen, waardoor gewoon browsen verandert in massale infectie. Slachtoffers hoeven geen enkele beveiligingsfout te maken behalve een ongepatchte browser of plugin gebruiken, dus bewustzijnstraining haalt weinig uit. Zodra de payload landt kan die inloggegevens stelen, de machine in een botnet inschrijven of bestanden versleutelen. Voor een website-eigenaar richt het onbewust serveren van een drive-by, meestal via een gekaapt script of malvertising, reputatieschade aan, kan het leiden tot blokkering door browsers en zoekmachines, en kan het gereguleerde gegevens blootleggen die op de getroffen pagina worden verwerkt.
De sterkste verdediging is patchen: actuele browsers, extensies en besturingssystemen dichten de kwetsbaarheden waar de meeste kits op mikken, en moderne browser-sandboxing houdt code tegen die er toch doorheen glipt. Site-eigenaren zouden ook moeten sturen wat er op hun pagina's draait, omdat de gebruikelijke bezorgroute een gecompromitteerd of kwaadaardig third-party script is in plaats van de eigen code van de site. Een strikt Content Security Policy beperkt vanwaar scripts mogen laden, maar niet wat een al vertrouwd script doet. cside stuurt third-party scripts via een Script-methode en analyseert de JavaScript-payload, zodat een tag die opeens een exploit probeert te triggeren of een verborgen download probeert op te halen in realtime kan worden gemarkeerd en geblokkeerd.
Vaak niet. De klassieke vorm draait zodra een kwetsbare browser de kwaadaardige pagina rendert, zonder dat er een downloadprompt of bewuste klik nodig is. Sommige campagnes voegen wel een neppe update- of codec-knop toe om hun succeskans te vergroten, maar het kenmerkende is dat infectie al kan optreden door alleen een pagina te bezoeken.
Patchen neemt het grootste deel van het risico weg omdat kits leunen op bekende, al opgeloste kwetsbaarheden, maar het is niet absoluut. Zero-day-exploits, ongepatchte plugins en social-engineering-prompts kunnen nog steeds slagen. Sandboxing, scriptcontroles en voorzichtig extensiegebruik bovenop snelle updates leggen de meest betrouwbare bescherming neer.
We answer client-side security questions every day. Bring yours.