Kits de exploits de navegador são conjuntos de ferramentas maliciosas criados para sondar navegadores web (e seus plugins) em busca de vulnerabilidades conhecidas. Distribuídos por sites comprometidos ou maliciosos, esses kits detectam os detalhes do navegador do usuário e entregam exploits sob medida, muitas vezes instalando malware de forma silenciosa. Do ponto de vista da segurança client-side, atualizar os navegadores com frequência, desativar plugins desnecessários e usar sandboxing de navegador ajuda a se defender dos exploit kits. Como automatizam a varredura e a exploração, os exploit kits continuam sendo uma ameaça importante em ambientes client-side.
Um browser exploit kit é um conjunto de ferramentas empacotado que automatiza a descoberta e a exploração de vulnerabilidades de navegador. As vítimas normalmente chegam por meio de um site comprometido, um anúncio malicioso ou uma cadeia de redirecionamentos que canaliza o tráfego para uma landing page. O kit faz o fingerprint do visitante, lendo a versão do navegador, o sistema operacional e os plugins instalados, e então seleciona de seu pacote um exploit que corresponda a uma falha conhecida e sem correção. Se um deles funcionar, ele baixa e executa silenciosamente uma payload escolhida pelo operador. Os kits são vendidos ou alugados como um serviço, com painéis, recursos de evasão e exploits atualizados regularmente, o que permite que atacantes com pouca habilidade técnica conduzam grandes campanhas de infecção.
Como toda a cadeia, do fingerprinting à entrega da payload, é automatizada, um único kit pode comprometer milhares de visitantes por dia sem nenhum esforço manual. Os operadores alternam entre domínios de hospedagem, ofuscam seu código e ocultam os exploits atrás de verificações contra analistas e sandboxes, o que mantém as campanhas ativas e difíceis de rastrear. O próprio kit não precisa invadir o site-alvo: alugar espaço publicitário ou sequestrar um script de terceiros confiável já basta para alcançar um grande público. Qualquer dispositivo que rode um navegador ou plugin desatualizado se torna candidato, e a payload entregue, seja ransomware, um info-stealer ou um agente de bot, é o que causa o dano real.
Os exploit kits dependem de vulnerabilidades conhecidas, então a aplicação disciplinada de correções em navegadores, plugins e sistemas operacionais elimina a maior parte de sua munição, e o sandboxing do navegador limita o que um exploit bem-sucedido consegue alcançar. Remover plugins desnecessários reduz ainda mais a superfície de ataque. Do lado do site, o veículo de entrega habitual é um anúncio malicioso ou um script de terceiros adulterado, então controlar e monitorar o que é carregado em suas páginas é importante. A cside encaminha scripts de terceiros por um método Script e inspeciona a payload real, então um script que começa a fazer fingerprint dos visitantes ou a redirecioná-los para uma landing page de exploit pode ser detectado e bloqueado, com um registro forense de exatamente o que foi executado.
Eles se sobrepõem, mas não são a mesma coisa. Um exploit kit é o framework de software reutilizável que faz o fingerprint dos navegadores e dispara exploits correspondentes. Um drive-by download é o resultado, malware entregue sem um clique deliberado. Os kits são uma forma comum de realizar drive-by downloads em larga escala.
Trate como um comprometimento. Identifique e remova o script injetado, o anúncio malicioso ou a tag de terceiros sequestrada, troque quaisquer credenciais expostas e revise como o código foi inserido. Depois, adicione um monitoramento contínuo dos scripts de terceiros para que uma reinfecção seja detectada rapidamente, e não só depois que os visitantes relatam problemas.
We answer client-side security questions every day. Bring yours.