Water hole attack: quando ti senti sicuro è troppo tardi

Stare al passo con i tempi è un gran impegno anche per gli hacker che se vogliono sferrare attacchi con successo devono ricorrere a livelli di sofisticazione di tutto rispetto. Infatti, con l’andare degli anni assistiamo non solo all’uso sempre più diffuso delle tecnologie, ma anche ad una maggiore preparazione e attenzione da parte dell’utente. La cultura della sicurezza informatica ha fatto breccia e dunque raggirare l’ostacolo diventa sempre più complesso. Ma i criminali non demordono e si ingegnano. Ed è per questa ragione che verosimilmente sentiremo sempre più parlare di una nuova forma di attacco chiamata “water hole” che significa letteralmente “pozza d’acqua” o “abbeveratorio”, considerata come un’evoluzione del social engineering, vale a dire lo studio del comportamento di un utente al fine di procurare informazioni utili. Di fatto il water hole attack è una tecnica di phishing molto elaborata che ha come target utenti molto esperti e gruppi specifici. Quando gli hacker mettono in atto questa tecnica , studiano le abitudini di un determinato gruppo, cercano di capire come si muovono sulla rete, a quali risorse attingono con regolarità per poi andare a colpire proprio quei siti che usano abitualmente e che reputano sicuri poiché non solo sono sempre stati utilizzati come fonte fondamentale per il reperimento delle informazioni, ma sono soprattutto di emanazione di aziende affidabili”. In sostanza l’utente entra nella trappola da solo.

Ma come avviene? Se è noto che un sito viene utilizzato da molte persone di una determinata organizzazione o azienda questo viene preso di mira, violato ed infettato utilizzando un exploit zero-day. Quando le vittime ignare approdano al sito, grazie allo sfruttamento delle vulnerabilità, si installa un backdoor Trojan e l’hacker si garantisce l’apertura del varco per accedere alla rete interna. I primi esempi di questi attacchi così sofisticati risalgono al 2008, ma si sono intensificati nell’ultimo periodo. Alcuni casi eclatanti hanno fatto cronaca come quelli sferrati contro società di tutto rilievo come Microsoft, Apple o Facebook.