Qu'est-ce qu'une attaque par trou d'eau et comment la prévenir ?

La sophistication des cyberattaques a augmenté de façon exponentielle au cours de la dernière décennie, laissant de nombreuses organisations dans l'obligation de maintenir la sécurité de leur réseau et de leurs données face à l'apparition de nouvelles menaces inconnues jusqu'alors. Des termes tels que malware, phishing et même attaques par déni de service sont familiers à la plupart des gens. En revanche, d'autres termes, tels que les attaques de type "watering hole", peuvent être tout à fait nouveaux.

Nous examinons ici ce que sont les attaques de type "watering hole", comment elles fonctionnent et comment vous et votre organisation pouvez sensibiliser aux menaces qu'elles représentent et vous en protéger.

Comment fonctionnent les attaques par trou d'eau ?

Les attaques par trou d'eau, parfois connues sous le nom de phishing, tirent leur nom de la nature, comme lorsqu'un prédateur frappe sa proie alors qu'elle s'arrête à un point d'eau pour s'abreuver. Pensez à un lion qui se cache dans un point d'eau populaire de la savane et qui bondit sur une antilope qui ne se doute de rien. L'antilope est une cible facile, mais le point d'eau est aussi un endroit où toutes sortes d'animaux se rassemblent régulièrement. 

La raison de cette analogie apparaît clairement lorsque nous définissons une attaque de type "watering hole" dans le contexte de la cybersécurité. Les acteurs de la menace cherchent à frapper leurs cibles là où elles se rassemblent, généralement sur des sites web fréquemment utilisés par la cible. Ayant souvent utilisé ce site web, la cible réfléchit rarement à sa sécurité, ce qui la rend vulnérable à des attaques surprises provenant de diverses sources.

Le concept des attaques par trou d'eau est clair, mais les méthodes utilisées par les cyberattaquants pour les mettre en œuvre et en tirer profit sont également essentielles à comprendre. En général, les attaques de type "watering hole" se déroulent en quatre étapes qui visent à surveiller, analyser et exécuter l'un des nombreux types d'exploits véhiculés par le web. En règle générale, ces étapes sont les suivantes

Recueillir des renseignements grâce à la traçabilité 

Les attaquants commencent par identifier une cible et par recueillir des informations sur ses habitudes de navigation sur le web. Il peut s'agir de sites publics fréquemment visités, de sites web spécifiques à l'entreprise ou au secteur, ou même d'outils tels que le webmail et le stockage en nuage. Les acteurs de la menace utilisent une série d'outils pour recueillir ces informations, notamment des moteurs de recherche, des pages de médias sociaux, des données démographiques de sites web, de l'ingénierie sociale, des logiciels espions et des enregistreurs de frappe.

Analyser les sites web pour détecter les vulnérabilités 

Une fois les cibles viables identifiées, les cyberattaquants commencent à analyser la liste des sites web à la recherche de faiblesses et de vulnérabilités au niveau du domaine et du sous-domaine. En outre, des clones de sites web peuvent être créés pour tromper la cible et lui faire croire qu'elle utilise le site officiel. Parfois, les deux sont utilisés en tandem, compromettant un site légitime pour conduire les cibles vers une page malveillante.

Préparer des exploits et infecter des sites web cibles 

Les exploits transmis par le web sont utilisés pour infecter les sites web couramment utilisés par la cible. En se concentrant sur des technologies telles que ActiveX, HTML, JavaScript, des images et d'autres vecteurs, les cyberattaquants visent à compromettre les navigateurs utilisés par la cible. Des attaques sophistiquées peuvent même permettre aux acteurs d'infecter les visiteurs avec des adresses IP spécifiques.

Attendez que la cible télécharge sans méfiance un Malware.

L'infrastructure de phishing est maintenant en place et les acteurs malveillants n'ont plus qu'à attendre que le malware s'active. Cela se produit lorsque le navigateur de la cible télécharge sans méfiance et exécute automatiquement le logiciel préinstallé à partir des sites compromis. Cela fonctionne car les navigateurs web téléchargent souvent sans discernement du code sur les ordinateurs et les appareils. 

Comment les particuliers peuvent-ils se protéger contre les attaques de type "Watering Hole" ?

La prévention des attaques par trou d'eau pour les particuliers consiste à maintenir de bonnes pratiques de cybersécurité chaque fois que vous êtes en ligne. Cela signifie qu'il faut faire attention à l'endroit où l'on clique et à ce que l'on clique lorsqu'on navigue sur le web, et veiller à ce qu'un logiciel antivirus de haute qualité soit installé et régulièrement mis à jour. Les applications de protection des navigateurs et les VPN peuvent également être utiles, en alertant les utilisateurs sur les sites ou les téléchargements potentiellement malveillants et en les bloquant complètement si nécessaire. 

Comment les entreprises peuvent-elles se protéger contre les attaques de type "Watering Hole" ?

Les entreprises peuvent adopter une approche plus robuste de la prévention des attaques de type "watering hole" grâce à divers outils et protocoles de cybersécurité avancés. Il s'agit notamment de

• Sensibilisation aux attaques de type "watering hole" et formation du personnel par le biais de programmes de sensibilisation et de formation à la sécurité centrés sur les risques humains afin de leur permettre de détecter plus rapidement les activités suspectes.
• Veiller à ce que tous les logiciels, y compris les logiciels non liés à la sécurité, soient mis à jour. Les attaques de type "watering hole" recherchent activement les vulnérabilités, c'est pourquoi des analyses régulières des vulnérabilités et des correctifs de sécurité constituent une ligne de défense essentielle.
• Utiliser des passerelles web sécurisées pour filtrer les menaces basées sur le web et appliquer des politiques d'utilisation acceptable. Une passerelle web sécurisée agit comme un intermédiaire entre l'utilisateur et le site web externe, bloquant le trafic réseau malveillant et permettant au personnel de naviguer en toute sécurité.
• Veiller à ce que tout le trafic qui passe par le réseau de l'organisation soit traité comme non fiable jusqu'à ce qu'il ait été validé.
• Utiliser les outils de détection et de réponse des points d'accès pour protéger votre organisation contre les nouvelles menaces de malware. 

Exemples d'attaques par trou d'eau

Dans le passé, les attaques de type "watering hole" ont visé des organisations de premier plan qui étaient censées avoir mis en place une protection de cybersécurité haut de gamme. Cela signifie que tout type d'organisation peut être vulnérable à ces menaces persistantes avancées (APT). Voici quelques exemples concrets d'attaques de points d'eau très médiatisées :

2012 - Conseil américain des relations extérieures

Les cyber-attaquants ont infecté le CFR par le biais d'un programme d'exploitation d'Internet Explorer. Le phishing de type "Watering hole" visait les navigateurs n'utilisant que certaines langues susceptibles d'être exploitées. 

2016 - Autorité financière polonaise

Ciblant plus de 31 pays, dont la Pologne, les États-Unis et le Mexique, les chercheurs ont découvert un kit d'exploitation intégré au serveur web de l'autorité financière polonaise. 

2019 - Eau bénite

En intégrant un pop-up Adobe Flash malveillant qui déclenche une attaque par téléchargement, des dizaines de sites web religieux, caritatifs et bénévoles ont été infectés. 

2020 - SolarWinds

L'entreprise informatique SolarWinds a été la cible d'une attaque de grande envergure, de type "watering hole", qui a duré longtemps. Après des mois de travail de cyberespionnage, il a été découvert que des agents parrainés par l'État utilisaient le phishing pour espionner des entreprises de cybersécurité, le département du Trésor, la sécurité intérieure et bien d'autres encore.

2021 - Hong Kong

Le groupe d'analyse des menaces de Google a identifié de nombreuses attaques de type "watering hole" (trou d'eau) visant les utilisateurs qui consultent les sites web des médias et des partisans de la démocratie à Hong Kong. Une fois qu'il a réussi, le malware installe une porte dérobée sur les personnes utilisant des appareils Apple.

Comment savoir si vous avez été victime d'une attaque dans un point de vente d'eau ?

Comme les attaques de type "watering hole" sont, de par leur conception, censées nous faire croire que nous visitons un site web de confiance ou une source légitime, il peut être difficile de les identifier immédiatement. Si vous ne vous êtes pas rendu compte de l'attaque à la source en temps réel, le prochain indicateur probable sera que vos réseaux commencent à agir différemment et que des données disparaissent ou ne sont plus accessibles. C'est pourquoi il est essentiel de redoubler de vigilance à l'égard des exploits de type "zero-day", qui sont les vecteurs les plus courants du phishing "watering hole".