Kit de exploits web
From Wikipedia, the free encyclopedia
Un WebKit, Kit de exploits web (del inglés web exploit kit), Paquete de exploits de navegador o BEP (del inglés Browser Exploit Packs), es un software que se instala en servidores web y automatiza la detección y explotación de las vulnerabilidades del navegador y/o plugins instalados en ellos. Lo habitual es que el atacante introduzca enlaces o técnicas para redirigir (malvertising, correos electrónicos maliciosos, sitios web comprometidos,...) que hagan que el navegador del usuario se dirija a un sitio dañino en el que se encuentra instalado el kit de exploits web. Generalmente este tipo de software suele apoyarse en librerías Javascript como, por ejemplo, PluginDetect para obtener las versiones de los plugins utilizados y ejecutar así el exploit correspondiente.[1][2][3]
Los exploits proporcionados por el Webkit son aprovechados para instalar una carga útil que puede ser proporcionada por el kit o ser externa. Esta carga útil puede ser Ransomware, criptominado, troyanos, entre otros.[4]
Debido a su propia naturaleza son frecuentemente actualizados con los últimos exploits y técnicas de cifrado, ofuscación y packing con los que evadir multitud de dispositivos de seguridad. De esta forma suelen actualizar e integrar en su arsenal los exploits más recientes a los pocos días de su publicación[5]
Es habitual que estas herramientas estén diseñadas de forma modular de forma que se fácil agregar nuevas vulnerabilidades o eliminar las existentes.[6]
Además de la funcionalidad principal de, explotar vulnerabilidades en los navegadores, algunos kits ofrecen funcionalidades adicionales como por ejemplo:
- Ofrecer capacidades para remotamente controlar el sistema que ha sido explotado, creando así una plataforma por Internet para actividades maliciosas controlada remotamente por el atacante. Estas plataformas se pueden explotar económicamente como una plataforma Software as a Service para cibercriminales. Los exploits kits como Fiesta EK, Blackhole EK, Goon EK, Angler EK, Nuclear EK y Magnitude EK tienen estas capacidades.[7]
- Disponer de módulos de geolocalización de IP que proveen estadísticas de infecciones exitosas y no exitosas a lo largo de internet.[2]
- Proveer interfaz web que proporciona información sobre como va funcionando la infección. Por ejemplo muestra víctimas activas o estadísticas (exploits más exitosos, localización geográfica de víctimas, navegadores que no se han podido explotar,...)[8]
- Interfaz de usuario muy fácil de manejar que ayuda a quien lo desee a lanzar un ataque.[6]
