9 formas en que los atacantes utilizan los sitios web comprometidos

Resulta más sencillo comprender la forma en que los cibercriminales monetizan el compromiso de un sitio que aloja millones de datos personales o de un sitio que para realizar compras online, los usuarios ponen datos sensibles a la hora de realizar un pago electrónico. Pero ¿qué sucede cuando el sitio comprometido no tiene un atractivo obvio?, ¿qué provecho suelen sacar los atacantes a este tipo de sitios? 

A continuación, te contamos algunas de las formas más comunes en las que los cibercriminales utilizan los sitios web comprometidos para sus fines maliciosos y porque todos los sitios pueden ser un blanco atractivo.

1. Para inyectar un backdoor  

Tras infectar por primera vez un sitio, los atacantes pueden explotar alguna vulnerabilidad para inyectar un backdoor o puerta trasera en formato de código dentro del sitio que les permitirá acceder nuevamente al sitio pese a ser desinfectado. Asimismo, un backdoor permite al atacante tener control del sitio de manera remota y puede utilizarlo de diversas maneras.

Los famosos backdoors, conocidos en español como puertas traseras, son de especial interés para los atacantes al momento de comprometer un sitio, independientemente del tráfico que genere el mismo. Estas puertas traseras, tal como su nombre indica, son vías de acceso “escondidas” a la vista del sistema y que permiten al atacante controlar de manera remota y continua el sitio comprometido

Los backdoors son considerablemente peligrosos por varios motivos. En primer lugar, debido a que son fáciles de ocultar, ya que no requieren de mucho espacio y no necesitan ser alojados en lugares en específico -el código puede ser tan simple como el atacante quiera-.  

Además, se suelen camuflar utilizando funciones que también son parte de plugins legítimos, en archivos de configuración nativos o complementos adicionales inactivos. Es por esto que, eliminar manualmente lo que puede parecer un backdoor puede traer consecuencias no deseadas para nuestro sitio si lo que eliminamos resulta ser código benigno. 

Eliminar este tipo de amenazas no es sencillo. Al ser una entrada que ya ha esquivado los controles de seguridad, no basta con cambiar las contraseñas ni eliminar la infección que fue plantada, sino que es necesario detectar el código desde su lugar de origen y eliminarlo de raíz. En caso contrario, quien instaló el backdoor puede acceder nuevamente a nuestro sitio e infectarlo nuevamente.

2. Para realizar ataques de defacement

Un ataque de defacement ocurre cuando un atacante aprovecha una vulnerabilidad para modificar la apariencia visual de un sitio web. Similar a un grafitti, los actores malintencionados plasman un mensaje en particular o su propia firma dejando en claro que son los responsables de los evidentes cambios en el sitio con el objetivo de ganar popularidad entre sus pares. 

En el caso de los mensajes, las motivaciones suelen ser sociales, políticas o religiosas. Usualmente dejan en claro la causa por la cual realizaron el ataque, mencionando a los culpables, que pueden ser o no los dueños del sitio víctima. Además, en algunos casos se hace uso del factor shock, mostrando imágenes o datos crudos.

3. Para realizar un ataque de inyección de contenido SEO 

Dado que la calidad y cantidad de enlaces que recibe un sitio web es un factor importante en el posicionamiento en los motores de búsqueda, los ataques de inyección SEO son aquellos en los que un atacante busca comprometer un sitio para colocar enlaces hacia otros sitios bajo su control con la intención de mejorar su posicionamiento y aumentar su alcance.

Los cibercriminales suelen comprometer un sitio para abusar de estos mecanismos de optimización y calificación por parte de los motores de búsqueda y así intentar posicionar mejor los sitios controlados por ellos. Para eso insertan en los sitios atacados fragmentos de código en HTML que contienen enlaces a sus sitios, algunos ocultos y otros visibles. El objetivo es aprovechar el valor que otorgan los motores de búsqueda a los enlaces entrantes provenientes de sitios con buena reputación para que sus sitios obtengan “credibilidad” y “cierta autoridad” al ser referenciados varias veces por otros sitios web.

Estos enlaces usualmente se encuentran en lugares inusuales, como el pie de página, cerca de una publicidad benigna, o en cualquier lugar que tenga poca visibilidad o una menor probabilidad de que un usuario haga clic. Esto nos habla sobre lo difícil que es detectar este tipo de ataque, puesto que pasa desapercibido para la mayoría de los visitantes.

4. Para la creación de páginas de spam 

Similar al ataque de inyección de contenido SEO, el objetivo de este ataque es aumentar la popularidad de un sitio en un motor de búsqueda. Como contraparte, lo inyectado en el sitio comprometido no se trata de enlaces, sino de múltiples páginas HTML que incluyen enlaces a contenido spam o contenido indeseado, como publicidad o enlaces a sitios afiliados con fines monetarios.

Los sitios de mayor atractivo para estos ataques son aquellos con antigüedad y autoridad, ya que generalmente los motores de búsqueda los consideran confiables y tienen un mejor posicionamiento. Esto hace que, al inyectar una página de spam, ésta y todos los sitios enlazados en esta página obtengan un enlace de referencia proveniente de un sitio confiable, lo cual mejora el posicionamiento de los sitios del atacante.

5. Para la creación de mailers en PHP 

Los mailers son scripts, usualmente escritos en lenguaje PHP, que permiten enviar correos electrónicos a partir de un servidor. Usualmente, los atacantes abusan de estos para vulnerar el mecanismo de envío de correos del servidor del sitio, tomando control para poder difundir sus propias comunicaciones. Estas pueden variar desde spam o publicidad indeseada, hasta campañas de phishing para robar información o descargar malware.

El principal atractivo de un sitio para los cibercriminales que buscan inyectar mailers se basa en la reputación del sitio: Si es un sitio confiable, como el de una empresa reconocida, probablemente un correo proveniente de ella evada los filtros antispam de los proveedores de servicios de correo electrónico. De esta manera, se aseguran quedar bajo el radar de detección y llegar a más potenciales víctimas que enviándolo desde una dirección de correo anónima.

Además de los riesgos que supone para los usuarios que nuestro sitio sea víctima de este tipo de ataque, los propietarios también pueden verse afectados:  los proveedores de hosting de sitios web, para proteger la reputación de su servicio, constantemente dan de baja o incluyen en una “lista negra” aquellos sitios que producen spam a través de un mailer.

Entonces, si notamos que nuestro sitio presenta una importante caída en su tráfico o que es desconectado completamente de la Internet, esto puede ser una señal de que algún mailer fue vulnerado.

6. Para distribuir campañas de phishing 

Los atacantes se aprovechan de sitios web vulnerables para alojar en ellos páginas de phishing que utilizan en sus campañas.

El phishing es un clásico de los ataques de ingeniería social. Consiste en el envío de correos electrónicos en los que se suplanta la identidad de algún remitente confiable (por ejemplo, un banco o tienda online), el cual supuestamente solicita al receptor que haga clic en un enlace malicioso para luego ser dirigido a una página en la cual deberá ingresar sus datos personales, como credenciales o datos bancarios, con motivo de resolver alguna urgencia o problema de gravedad. El phishing es, por lejos, el método más popular de robo de información en circulación.

Además de las direcciones de correo de las víctimas y de la confección de un correo creíble que no haga evidente que se trata de un engaño, se requiere de un componente clave para la estafa: un sitio web que pase desapercibido ante los filtros impuestos por los navegadores. Allí es donde entra en juego el sitio comprometido: los atacantes crean una página web dentro del mismo que se hace pasar por el sitio web oficial de una marca o entidad, ya sea suplantando la identidad del sitio vulnerado o no. Una vez que las víctimas son dirigidas a estas páginas, es muy probable que se solicite ingresar datos personales.

7. Para redireccionar a los usuarios a sitios maliciosos

Un redireccionamiento malicioso es aquel que lleva a usuarios legítimos a ingresar a una página web que no se corresponde con el enlace en el cual hicieron clic.

Los sitios a los que se redirecciona a las víctimas suelen ser utilizados para ofrecer contenido spam o descargar malware en el equipo de la víctima. Según sea el código descargado en el equipo de la víctima el atacante podrá: robar información, seguir propagándose o hasta cifrar los archivos del equipo para luego pedir dinero para su rescate.

Usualmente, este ataque se basa en la explotación de vulnerabilidades en scripts o plugins agregados al sitio que no estén actualizados o cuyas fallas de seguridad no han sido descubiertas, lo que permite agregar una redirección desde el sitio víctima hacia el sitio del atacante.

8. Para utilizarlos como Command & Control

En el caso de botnets compuestas a partir de sitios web comprometidos, los atacantes utilizan estos sitios también como C&C para comunicarse con los sitios y/o dispositivos que conforman la botnet.

Una botnet es una red de sitios o dispositivos infectados, conocidos como “zombies”, que son controlados por el atacante mediante un servidor maestro para realizar acciones maliciosas o expandirse a otros dispositivos. Este servidor maestro, también conocido como Comando & Control (C&C, por sus siglas en inglés o C2), debe pasar desapercibido el mayor tiempo posible.

Una vez iniciado, desmantelar este ataque resulta difícil: si bien los sitios zombie pueden ser desinfectados, la red seguirá viva en tanto y en cuanto no se identifique al servidor de C&C, ya que este puede seguir infectando a otros sitios, e incluso causar una reinfección.

A pesar de ser más frecuentes los ataques donde los “zombies” son equipos físicos, los dirigidos a sitios web no son poco frecuentes. Explotando vulnerabilidades en distintos complementos, como plugins o extensiones, los atacantes transforman a los sitios en zombies para luego atacar a otros sitios y/o infectar a sus usuarios. 

9. Para inyectar un malware para minar criptomonedas

Un atacante puede comprometer un sitio para inyectar un script para utilizar los recursos del equipo del visitante, sin su consentimiento, para minar criptomonedas.

Mediante una puerta de entrada, como un backdoor o una botnet, los atacantes pueden instalar en sitios comprometidos un minero de criptomonedas. En este ataque, lo que se aprovecha son los recursos del hosting del sitio, independientemente del tráfico que reciba.

Al igual que en la mayoría de los ataques antes mencionados, esto puede ser detectado por la empresa que ofrece el servicio de hosting a nuestro sitio. De ser así, el sitio puede ser penalizado e incluso desconectado de la web, causando que nuestro sitio no esté disponible por un tiempo indefinido.

Escrito por: Martina López