Útočník volí destinaci kvůli publiku, které přitahuje. Destinace může být legitimní a nevědoucí a ne každý návštěvník musí obdržet stejný obsah či payload.
Destinací může být web, portál, fórum nebo stránka stahování. Útočníci mohou měnit destinaci, zdroj třetí strany nebo publikační účet. Navazující aktivita může zneužívat klientský software, prezentovat klamavé stažení či přihlašovací stránku nebo přesměrovávat návštěvníky.
Klíčové body
Logika cíleníIdentifikujte komunitu, které destinace slouží, kteří návštěvníci byli vybráni, kdy se škodlivý obsah objevil a zda se doručení lišilo podle polohy, zařízení, účtu či jiných charakteristik.
VyšetřováníZachovejte důkazy stránky a přesměrování, relevantní změny webu a správy obsahu, závislosti třetích stran, události prohlížeče a koncového zařízení, síťovou aktivitu a načasování dotčených návštěv.
Snížení rizikaChraňte publikační účty a webovou infrastrukturu, řiďte externí obsah, udržujte prohlížeče a související software, kde je vhodné izolujte rizikovější prohlížení a korelujte telemetrii webu, koncových zařízení, identit a sítě.
Důležité omezeníNávštěva před incidentem nedokazuje, že destinace incident způsobila, a kompromitace nečiní vlastníka webu spoluviníkem. Obsah se může točit, cílit pouze na některé návštěvníky, vyžadovat další akci nebo selhat ve zneužití zařízení.