Destynacją może być strona kontrolowana przez atakującego, skompromitowana legalna strona lub treść wstrzyknięta przez reklamę lub zasoby stron trzecich. Dostarczanie może być niewybiórcze lub ograniczone do wybranych odwiedzających według geografii, urządzenia lub innych cech profilu.
Klasyczne przypadki wykorzystują niezałatane przeglądarki, wtyczki lub komponenty renderujące podczas ładowania strony. Inne przepływy opierają się na oszustwie — fałszywej aktualizacji, zamaskowanym prompcie instalacji lub żądaniu uprawnień, które prowadzi odwiedzającego do dobrowolnego uruchomienia czegoś. Cechą wyróżniającą jest to, że samo przeglądanie jest ścieżką ataku.
Najważniejsze punkty
Ścieżki dostarczaniaExploit słabości przeglądarki lub komponentów, złośliwa lub przejęta treść strony, skompromitowane zasoby stron trzecich, zwodnicze pobrania oraz prompty uprawnień lub powiadomień.
DochodzenieZachowaj adres strony, czas, łańcuch przekierowań, wersje przeglądarki i rozszerzeń, pobrane artefakty oraz telemetrię punktu końcowego i sieci — bez ponownego odwiedzania treści.
Redukcja ryzykaUtrzymuj przeglądarki i powiązane komponenty, zarządzaj rozszerzeniami, stosuj filtrowanie i izolację web tam, gdzie uzasadnione, monitoruj wykonanie po wizycie i daj użytkownikom sposób zgłaszania podejrzanych stron.
Istotne ograniczenieWizyta na stronie poprzedzająca infekcję nie dowodzi, że strona ją spowodowała, a treść celująca tylko w część odwiedzających może być później nieodzyskiwalna. Zablokowanie pojedynczej domeny rzadko kończy kampanię zdolną do rotacji infrastruktury.