Kit de exploits web

Un WebKit, Kit de exploits web (del inglés web exploit kit), Paquete de exploits de navegador o BEP (del inglés Browser Exploit Packs), es un software que se instala en servidores web y automatiza la detección y explotación de las vulnerabilidades del navegador y/o plugins instalados en ellos. Lo habitual es que el atacante introduzca enlaces o técnicas para redirigir (malvertising, correos electrónicos maliciosos, sitios web comprometidos,...) que hagan que el navegador del usuario se dirija a un sitio dañino en el que se encuentra instalado el kit de exploits web. Generalmente este tipo de software suele apoyarse en librerías Javascript como, por ejemplo, PluginDetect para obtener las versiones de los plugins utilizados y ejecutar así el exploit correspondiente.

Los exploits proporcionados por el Webkit son aprovechados para instalar una carga útil que puede ser proporcionada por el kit o ser externa. Esta carga útil puede ser Ransomware, criptominado, troyanos, entre otros.

Debido a su propia naturaleza son frecuentemente actualizados con los últimos exploits y técnicas de cifrado, ofuscación y packing con los que evadir multitud de dispositivos de seguridad. De esta forma suelen actualizar e integrar en su arsenal los exploits más recientes a los pocos días de su publicación

Es habitual que estas herramientas estén diseñadas de forma modular de forma que se fácil agregar nuevas vulnerabilidades o eliminar las existentes.

Funcionalidades adicionales

Además de la funcionalidad principal de, explotar vulnerabilidades en los navegadores, algunos kits ofrecen funcionalidades adicionales como por ejemplo:

• Ofrecer capacidades para remotamente controlar el sistema que ha sido explotado, creando así una plataforma por Internet para actividades maliciosas controlada remotamente por el atacante. Estas plataformas se pueden explotar económicamente como una plataforma Software as a Service para cibercriminales. Los exploits kits como Fiesta EK, Blackhole EK, Goon EK, Angler EK, Nuclear EK y Magnitude EK tienen estas capacidades.
• Disponer de módulos de geolocalización de IP que proveen estadísticas de infecciones exitosas y no exitosas a lo largo de internet.
• Proveer interfaz web que proporciona información sobre como va funcionando la infección. Por ejemplo muestra víctimas activas o estadísticas (exploits más exitosos, localización geográfica de víctimas, navegadores que no se han podido explotar,...)
• Interfaz de usuario muy fácil de manejar que ayuda a quien lo desee a lanzar un ataque.

Comercialización

Lo más habitual es que se comercialicen en foros de la deep web, y sus precios suelen comenzar en 500 dólares aproximadamente, pero varían mucho dependiendo del número de exploits que tengan y cuales sean estos. En especial son muy cotizados los exploits de día cero. Lo más frecuente es que utilicen vulnerabilidades ya conocidas y parcheadas y se busquen víctimas que no tenga versiones con esos problemas solucionados. A veces se realiza un solo pago pudiendo incluso tener un período de soporte técnico, por si el comprador tiene alguna duda, e incluso con actualizaciones. Otras veces se realiza un pago semanal o mensual. Incluso a veces el pago se realiza por número de infecciones exitosas (pay-per-install). El negocio de los eploit kits es rentable estimándose a que sus creadores tienen ganancias de cerca de 100.000 dólares mensuales. La facilidad de uso y el alcance de sus exploits es lo que hace que un kit sea más popular, tenga más usuarios, se venda más y el autor o autores obtengan más ventas.

Ejemplos

A los kits de exploits se les suele añadir al final las siglas EK, del inglés Exploit Kit, para dejar de forma explícita que es un kit de exploits. Ejemplos de este tipo de software son:.

• WebAttacker kit. Fue el primer kit de exploits que se detectó, a principios de 2006.
• MPack. Fue uno de los primeros kits de exploits. Se detectó a finales de 2006. Creado por hackers rusos, estaba basado en PHP y se aprovechaba de las vulnerabilidades en navegadores como Internet Explorer, permitiendo conocer el tecleo de los usuarios y descubrir así los datos de cuentas bancarias.
• Angler EK
• BlackHole Exploit kit
• Bleeding Life
• Capensand EK
• Cool Exploit Kit
• Crime Boss Exploit Pack
• Crime Pack
• CritXPack
• Demon Hunter
• Disdain EK
• DotkaChef EK
• Dragon
• Eleonore Exploit Kit
• Fallout Exploit Kit
• Fiesta
• FlashPack EK
• Fragus Black
• Grandsoft
• Gong Da
• Goon EK
• GrandSoft EK
• GreenFlash Sundown EK
• Hierarchy Exploit Pack
• Hunter EK
• iPack
• Incognito
• Impassioned Framework
• Icepack
• JustExploit
• Katrin Exploit Kit
• KaiXin EK
• LinuQ
• Liberty
• Lupit Exploit Pack
• Magnitude EK
• Merry Christmas
• Mushroom/Unknown
• Neosploit
• Neutrino
• Nucsoft Exploit Pack
• Nuclear
• Nukesploit P4ck.
• Open Source/MetaPack
• Phoenix
• Papka
• Purplefox EK
• Red Dice
• Red Dot
• Redkit
• Redkit V2, también conocido como Infinity EK
• RIG EK
• Robopak Exploit Kit
• Safe Pack
• Sakura Exploit Pack
• Salo Exploit Kit
• Sava/Pay0C
• SEO Sploit pack
• Siberia
• Siberia Private
• SofosFO aka Stamp EK
• SPack
• Spelevo Exploit Kit
• SpyEye.
• Sundown EK
• Sweet Orange
• T-Iframer
• Techno
• Terror
• Tornado
• Underminer EK
• Unique Pack Sploit 2.1
• Whitehole
• XPack
• Yang Pack
• Yes Exploit
• Zero Exploit Kit
• Zhi Zhu
• Sibhost Exploit Pack
• ZeuS. Detectado en 2007, ha evolucionado y sigue estando activo en 2017. Crea su propia botnet (Zbot).
• Zombie Infection kit
• Zopack
• Styx Exploit Pack

Referencias