"Drive-by download" - jak się bronić?

Przeczytaj także: Szkodliwe programy w Polsce II kw. 2010

Co sprawiło, że ten sposób rozprzestrzeniania stał się tak popularny i chętnie wykorzystywany przez współczesne zagrożenia? Przede wszystkim jego prostota działania, a zarazem niesamowita skuteczność, na którą składają się liczne czynniki. Spróbujmy wymienić te najważniejsze:

1. Internet jako medium - skuteczności tego czynnika nie trzeba chyba tłumaczyć. Daje on pewność jak najszerszego grona odbiorców
2. Wykorzystanie istniejących witryn internetowych - tym razem twórcy malware'u nie muszą trudzić się i tworzyć własnych portali, a następnie starać się nakłonić użytkownika do odwiedzenia zainfekowanej strony. Jakże wygodny dla nich jest fakt, że każdy użytkownik Internetu surfuje po Sieci niemal codziennie
3. Wykorzystanie zaufania - jeden z kluczowych czynników determinujących skuteczność. Czemu bowiem mielibyśmy nie ufać znanym portalom internetowym, czy też witrynom naszych znajomych, które odwiedzamy często, a które nigdy dotąd nie stanowiły zagrożenia?
4. Nieprzewidywalność – nie sposób jest zmniejszyć ryzyko infekcji, ograniczając ilość odwiedzanych stron, nie da się bowiem przewidzieć, która witryna może zostać zainfekowana i kiedy
5. "Przezroczystość" infekcji - cały proces infekcji zachodzi bez udziału użytkownika i poza zasięgiem jego wzroku: nie ma konieczności kliknięcia odnośnika, wyrażenia zgody na instalację czy potwierdzenia komunikatu; szkodliwa witryna otwiera się w niewidocznej ramce, nie ma więc nawet żadnych symptomów wskazujących na to, że dzieje się coś niepokojącego
6. Dwutorowość ataku - zapewnia większą skuteczność i szybkość rozprzestrzeniania się zagrożenia

Inną interesującą cechą metody „drive-by download” są dwa wektory ataku. W przypadku „tradycyjnych” sposobów infekcji, atak jest ukierunkowany w jedną stronę: jego cząstkowym celem jest użytkownik końcowy – pojedynczy komputer, zazwyczaj podpięty do Sieci. Tutaj natomiast, oprócz zwykłych stacji roboczych, ofiarą ataku padają również serwery WWW. Jeśli użytkownik zainfekowany sposobem „drive-by download” posiada dostęp do jakichkolwiek kont FTP, szkodliwe oprogramowanie na jego komputerze przechwytuje dane do logowania, a następnie loguje się na serwerze i rozpoczyna infekowanie znajdujących się tam plików HTML i PHP. Przywrócenie starych wersji plików niestety nie pomoże: będą one modyfikowane na nowo, dopóki wirus nie zostanie usunięty z zainfekowanego komputera. Rodzi się taki schemat, w którym zainfekowane strony internetowe infekują komputery odwiedzających je użytkowników, zainfekowane komputery użytkowników natomiast dbają o to, aby zarazić jak największą ilość stron internetowych.