Los exploit kits representan uno de los métodos más eficientes que usan los cibercriminales para distribuir malware a gran escala. Piensa en un exploit kit como una navaja suiza digital: contiene múltiples herramientas (exploits) diseñadas para atacar distintas vulnerabilidades, y selecciona automáticamente la herramienta adecuada según la configuración específica del sistema de cada víctima.

Cómo operan los exploit kits

El típico ataque con un exploit kit sigue un patrón predecible:

• Compromiso inicial: los atacantes primero comprometen sitios web legítimos al explotar vulnerabilidades en los sistemas de gestión de contenido, inyectar código malicioso o comprar espacio publicitario para campañas de malvertising.

• Redirección de tráfico: cuando los usuarios visitan el sitio comprometido, un código oculto redirige sus navegadores a una página de destino controlada por el exploit kit. Esta redirección suele pasar por varios saltos para evitar la detección.

• Escaneo de vulnerabilidades: la página de destino del exploit kit contiene código JavaScript que realiza "fingerprinting": identifica la versión del navegador de la víctima, los plugins instalados, el sistema operativo y los parches de seguridad disponibles.

• Selección del exploit: según los resultados del fingerprinting, el exploit kit selecciona automáticamente el exploit más adecuado de su arsenal. Si no encuentra vulnerabilidades adecuadas, el ataque puede terminar para evitar la detección.

• Entrega del payload: cuando se ejecuta un exploit con éxito, este descarga e instala el payload de malware previsto, que puede ser ransomware, troyanos bancarios, mineros de criptomoneda u otro software malicioso.

El modelo de negocio detrás de los exploit kits

Los exploit kits modernos suelen operar bajo un modelo de "crimen como servicio". Los desarrolladores crean y mantienen la infraestructura del exploit kit, y luego rentan el acceso a otros cibercriminales. Este modelo incluye:

• Cuotas de suscripción para acceder al exploit kit

• Soporte técnico y actualizaciones periódicas

• Integración de nuevos exploits a medida que se descubren vulnerabilidades

• Infraestructura de hosting para alojar contenido malicioso

• Monetización del tráfico donde los operadores del kit venden infecciones exitosas

Según la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA), este modelo de servicio ha reducido significativamente la barrera de entrada al cibercrimen, lo que permite que criminales con menos habilidades técnicas lancen ataques sofisticados.

Objetivos comunes de los exploit kits

Los exploit kits atacan principalmente vulnerabilidades del lado del cliente en:

Navegadores web: las vulnerabilidades de Internet Explorer, Chrome, Firefox y Safari permiten a los atacantes ejecutar código malicioso dentro del contexto del navegador.

Plugins de navegador: Adobe Flash Player, Java y Silverlight han sido históricamente objetivos populares debido a su amplia instalación y sus frecuentes vulnerabilidades.

Lectores de documentos: los lectores de PDF y las aplicaciones de Microsoft Office pueden explotarse mediante documentos maliciosos distribuidos por exploit kits.

Componentes del sistema operativo: algunos exploit kits avanzados atacan vulnerabilidades a nivel de kernel para lograr un compromiso a nivel de sistema.