✨Drive-by download

Trong an ninh mạng, drive-by download (tải xuống không chủ ý) là hành vi tải phần mềm xuống một cách ngoài ý muốn, thường là phần mềm độc hại. Thuật ngữ "drive-by download" thường chỉ các trường hợp người dùng vô tình cho phép tải xuống mà không thực sự hiểu mình đang tải gì – chẳng hạn như khi bị lừa bởi một phần mềm kiểu trojan. Trong những trường hợp khác, thuật ngữ này có thể ám chỉ việc tải xuống diễn ra hoàn toàn mà người dùng không hề hay biết. Các loại tập tin phổ biến được phát tán qua hình thức tấn công này thường bao gồm virus máy tính, phần mềm gián điệp hoặc crimeware (phần mềm phục vụ tội phạm mạng).

Drive-by download có thể xảy ra khi người dùng truy cập một trang web, mở tập tin đính kèm trong email, nhấp vào một liên kết, hoặc nhấn vào cửa sổ pop-up đánh lừa người dùng. Ví dụ, người dùng có thể nhấp vào cửa sổ đó vì tưởng rằng đó là một thông báo lỗi từ hệ điều hành hoặc chỉ đơn giản là muốn tắt một quảng cáo tưởng chừng vô hại. Trong những trường hợp như vậy, bên phát tán có thể tuyên bố rằng người dùng đã "đồng ý" tải xuống, mặc dù thực tế là người dùng không hề biết mình đã bắt đầu tải một phần mềm không mong muốn hoặc độc hại. Tương tự, nếu người dùng truy cập một trang web có chứa nội dung độc hại, họ có thể trở thành nạn nhân của một cuộc tấn công tải xuống không chủ ý. Nội dung độc hại trên trang có thể khai thác lỗ hổng trong trình duyệt hoặc các plugin, cho phép mã độc chạy mà người dùng không hề hay biết.

Cài đặt không chủ ý (drive-by install hoặc drive-by installation) là một hiện tượng tương tự. Thuật ngữ này dùng để chỉ việc cài đặt phần mềm mà người dùng không hề biết hoặc không mong muốn, thay vì chỉ dừng lại ở việc tải xuống như trong tải xuống không chủ ý. Tuy nhiên, đôi khi hai thuật ngữ này được sử dụng thay thế cho nhau.

Quy trình

Khi thực hiện một cuộc drive-by download, kẻ tấn công trước hết phải tạo ra nội dung độc hại để phục vụ cho cuộc tấn công. Với sự gia tăng của các bộ công cụ khai thác lỗ hổng (exploit packs) – vốn chứa sẵn các lỗ hổng cần thiết để tiến hành tấn công – mức độ kỹ năng cần thiết để thực hiện kiểu tấn công này đã giảm đáng kể.

Cuối cùng, kẻ tấn công sẽ khai thác các lỗ hổng cần thiết để khởi chạy cuộc tấn công drive-by download. Drive-by download thường sử dụng một trong hai chiến lược sau:

• Chiến lược đầu tiên là khai thác các lệnh gọi API của nhiều plugin khác nhau. Ví dụ, API DownloadAndInstall của thành phần Sina ActiveX không kiểm tra đúng cách các tham số, từ đó cho phép tải xuống và thực thi các tệp bất kỳ từ Internet.
• Chiến lược thứ hai là ghi shellcode vào bộ nhớ, sau đó khai thác các lỗ hổng trong trình duyệt web hoặc plugin để chuyển hướng luồng điều khiển của chương trình đến đoạn shellcode đó.

Một hình thức phòng ngừa khác, được gọi là "Cujo", được tích hợp vào một proxy web, nơi nó kiểm tra các trang web và chặn việc truyền mã JavaScript độc hại.