Ein Watering-Hole-Angriff (deutsch: Wasserloch-Angriff) ist eine gezielte Angriffsstrategie, bei der Angreifer nicht das Opfer direkt attackieren, sondern Webseiten kompromittieren, die das Opfer oder seine Zielgruppe nachweislich regelmäßig besucht. Der Name stammt von der Jagdmethode, an Wasserstellen zu lauern, zu denen die Beute von selbst kommt.
Wie funktioniert ein Watering-Hole-Angriff?
Zunächst analysieren die Angreifer ihre Zielgruppe: Welche Branche, Organisation oder Personengruppe soll infiziert werden? Anschließend identifizieren sie Webseiten, die diese Gruppe häufig nutzt – etwa Branchenportale, Fachforen, Verbandsseiten oder Zulieferer-Webauftritte. Diese vertrauenswürdigen Seiten werden dann kompromittiert und mit Schadcode präpariert.
Besucht ein Mitglied der Zielgruppe die Seite, wird es über einen Drive-by-Download infiziert – häufig unter Ausnutzung von Zero-Day-Lücken, für die noch kein Patch existiert. Die Schadsoftware kann dann als Backdoor oder Remote-Access-Trojaner dienen und den Angreifern Zugang ins interne Netz der Organisation verschaffen. Typisch ist der Einsatz durch Advanced Persistent Threats (APTs) bei Wirtschaftsspionage, gegen Nichtregierungsorganisationen, Behörden und die Verteidigungsindustrie.
Warum ist die Methode so tückisch?
Die kompromittierte Quelle ist eine Seite, der die Zielgruppe vertraut. Klassische Schutzmechanismen wie Spam-Filter oder Firewalls greifen nicht, weil kein E-Mail-Anhang und kein direkter Angriff auf das Ziel stattfindet. Zudem ist die Infektion für den Besucher unsichtbar und die Schadcode-Phase auf der Seite oft nur kurz, was die Analyse erschwert.
Erkennung und Schutz
- Threat Intelligence: Indikatoren (IoC) und Warnungen über kompromittierte, von der eigenen Branche genutzte Webseiten ernst nehmen.
- Patch-Management: Zero-Day-Exploits sind kaum zu verhindern – Browser und Systeme aktuell halten begrenzt aber die Angriffsfläche.
- Netzwerküberwachung: Auffällige Verbindungen nach der Nutzung externer Webseiten deuten auf eine Infektion hin.
- Endpoint-Schutz: EDR-Lösungen erkennen verdächtige Ausführungsmuster auch ohne bekannte Signatur.
- Minimierung: Wer kritische Systeme von allgemeinen Surf-Zugängen trennt, verkleinert den Schaden eines kompromittierten Endgeräts.
Verwandte Grundlagen: Threat Intelligence, Indicators of Compromise (IoC), Social Engineering, Backdoor, RAT (Remote Access Trojan), Drive-by-Download, Clickjacking.