--- id: CP-027 slug: watering-hole-ataque-site-comprometido lang: pt title: Ataque watering hole description: Um site que consulta todas as semanas pode estar armadilhado. Como funciona o ataque watering hole, o que se vê e os gestos que protegem. canonical_url: https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataque watering hole», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/ fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ it: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ nl: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Ataque watering hole Num ataque watering hole (em português, «ponto de água»), o atacante não contacta a vítima. Armadilha um site que ela já visita: introduz nele código malicioso e espera que os visitantes cheguem por iniciativa própria. Para um colaborador, o perigo vem dessa confiança. O site é conhecido, útil para o trabalho, e nada indica que tenha mudado. Esta ficha descreve o mecanismo, o que se pode notar e o que limita os danos. ## Em 30 segundos - Onde acontece: num site visitado por uma comunidade precisa (administração pública, setor de atividade, região), durante uma navegação normal [1]. - O que o atacante pretende: executar código no posto de trabalho da vítima, o que lhe dá muitas vezes acesso aos sistemas da rede interna [1]. - O reflexo: manter o navegador e as respetivas extensões atualizados e recusar qualquer «atualização» proposta por uma página web, seja qual for o site. - Se já aconteceu: avisar de imediato o serviço informático ou de segurança, mesmo que não se veja nada de anormal. ## Perguntas diretas ### O que é um ataque watering hole? As fontes descrevem o caso em que o site usado pelo atacante é frequentado com regularidade por uma comunidade (governo, setor de atividade, região). O objetivo é comprometer um utilizador ou um grupo de utilizadores a partir de um interesse comum. Esta campanha dirigida chama-se «strategic web compromise» ou «watering hole attack» [1]. Pertence à família mais vasta do «drive-by compromise»: a vítima visita um site durante uma navegação normal [1]. ### É preciso clicar em alguma coisa para ser infetado? Nem sempre. O navegador é, em geral, o alvo da exploração, e esta muitas vezes não exige nenhuma ação adicional depois de a página ser aberta [2]. Noutros casos, o utilizador tem de ajudar o processo ao ativar scripts, notificações ou componentes ativos, ou ao ignorar caixas de diálogo de aviso [1]. ### Um site conhecido e de confiança pode mesmo estar armadilhado? Sim, é esse o princípio. O atacante compromete um site legítimo para nele injetar código malicioso [1]. Pode também modificar ficheiros de script fornecidos ao site a partir de um espaço de armazenamento em linha aberto à escrita, ou comprar publicidade armadilhada a redes publicitárias legítimas [1]. ### Um navegador atualizado chega? Não, mas reduz o risco. Atualizar todos os navegadores e plugins pode impedir a fase de exploração [1]. A MITRE nota também que as proteções contra a exploração dependem da arquitetura e do software visado, e que as sandboxes podem ser contornadas [1]. ## Na pele do atacante O atacante começa por escolher um lugar onde o alvo passa tempo: um site frequentado por um setor, uma área de atividade ou uma região [2]. Prepara em seguida o ambiente. O conteúdo armadilhado pode ficar alojado numa infraestrutura que adquiriu ou que já comprometeu [2]. Pode também comprar domínios parecidos com domínios legítimos (homóglifos, erro de digitação deliberado, outra extensão) [2]. Depois introduz código no site: scripts em páginas ou em conteúdo que os utilizadores podem editar, como mensagens de fóruns [2]. Pode igualmente acrescentar scripts que examinam o navegador do visitante, para verificar que é vulnerável antes de tentar a exploração [2]. Descreve-se um grupo que integra código em sites para verificar o endereço IP de um visitante e só explorar o navegador se este tiver interesse [2]. Esta preparação decorre em grande parte fora da vista da organização visada, o que a torna difícil de detetar [2]. Os serviços web legítimos servem também de intermediários: sites WordPress comprometidos alojaram assim cargas maliciosas para descarregar [3]. ## O que vê no ecrã Os scripts executam-se automaticamente [1]. Em geral, procuram a versão do navegador e dos plugins, à procura de uma versão vulnerável [1]. Em certos casos, é necessária uma segunda visita antes de o código de exploração chegar [1]. Existem, ainda assim, alguns sinais visíveis. Uma página pode pedir que se ativem scripts ou notificações, ou levar a ignorar um aviso [1]. Ao clicar em «permitir» nas notificações do navegador, um utilizador pode dar a um site autorização para executar JavaScript no seu navegador [1]. Algumas campanhas usam falsas atualizações do navegador como isco: é o caso do SocGholish, difundido por sites comprometidos cujo conteúdo se faz passar por uma atualização do navegador [1]. ## Por baixo do capô Segue-se uma ilustração neutralizada, com um endereço fictício em `.invalid`. Não funciona. ```text [Página legítima de um site setorial] ... conteúdo habitual do site ... [elemento oculto acrescentado pelo atacante, de tamanho nulo] [carrega uma página de hxxps://exemple[.]invalid/ em segundo plano] ``` A cadeia típica, segundo a MITRE ATT&CK, tem quatro etapas. O utilizador visita o site que aloja o conteúdo do atacante. Executam-se scripts que procuram as versões do navegador e dos plugins. Se for encontrada uma versão vulnerável, é entregue o código de exploração. Se a exploração tiver êxito, o atacante obtém a execução de código no posto de trabalho, a menos que existam outras proteções [1]. O objetivo difere do de um ataque a um servidor exposto na Internet: aqui, explora-se um software no posto de trabalho, o que dá muitas vezes acesso aos sistemas da rede interna [1]. Os navegadores são um alvo comum da exploração do lado do cliente, tal como aplicações de terceiros muito difundidas nas empresas, por exemplo o Adobe Reader e o Flash [4]. Do lado da defesa, as fontes citam as sandboxes do navegador, que atenuam parte do impacto (existem fugas da sandbox) [1], os bloqueadores de publicidade e de scripts, e a desativação das notificações do navegador [1]. O NCSC britânico acrescenta que a maioria dos navegadores modernos bloqueia os sites de phishing e de software malicioso conhecidos, mas nem sempre nos telemóveis [5]. Recomenda ainda usar apenas software suportado e atualizado, e não navegar na web com uma conta de administrador [5]. ## Autópsias ### Forbes.com, 2014 O APT19 realizou em 2014 um ataque watering hole em forbes.com para comprometer os seus alvos [1]. As fontes não dão mais detalhes sobre este episódio. ### Operação Dust Storm, exploração da CVE-2014-0322 Durante a operação Dust Storm, os atacantes usaram um ataque watering hole contra um revendedor de software popular. Exploravam uma falha do Internet Explorer então desconhecida do público (zero-day), a CVE-2014-0322 [1]. A fonte não indica a data da campanha. ### Página de início de sessão de uma transportadora marítima israelita, até novembro de 2021 Na campanha C0010, os atacantes comprometeram a página de início de sessão de uma empresa israelita de transporte marítimo legítima e provavelmente estabeleceram um watering hole que recolhia informações sobre os visitantes [2]. Este watering hole é descrito como ativo até, pelo menos, novembro de 2021 [1]. ## Fontes 1. MITRE ATT&CK, «Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1189/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1608/004/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1584/006/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1203/ (consultado em 3 de novembro de 2026) 5. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.