Cyberpediapor Brain
PTDEENESFRITNL

Ataque watering hole

Um site que consulta todas as semanas pode estar armadilhado. Como funciona o ataque watering hole, o que se vê e os gestos que protegem.

Em 30 segundos

Onde acontece
Num site visitado por uma comunidade precisa (administração pública, setor de atividade, região), durante uma navegação normal1.
O que o atacante pretende
Executar código no posto de trabalho da vítima, o que lhe dá muitas vezes acesso aos sistemas da rede interna1.
O reflexo
Manter o navegador e as respetivas extensões atualizados e recusar qualquer «atualização» proposta por uma página web, seja qual for o site.
Se já aconteceu
Avisar de imediato o serviço informático ou de segurança, mesmo que não se veja nada de anormal.

Do que se trata

Num ataque watering hole (em português, «ponto de água»), o atacante não contacta a vítima. Armadilha um site que ela já visita: introduz nele código malicioso e espera que os visitantes cheguem por iniciativa própria.

Para um colaborador, o perigo vem dessa confiança. O site é conhecido, útil para o trabalho, e nada indica que tenha mudado. Esta ficha descreve o mecanismo, o que se pode notar e o que limita os danos.

Perguntas diretas

O que é um ataque watering hole?

As fontes descrevem o caso em que o site usado pelo atacante é frequentado com regularidade por uma comunidade (governo, setor de atividade, região). O objetivo é comprometer um utilizador ou um grupo de utilizadores a partir de um interesse comum. Esta campanha dirigida chama-se «strategic web compromise» ou «watering hole attack»1. Pertence à família mais vasta do «drive-by compromise»: a vítima visita um site durante uma navegação normal1.

É preciso clicar em alguma coisa para ser infetado?

Nem sempre. O navegador é, em geral, o alvo da exploração, e esta muitas vezes não exige nenhuma ação adicional depois de a página ser aberta2. Noutros casos, o utilizador tem de ajudar o processo ao ativar scripts, notificações ou componentes ativos, ou ao ignorar caixas de diálogo de aviso1.

Um site conhecido e de confiança pode mesmo estar armadilhado?

Sim, é esse o princípio. O atacante compromete um site legítimo para nele injetar código malicioso1. Pode também modificar ficheiros de script fornecidos ao site a partir de um espaço de armazenamento em linha aberto à escrita, ou comprar publicidade armadilhada a redes publicitárias legítimas1.

Um navegador atualizado chega?

Não, mas reduz o risco. Atualizar todos os navegadores e plugins pode impedir a fase de exploração1. A MITRE nota também que as proteções contra a exploração dependem da arquitetura e do software visado, e que as sandboxes podem ser contornadas1.

1Na pele do atacante1 min

O atacante começa por escolher um lugar onde o alvo passa tempo: um site frequentado por um setor, uma área de atividade ou uma região2. Prepara em seguida o ambiente. O conteúdo armadilhado pode ficar alojado numa infraestrutura que adquiriu ou que já comprometeu2. Pode também comprar domínios parecidos com domínios legítimos (homóglifos, erro de digitação deliberado, outra extensão)2.

Depois introduz código no site: scripts em páginas ou em conteúdo que os utilizadores podem editar, como mensagens de fóruns2. Pode igualmente acrescentar scripts que examinam o navegador do visitante, para verificar que é vulnerável antes de tentar a exploração2. Descreve-se um grupo que integra código em sites para verificar o endereço IP de um visitante e só explorar o navegador se este tiver interesse2.

Esta preparação decorre em grande parte fora da vista da organização visada, o que a torna difícil de detetar2. Os serviços web legítimos servem também de intermediários: sites WordPress comprometidos alojaram assim cargas maliciosas para descarregar3.

2O que vê no ecrã1 min

Os scripts executam-se automaticamente1. Em geral, procuram a versão do navegador e dos plugins, à procura de uma versão vulnerável1. Em certos casos, é necessária uma segunda visita antes de o código de exploração chegar1.

Existem, ainda assim, alguns sinais visíveis. Uma página pode pedir que se ativem scripts ou notificações, ou levar a ignorar um aviso1. Ao clicar em «permitir» nas notificações do navegador, um utilizador pode dar a um site autorização para executar JavaScript no seu navegador1. Algumas campanhas usam falsas atualizações do navegador como isco: é o caso do SocGholish, difundido por sites comprometidos cujo conteúdo se faz passar por uma atualização do navegador1.

3Por baixo do capôEquipas de TI1 min

Segue-se uma ilustração neutralizada, com um endereço fictício em .invalid. Não funciona.

Excerto
[Página legítima de um site setorial]
  ... conteúdo habitual do site ...
  [elemento oculto acrescentado pelo atacante, de tamanho nulo]
  [carrega uma página de hxxps://exemple[.]invalid/ em segundo plano]

A cadeia típica, segundo a MITRE ATT&CK, tem quatro etapas. O utilizador visita o site que aloja o conteúdo do atacante. Executam-se scripts que procuram as versões do navegador e dos plugins. Se for encontrada uma versão vulnerável, é entregue o código de exploração. Se a exploração tiver êxito, o atacante obtém a execução de código no posto de trabalho, a menos que existam outras proteções1.

O objetivo difere do de um ataque a um servidor exposto na Internet: aqui, explora-se um software no posto de trabalho, o que dá muitas vezes acesso aos sistemas da rede interna1. Os navegadores são um alvo comum da exploração do lado do cliente, tal como aplicações de terceiros muito difundidas nas empresas, por exemplo o Adobe Reader e o Flash4.

Do lado da defesa, as fontes citam as sandboxes do navegador, que atenuam parte do impacto (existem fugas da sandbox)1, os bloqueadores de publicidade e de scripts, e a desativação das notificações do navegador1. O NCSC britânico acrescenta que a maioria dos navegadores modernos bloqueia os sites de phishing e de software malicioso conhecidos, mas nem sempre nos telemóveis5. Recomenda ainda usar apenas software suportado e atualizado, e não navegar na web com uma conta de administrador5.

4AutópsiasCasos reais1 min

Forbes.com, 2014

O APT19 realizou em 2014 um ataque watering hole em forbes.com para comprometer os seus alvos1. As fontes não dão mais detalhes sobre este episódio.

Operação Dust Storm, exploração da CVE-2014-0322

Durante a operação Dust Storm, os atacantes usaram um ataque watering hole contra um revendedor de software popular. Exploravam uma falha do Internet Explorer então desconhecida do público (zero-day), a CVE-2014-03221. A fonte não indica a data da campanha.

Página de início de sessão de uma transportadora marítima israelita, até novembro de 2021

Na campanha C0010, os atacantes comprometeram a página de início de sessão de uma empresa israelita de transporte marítimo legítima e provavelmente estabeleceram um watering hole que recolhia informações sobre os visitantes2. Este watering hole é descrito como ativo até, pelo menos, novembro de 20211.

Ficha

Identificador
CP-027
Ala
1. Ataques e técnicas
Competência Brain
Travar a engenharia social (outsmart_social_engineering)
Reflexo Brain
cr-046
Esquema
G5 · Árvore de decisão do reflexo
Idiomas
de, en, es, fr, it, nl, pt
Fontes
5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
  1. MITRE ATT&CK, «Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1189/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1608/004/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1584/006/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1203/ (consultado em 3 de novembro de 2026)
  5. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Ataque watering hole», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/

BibTeX 
@misc{brain_cp027_pt_2026,
  author = {Brain},
  title = {Ataque watering hole},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0