Áno, malware môžete získať len tým, že navštívite webovú stránku

Koľkokrát vám už niekto povedal: „Na nič som neklikol,“ keď vám podával počítač plný malvéru? Je to jedno z obvyklých obranných vysvetlení, ale malvér, ktorý sa dokáže sám stiahnuť a nainštalovať, je tiež prekvapivo málo pochopený.

Je to čiastočne preto, že napriek tomu, ako často ľudia tvrdia „stalo sa to len tak“, nájsť drive-by download v prírode, ktorý skutočne infikuje váš počítač, je teraz na zriedkejšej strane útokov škodlivého softvéru — z niekoľkých dôvodov, ktoré vysvetlím.

To povedané, existuje samo-inštalujúci sa malware, a v niektorých prípadoch stačí načítanie škodlivej webovej stránky.

Môžete získať malware len tým, že navštívite webovú stránku

Neviditeľné, nezastaviteľné hrozby

Názov „drive-by download“ evokuje niečo z policajného dramatu o gangoch z 90. rokov; váš počítač je infikovaný malvérom, zatiaľ čo niekto odchádza po ulici. Digitálna realita je trochu podobná: malvér, ktorý sa inštaluje na vaše zariadenie priamo v dôsledku navštívenia webovej stránky, bez vášho vedomého zásahu.

V mnohých prípadoch neuvidíte podozrivé výzvy na stiahnutie ani sa náhle nespustí inštalátor. Neexistuje žiadne upozornenie „súhlasíte s pokračovaním“, ktoré by vám hovorilo, že na vašom zariadení sa deje niečo podozrivé.

Koncept drive-by sťahovaní existuje už desaťročia. Techniky sa vyvinuli, pretože skoré drive-by malware infekcie typicky vyžadovali, aby ste neúmyselne stlačili maskované tlačidlo alebo podobne na webovej stránke, čo spustilo malware.

Moderné prehliadače sú oveľa lepšie v ochrane pred útokmi typu drive-by download. Plne pasívny malware bol najnebezpečnejší v období Flasha, Javy a Adobe Readeru, keď mali exploitačné balíky k dispozícii širokú, relatívne neopravenú útočnú plochu. Moderné prehliadače sú viac izolované (sandboxed), agresívne sa automaticky aktualizujú a v podstatnej miere eliminovali podporu pluginov.

Avšak dodávanie malvéru formou drive-by nie je zastarané — zmenilo sa len to, ako funguje.

Takže, ako funguje útok malvéru prostredníctvom drive-by download?

Toto je lúpež

Prehliadače, ktoré používajú moderný internet, sú pomerne zložité softvérové programy. Kedykoľvek váš prehliadač načítava stránku, spracováva HTML, vykonáva JavaScript, renderuje CSS, spracováva médiá a spúšťa skripty tretích strán — často desiatky z nich zo zdrojov úplne mimo kontroly webovej stránky.

Aj keď sú prehliadače naozaj dobré v tom, že nás chránia, každý z týchto procesov je iný spôsob, ako môže byť váš prehliadač zneužitý.

Trvalý mýtus je, že malware je niečo, čo sa stane nepozorným ľuďom — tým, ktorí klikajú na podozrivé odkazy, sťahujú pirátsky softvér alebo zaletia do temnejších kútov internetu. Všetko je súčasťou procesu, ktorý kombinuje viacero zneužití.

Ohrozené webové stránky

Ako by ste očakávali, ohrozené webové stránky tvoria veľkú časť problému, pokiaľ ide o drive-by malware. Je to osobitný problém, pretože prevádzkovateľ webovej stránky si nemusí uvedomovať, že poskytuje škodlivý kód alebo ešte horšie, po určitú dobu, čím sa zvyšuje riziko infekcie.

Takže v roku 2025 The Hacker News informoval, že 150 000 webových stránok bolo kompromitovaných koordinovaným útokom prostredníctvom injekcie JavaScriptu, ktorý bol navrhnutý na propagáciu čínskych hazardných stránok a infikoval milióny používateľov škodlivými cieľovými stránkami.

Ďalšia varianta drive-by download, známa ako SocGholish, tiež používa JavaScript exploit na vloženie škodlivého kódu do kompromitovaných legitímnych webových stránok — vrátane dobre hodnotených, vysoko navštevovaných stránok — a zobrazuje návštevníkom presvedčivé falošné výzvy na aktualizáciu prehliadača.

Tento malvér je spojený s ruskými hackerskými skupinami a podľa správy Centra pre internetovú bezpečnosť o malvéri za 4. štvrťrok 2024 predstavoval viac ako 50 percent všetkého malvéru v tom štvrťroku.

Problémom pre všetkých používateľov internetu je, že cross-site scripting (XSS) a SQL injekcia zostávajú najbežnejšími typmi zraniteľností vo webových aplikáciách, čo znamená, že základné slabiny, ktoré umožňujú kompromitáciu stránky, nezmiznú.

Okrem toho je takmer isté, že nárast vibe-kódovaných webových aplikácií a webových stránok od ľudí s malými skúsenosťami tieto problémy ešte zhorší.

Malvertising

Zlovestné reklamy, inak známe ako malvertising, sú jedným z istých spôsobov, ako získať malware bez toho, aby ste si uvedomili, čo sa stalo. Hoci existujú spôsoby, ako odhaliť kampane malvertisingu, ako všetok malware, vyvíjajú sa rýchlo a sú navrhnuté tak, aby pôsobili okamžite.

Malvertising je nebezpečné, pretože väčšina webových stránok zobrazuje reklamy prostredníctvom tretích strán. Útočníci si kúpia reklamný priestor cez tie isté siete a vložia škodlivý kód alebo presmerovania do reklamy. To znamená, že inak čistá webová stránka môže neúmyselne zobraziť škodlivú reklamu, aj keď samotná stránka nie je kompromitovaná, a váš prehliadač môže mať problém to rozlíšiť.

Malvertising zaznamenalo prudký nárast na začiatku 20. rokov 21. storočia, potom mierne pokleslo. Ale od roku 2024 sa malvér distribuovaný cez škodlivé reklamy neustále zvyšuje, pričom spoločnosť AdMonsters uvádza, že jedna z každých 160 reklám podávaných v USA bola škodlivá.

Prehliadače sú oveľa lepšie v ochrane proti malvertisingu a aplikácie a rozšírenia na blokovanie reklám/scriptov sú vynikajúcim spôsobom, ako ochrániť váš počítač, ale stále existujú niektoré malvertisementy, ktoré preklzávajú. Napríklad malvertisingová kampaň RoughTed používala dynamické URL adresy, aby sa vyhla zavedeným zoznamom blokátorov, čo znamená, že škodlivé reklamy sa dostali na legitímne webové stránky.

Sady na zneužívanie

Exploitačné sady skúmajú váš prehliadač a jeho komponenty na známe zraniteľnosti okamžite, ako načítate infikovanú stránku. Ak nájdu neaktualizovanú verziu Chromu, Firefoxu alebo zastaranú systémovú súčasť, pokúsia sa cez túto dieru pretlačiť škodlivý kód — bez potreby kliknutia.

Nástroje ako Angler a RIG exploit kity spôsobili významnú časť infekcií ransomware v čase svojho vrcholu presne týmto spôsobom. Útočný povrch pre tento prístup sa zúžil, keďže prehliadače sa zlepšili, ale úplne nezmizol. Podľa správy Recorded Future za prvú polovicu roku 2025 útočníci v prvej polovici roku 2025 aktívne využili 161 zraniteľností s pridelenými CVE, pričom takmer 70 % nevyžadovalo žiadnu autentifikáciu na vykonanie útoku.

V skutočnosti sa môžete chrániť pred sťahovaním súborov na pozadí

Pravdepodobne to už robíte

Malvér, ktorý sa inštaluje potichu, je samozrejme znepokojujúci. Nechcete prehliadať web a náhle zistiť, že sú vaše bankové účty vyprázdnené a niekto používa vašu totožnosť na získanie úverov.

Všimnite si, že hoci HTTPS výrazne zlepšilo našu internetovú bezpečnosť, nemusí vám nutne pomôcť tomu predísť. HTTPS šifruje spojenie medzi vami a serverom, ale ak je obsah, ktorý sa poskytuje, škodlivý — prostredníctvom kompromitovanej reklamnej siete alebo vloženého skriptu — zámok je irelevantný. Teda, zámok už dokonca nie je ani tam, ale pochopíte pointu.

Plne HTTPS-podporovaná stránka môže stále doručiť malvertisingový payload prostredníctvom reklamnej siete tretích strán, nad ktorou nemá kontrolu, a preto legitímne stránky stále šíria malware, ak sú kompromitované.

Udržiavajte svoje prehliadače uzamknuté

„Ale nič som neklikol“ bohužiaľ nie je zárukou, že vo vašom počítači nie je nebezpečný malware. Ochrany prehliadača sťažili útoky malvéru typu drive-by, ale bez správneho nastavenia prehliadača ste stále ohrozený.