A Citizen Lab kutatói első alkalommal hoztak nyilvánosságra technikai bizonyítékot arra vonatkozóan, hogy kifinomult zsoldos kémprogramokat terjesztenek online hirdetéseken keresztül.
A Torontói Egyetem Citizen Labjának kutatása egy a természetben előforduló legrosszabb forgatókönyvet tárt fel: kémprogramok csendben megfertőzik a célpontokat, miközben azok a mindennapi digitális életükben a hirdetéseket böngészik.
Az „AdFection” névre keresztelt támadásokban a kutatók egy olyan kampányt dokumentáltak, amelyben egy Izraelben bejegyzett reklámcég állítólag egy kémprogram-cég szervereihez csatlakozott, és több tucat eszközt fertőzött meg invazív kártevőjével. A Citizen Lab úgy véli, hogy ez az első részletes technikai bizonyíték, amely nyilvánosan elérhetővé vált arra vonatkozóan, hogy kifinomult kémprogramok digitális hirdetéseken keresztül fertőzték meg az eszközöket.
A nulla kattintásos hackelések szent grál a támadók számára, de katasztrofálisak az áldozatok számára, mivel automatikusan telepíthetnek rosszindulatú programokat az eszközökre anélkül, hogy a célpont részéről bármilyen interakcióra vagy hibára lenne szükség. Amikor a kifinomult hackerek az elmúlt években ritka nulla kattintásos támadásokat vezettek be, gyakran a mobil üzenetküldő és kommunikációs alkalmazások sebezhetőségeit használták ki az áldozatok megfertőzésére. A támadók azonban az online hirdetési ökoszisztéma kiterjedt infrastruktúráját is kihasználták rosszindulatú programok terjesztésére, néha az áldozatok részéről kevés vagy semmilyen interakció nélkül. A Citizen Lab kutatói által feltárt nulla kattintásos kémprogram-kampány bizonyítékai azt mutatják, hogy a két fenyegetés összeolvad, ami aláhúzza a kockázat mértékét és sürgősségét.
„Az AdFection lehetővé teszi az operátorok számára, hogy automatikusan feltörjenek bizonyos személyeket zsoldos kémprogramokkal, miközben alkalmazásokat használnak vagy az interneten böngésznek” – mondja Bill Marczak, a Citizen Lab vezető kutatója. „Akit így feltörnek, az semmi kivetnivalót nem lát. Sőt, lehet, hogy egyáltalán nem is lát hirdetéseket.”
A helyzet azért annyira aggasztó – jegyzi meg –, mert az emberek nem sokat tehetnek a kattintás nélküli hirdetési támadások elleni védekezésért, azon kívül, hogy a lehető legalaposabban blokkolják a hirdetéseket minden weboldalon és platformon – ezt a tényt a hírszerző ügynökségek, mint az NSA és a CIA, túlságosan is jól tudják .
„Rémálomszerű forgatókönyv annak a kockázata, hogy az eszközünket kémprogramok fertőzzék meg pusztán egy hirdetéseket megjelenítő webhely vagy alkalmazás használata miatt” – mondja Wolfie Christl, a Citizen Lab vezető kutatója.
A Citizen Lab elemzése szerint 2024 és 2025 folyamán a hírügynökség 45, az Al Jazeera hírportálhoz tartozó eszközt céloztak meg hirdetések által közvetített, kattintás nélküli támadásokkal. A kutatók szerint a célzott hirdetéseket az izraeli alapítású Discover-Tech marketingcég adta ki, és az izraeli Candiru fejlesztőhöz köthető kémprogramokat terjesztettek. A fertőzött eszközök kapcsolatba léptek a Discover-Techhez kapcsolódó domainekkel, majd a Candiruhoz kapcsolódó infrastruktúrához kapcsolódtak. (Az Al Jazeera, amely részt vett a nyomozásban és megosztotta az eszköznaplókat a Citizen Lab kutatóival, nem reagált a megkeresésünkre.)
„A modern online hirdetési ökoszisztéma egyik jellemzője, hogy személyre szabott, tetszőleges tartalmat lehet küldeni adott felhasználóknak, és tökéletesen illik a zsoldos kémprogram-iparhoz” – mondja Marczak. „Amíg ez az architektúra nem változik, vagy a hirdetési cégek nem veszik komolyan az ügyfelek átvilágítását, addig továbbra is látni fogjuk az ilyen jellegű visszaéléseket.”
A WIRED által a Discover-Technek és vezérigazgatójának küldött e-mailekre és üzenetekre a megjelenés előtt nem érkezett válasz. Az Integrity Partners, amelyről úgy vélik, hogy a Candiru vagyonának tulajdonosa az Egyesült Államok kormánya által 2021- ben elrendelt szankciókat követően , szintén nem reagált a megkeresésekre.
A Google, amely a világ egyik legnagyobb hirdetési vállalkozását üzemelteti, a Citizen Labbel és a Confiant kiberbiztonsági cég kutatóival együttműködve, valamint egy kémprogram-link megerősítése után megszüntette a Discover-Tech regisztrációját. „A Citizen Labbel és a Confianttal közösen végzett vizsgálatot követően a Google blokkolta a Discover-Tech-et hirdetési platformjain, mert szisztematikusan megsértette a szabályzatainkat” – mondta a Google szóvivője. „Biztonságos Böngészés figyelmeztetéseket is beállítottunk, hogy megvédjük az embereket, ha ehhez a csoporthoz kapcsolódó webhelyekre látogatnak.”
Az Interactive Advertising Bureau (IAB), egy reklámipari szervezet európai ága megerősítette a WIRED-nek, hogy felfüggesztette a Discover-Tech-et globális szállítói listájáról, az úgynevezett GVL-ről. A vállalatot az IAB Europe függesztette fel a szabályzatainak ellenőrzését követően – közölte az IAB Europe szóvivője. „A kémprogramokkal kapcsolatos megállapítások további megerősítése indokolhatja a GVL-ből való végleges kizárást is” – mondta az IAB Europe szóvivője.
A Comcast tulajdonában lévő online hirdetési iparágban működő Beeswax szóvivője egy nyilatkozatban azt mondta: „A Beeswax a közelmúltbeli tevékenységét és egy harmadik fél biztonsági szakértője által végzett független ellenőrzést követően eltávolította a Discovery-Tech-et platformjáról. Zéró tolerancia politikát folytatunk a rosszindulatú hirdetésekkel szemben.”
Amikor online vagy alkalmazásokban hirdetéseket lát, azok gyakran egy összetett folyamatot, az úgynevezett valós idejű licitálást követően jelennek meg – lényegében egy automatizált aukció, ahol a hirdetők licitálnak, hogy adott hirdetéseket jelenítsenek meg neked. Az ezredmásodpercig tartó folyamat eredményeként a hirdetők hatalmas mennyiségű adatot gyűjthetnek az eszközödről, a tartózkodási helyedről és a böngészési előzményeidről, és sok minden másról. A folyamat évek óta rémálom az adatvédelem terén, mivel homályos adatbrókerek árulják az emberek személyes adatait, a bűnüldöző szervek és az ellenséges nemzetek pedig megvásárolják ezeket az adatokat, hogy nyomon kövessék vagy célozzák meg az embereket.
A Citizen Lab kutatói szerint a Discover-Tech egy Controlium nevű hirdetési platformot üzemeltet, amely lehetővé teszi felhasználói számára, hogy „deanonimizálják, ujjlenyomatot vegyenek és automatikusan megfertőzzék az eszközöket”, amint egy hirdetés megjelenik. Összességében a kutatók becslése szerint több millió eszközt irányítottak a Candiru szervereire, ahol profilokat lehetett készíteni róluk. A Discover-Tech weboldalán nyilvánosan közzétett hirdetési ajánlattételi adatok elemzésével a Citizen Lab kutatói szerint a céghez kapcsolódó, támadó szkriptcímkékkel ellátott hirdetések több mint 70 000 mobilalkalmazásban és több mint 120 000 weboldalon jelentek meg idén március és június között. A kutatók szerint több alkalmazás is több mint egymillió, a Discover-Techhez kapcsolódó hirdetést jelenített meg.
A cég hirdetései nem feltétlenül voltak mind kémprogramok terjesztésére szolgáló fegyverek, de a kutatók szerint általánosságban a Discover-Tech hirdetései világszerte kormányzati és nemzetbiztonsági hálózatokon jelentek meg. Ezek közé tartoznak a NATO és az ENSZ hálózatai, valamint európai törvényhozó testületek, ausztrál kritikus infrastruktúra-szolgáltatók, valamint norvég és svéd fegyveres erők és kormányzati szervek.
A korábbi, kémprogramokat terjesztő, nulla kattintásos célzott hirdetési kampányok ritkán jelentek meg nyilvánosan , de a Citizen Lab kutatói szerint ez valószínűleg annak a tünete, hogy a hirdetési infrastruktúrában annyira megbíznak, és a digitális élet minden aspektusába különösebb felügyelet nélkül beépülnek.
„Az Al Jazeera hálózati naplói kulcsfontosságúak voltak a támadás hirdetésalapú jellegének megértésében” – mondja Marczak. „Ha egy felhasználó személyes eszközét célozták meg, mondjuk, miközben az otthoni Wi-Fi-hez vagy mobilinternethez csatlakozott, ott nem volt ugyanolyan szintű hálózati megfigyelés. Tehát azt hiszem, az előzetes jelentések hiánya valószínűleg főként a láthatóság problémája: a védőknek a megfelelő helyen kell lenniük a megfelelő időben, és a megfelelő adatokat kell vizsgálniuk.”
A digitális hirdetési ökoszisztéma mindenütt jelenlétéből eredő fenyegetésekről általánosságban szólva Jason Kint, a Digital Content Next digitális média kereskedelmi szervezet (amelynek a WIRED anyavállalata, a Condé Nast is tagja) vezérigazgatója szerint az ilyen típusú támadások egyszerre valószínűek és károsak.
„Bár ritka és kifinomult, nem lennék teljesen meglepve, ha a hirdetéseken keresztüli nulla kattintásos támadásokról hallanék” – mondja Kint. „Bármi, ami közvetlenül szembemegy a felhasználók elvárásaival, vagy csökkenti a nyílt webbe vetett bizalmat, mélyen aggasztó.”
Tovább a cikkre: wired.com (Matt Burgess)
