Изследователи са документирали случай на шпионски софтуер за реклами с нулево кликване, с който журналистите са се сблъскали през 2024 г., и това променя начина, по който мислим за рисковете от ежедневното сърфиране. Al Jazeera и Citizen Lab публикуваха свои констатации за кампания, която наричат „AdFection“, при която наемнически шпионски софтуер е бил доставян чрез онлайн реклами. Не е било нужно докосване, изтегляне или подозрителен линк.

Въпросът кой в крайна сметка е targeting журналистите остава без отговор. Това, което изследователите казват, че знаят, е кой е улеснил атаките: две израелски компании, една от които е в американския черен списък от около пет години.

Как AdFection доставяше шпионски софтуер за реклами с нулево кликване на журналисти

Атака с нулево кликване е такава, която не изисква действие от жертвата. Традиционният фишинг зависи от това да отворите прикачен файл или да натиснете линк. Тук каналът за доставяне беше самата рекламна екосистема. Рекламите се зареждат автоматично при зареждане на страница, така че злонамерена реклама може да достигне до устройство просто защото някой е посетил уебсайт.

Това е, което прави техниката обезпокоителна. Рекламната мрежа, за която повечето читатели никога не се замислят, се превръща в пътя, по който пътува шпионският софтуер. Таргетираната реклама е създадена да избира конкретни аудитории и същата прецизност, която позволява на дадена марка да достигне до определена демографска група, на теория може да позволи на нападател да достигне до конкретно лице.

Публичното отразяване на изследването посочва рекламна компания, наречена Discover-Tech, и описва производители на шпионски софтуер, които я използват, за да достигат до устройства. Тези подробности идват от вторично отразяване на доклада на Citizen Lab, така че проверете първичните констатации за точното техническо описание, преди да разчитате на тях.

Какво откриха Citizen Lab и Al Jazeera

И двете организации публикуваха свои собствени констатации. Журналистите на Al Jazeera бяха сред засегнатите, а Citizen Lab, изследователската група в Университета на Торонто, известна с разследването на търговски шпионски софтуер, анализира кампанията и ѝ даде името AdFection. Нашето по-ранно отразяване на констатацията на Citizen Lab, че рекламите с нулево кликване заразяват устройствата на журналисти преминава през доклада по-подробно.

Две точки се открояват от отразяването:

  • Атрибуцията е непълна. Изследователите идентифицираха улесняващите лица, но не и клиента, който е избрал целите. Това е типично за пазара на наемнически шпионски софтуер, където компанията, която изгражда инструментите, и страната, която ги използва, често са различни.
  • Замесена е компания в черен списък. Една от двете израелски фирми е в американски черен списък от около половин десетилетие. Това повдига трудни въпроси за това как такава компания остава свързана с търговска инфраструктура и по-широката рекламна верига за доставки.

Вторичното отразяване също описа случая като първия публично потвърден пример за наемнически шпионски софтуер с нулево кликване, доставен чрез таргетирани реклами. Отнасяйте се към тази формулировка като към characterization на работата на Citizen Lab, както е报告вана от други, и се консултирайте с оригиналния доклад за точните му твърдения.

Защо журналистите и активистите са мишена

Наемническият шпионски софтуер се продава като инструмент за наблюдение, а журналистите са повтаряща се мишена, защото притежават това, което другите искат: източници, непубликуван материал и лични комуникации. Компрометиран телефон може да разкрие контакти, съобщения, местоположение и достъп до микрофона. За репортер, работещ по чувствителни истории, една единствена инфекция може да изложи на риск източниците, а не само репортера.

Случаят AdFection също показва защо заплахата не е строго ограничена до журналистите. Методът за доставяне разчита на инфраструктура, която всички използват. Дори ако конкретно лице е избрано за мишена, същата рекламна система обслужва широката публика. Повечето читатели е малко вероятно да бъдат приоритетна мишена за този вид инструменти, но случаят показва, че механизмът съществува.

Какво означава това за вас

За повечето хора практическата риск от това да бъдат избрани от наемнически шпионски софтуер е нисък. Все пак констатациите са напомняне, че това да не кликвате никъде не означава, че сте в безопасност, и че обикновените уеб реклами могат да бъдат повърхност за атака. Ако сте журналист, активист, адвокат или някой, който борави с чувствителна информация, приемете това по-сериозно.

Също така си струва да бъдем честни относно VPN. VPN криптира трафика ви между устройството ви и VPN сървъра и скрива IP адреса ви от сайтовете, които посещавате. Той не спира злонамерена реклама да се зареди в браузъра ви и не поправя уязвимост на телефона ви. Само VPN не предпазва от този тип атака. Той остава полезен за други цели за поверителност, но не е защита тук.

Какво могат да направят читателите

Нито една стъпка не елиминира риска, но многослойните мерки го намаляват значително:

  • Актуализирайте операционната си система и браузъра своевременно. Шпионски софтуер като този обикновено зависи от софтуерни недостатъци, а актуализациите ги затварят.
  • Включете Lockdown Mode, ако сте изложени на по-висок риск. Lockdown Mode на Apple е проектиран да намали повърхността за атака за хора, които може да бъдат мишена. Потребителите на Android могат да потърсят сравними настройки за разширена защита.
  • Използвайте блокер за реклами. Ако каналът за доставяне е реклама, блокирането на реклами на ниво браузър или DNS премахва голяма част от излагането.
  • Рестартирайте устройството си редовно. Някои инфекции не оцеляват след рестартиране, което може да принуди нападателите да започнат отначало.
  • Намалете това, което работи в браузъра. По-малко разширения и минимален набор от приложения намаляват броя на местата, които нападателят може да използва.
  • Потърсете експертна помощ, ако подозирате инфекция. Организации, които подкрепят изложени на риск групи, могат да помогнат с форензични проверки.

Основни изводи

Случаят AdFection показва, че шпионският софтуер за реклами с нулево кликване, с който журналистите са се сблъскали през 2024 г., е бил доставян чрез същата рекламна система, която обслужва всички останали. Нападателят все още не е идентифициран, но две израелски компании са свързани с улесняването му. Поддържайте устройствата си актуализирани, обмислете Lockdown Mode, ако сте изложени на повишен риск, и блокирайте рекламите, където можете. За пълните подробности прочетете нашето резюме на доклада на Citizen Lab за рекламите с нулево кликване и журналистите, след което следвайте първичните констатации от Citizen Lab и Al Jazeera. И помнете, че VPN, макар и полезен, не е щит срещу този вид атака.