Изследователите от The Citizen Lab за първи път публикуваха технически доказателства за сложен наемнически шпионски софтуер, разпространяван чрез онлайн реклама. Репортажът на WIRED го описа като "сценарий от кошмар", и описанието пасва: шпионски софтуер с нулево кликване чрез таргетирани реклами би могъл да превърне обикновената рекламна екосистема в маршрут за доставка на инструменти за наблюдение. Тази публикация обяснява какво е било докладвано, как обикновено работи този клас атаки и кои защити си заслужават времето.

Една бележка относно обхвата: източникът, с който разполагаме, е кратък, затова ограничаваме конкретиката до това, което е публикувано. Там, където описваме как работят атаките, базирани на реклами, обясняваме концепцията, а не добавяме подробности за този конкретен случай.

Какво откри Citizen Lab

Citizen Lab е изследователска група, известна с разследването на цифрови заплахи срещу журналисти, активисти и други цели от гражданското общество. Според репортажа, изследователите ѝ сега са публикували технически доказателства, показващи, че наемнически шпионски софтуер, тоест търговски инструменти за наблюдение, продавани на платежоспособни клиенти, може да бъде доставян чрез онлайн реклама.

Ключовата дума е "първи". Специалистите по сигурност отдавна предупреждават, че рекламните мрежи могат да бъдат злоупотребявани по този начин, но публично оповестеното техническо доказателство е това, което превръща едно опасение от теоретично в документирано. Ето защо това откритие е важно, дори ако вие не сте вероятна цел.

Как шпионският софтуер с нулево кликване се разпространява чрез реклами

Атаката с нулево кликване не изисква никакво действие от жертвата. Няма подозрителен линк за натискане и няма прикачен файл за отваряне. Устройството е компрометирано просто чрез обработка на нещо, което му е било изпратено.

Онлайн рекламите са правдоподобен преносител по няколко причини:

  • Рекламите се зареждат автоматично. Уеб страниците и приложенията извличат и рендират рекламно съдържание на заден план, без никакъв съзнателен избор от ваша страна.
  • Рекламите са таргетирани. Рекламните системи са изградени да достигат до конкретни аудитории, което означава, че атакуващият по принцип би могъл да насочи съдържание към тясна група вместо към широката публика.
  • Рекламните вериги са сложни. Съдържанието често преминава през няколко посредника, преди да достигне до екрана, което затруднява всяка отделна страна да инспектира всичко.

На практика това означава, че същата инфраструктура, която позволява на рекламодателите да намерят определен тип потребител, би могла да помогне на атакуващ да намери определен човек. Не разполагаме с допълнителни технически подробности за точния механизъм от източника, затова читателите, които искат пълния анализ, следва да се обърнат директно към публикуваното изследване на Citizen Lab.

Защо телефоните и рекламното таргетиране оставят потребителите изложени

Телефоните са привлекателни цели, защото съдържат съобщения, история на местоположението, снимки и идентификационни данни, и са почти винаги свързани. Те също така непрекъснато рендират съдържание от трети страни в браузъри и приложения.

Рекламното таргетиране добавя втори слой на изложение. Брокерите на данни и рекламните платформи събират сигнали за това кой сте и къде ходите, и именно тези сигнали правят възможно прецизното таргетиране. Колкото повече от тези данни циркулират, толкова по-лесно е за мотивиран купувач на наемнически шпионски софтуер да избере конкретен индивид.

Ето защо реалистичният риск е неравномерен. Наемническият шпионски софтуер е скъп и исторически е свързван с високоценни цели като журналисти, дисиденти и длъжностни лица, а не с обикновени потребители. Повечето хора е малко вероятно да бъдат предвидената жертва. Но метод за доставка, който се възползва от масовата рекламна инфраструктура, си заслужава да бъде разбран, защото защитите, които помагат срещу него, помагат и срещу по-често срещани заплахи.

Какво намалява риска ви (и къде се вписва VPN)

Нито един инструмент не спира подобна атака. Слоестият подход е разумният отговор.

Поддържайте устройствата си актуализирани. Шпионският софтуер разчита на софтуерни уязвимости, а актуализациите ги затварят. Нашият материал за това как Lazarus Group експлоатираше грешка в ядрото на Windows преди августовската кръпка показва как атакуващите могат да използват уязвимост, преди да съществува поправка, и защо инсталирането на кръпки незабавно все още е важно, след като тя се появи.

Използвайте Lockdown Mode, ако сте изложени на повишен риск. Lockdown Mode на Apple е предназначен за хора, които може да се сблъскат с целеви атаки. Той намалява повърхността за атака на устройството, за сметка на някои функции. Ако сте журналист, активист или работите в чувствителна област, си струва да го обмислите.

Прегледайте настройките си за рекламно проследяване. Ограничаването на персонализацията на рекламите и нулирането или ограничаването на вашия рекламен идентификатор намалява данните, налични за таргетиране. Блокирането на съдържание на ниво браузър също може да намали колко рекламно съдържание от трети страни се зарежда изобщо.

Разберете какво прави и какво не прави една VPN. VPN криптира трафика ви между устройството ви и VPN сървъра и може да скрие IP адреса ви от сайтовете, които посещавате. Това може да намали някои сигнали за проследяване. Тя не кръпва телефона ви и не спира компрометирано устройство да обработва зловредно съдържание. Отнасяйте се към нея като към един ограничен слой, а не като към щит срещу експлойти с нулево кликване.

Какво означава това за вас

За повечето читатели това изследване е сигнал, а не причина за паника. Документираната употреба на наемнически шпионски софтуер е насочена към малък брой хора, и откритието не означава, че обикновеното разглеждане на реклами вероятно ще компрометира телефона ви днес. Това, което то показва, е, че рекламната инфраструктура може да бъде превърната в канал за атака, което подсилва аргумента за основна хигиена: актуален софтуер, по-малко тракери и намалено изложение на ненужно съдържание от трети страни.

Ако работите с чувствителна информация или имате причина да смятате, че може да сте цел, летвата е по-висока. Комбинирайте актуализации, Lockdown Mode и по-строги рекламни контроли и обмислете да потърсите насоки от организации за цифрова сигурност, които подкрепят изложени на риск групи.

Ключови изводи

  • Актуализирайте телефона и приложенията си веднага щом има налични кръпки.
  • Включете Lockdown Mode, ако сте изложени на повишен риск.
  • Ограничете персонализацията на рекламите и нулирайте или ограничете рекламния си идентификатор.
  • Обмислете блокер на съдържание, за да намалите зареждането на реклами от трети страни.
  • Използвайте VPN за поверителност, но не разчитайте на нея, за да спрете шпионски софтуер с нулево кликване чрез таргетирани реклами.
  • За по-широк контекст относно кръпките вижте нашия материал за девета нулева уязвимост в Windows, публикувана от изследователя Nightmare Eclipse.

Откритието на Citizen Lab е напомняне, че рекламната екосистема е част от вашата повърхност за атака. Не можете да контролирате всяка рекламна мрежа, но можете да стесните пролуката с няколко съзнателни настройки и последователни актуализации.