Výzkumníci zdokumentovali případ spywareu v reklamách bez kliknutí, se kterým se novináři setkali v roce 2024, a mění to naše uvažování o rizicích každodenního prohlížení. Al Jazeera i Citizen Lab zveřejnily zjištění o kampani, kterou nazývají „AdFection“, v níž byl žoldácký spyware doručován prostřednictvím online reklamy. Nebylo zapotřebí žádného klepnutí, žádného stažení ani žádného podezřelého odkazu.

Otázka, kdo nakonec novináře cíleně napadl, zůstává nezodpovězena. Výzkumníci tvrdí, že vědí, kdo útoky zprostředkoval: dvě izraelské společnosti, z nichž jedna je na americkém černém seznamu přibližně pět let.

Jak AdFection doručoval spyware v reklamách bez kliknutí novinářům

Útok bez kliknutí je takový, který nevyžaduje žádnou akci oběti. Tradiční phishing závisí na tom, že otevřete přílohu nebo klepnete na odkaz. Zde byl doručovacím kanálem samotný reklamní ekosystém. Reklamy se načítají automaticky vždy, když se načte stránka, takže škodlivá reklama se může dostat do zařízení jednoduše proto, že někdo navštívil webovou stránku.

Právě to dělá tuto techniku znepokojivou. Reklamní síť, o které většina čtenářů nikdy nepřemýšlí, se stává cestou, po níž spyware putuje. Cílená reklama je navržena tak, aby vybírala konkrétní publika, a stejná přesnost, která umožňuje značce zasáhnout určitou demografickou skupinu, může teoreticky umožnit útočníkovi zasáhnout konkrétního člověka.

Veřejné zpravodajství o výzkumu uvádí reklamní společnost jménem Discover-Tech a popisuje, jak výrobci spywareu používali ji k dosažení zařízení. Tyto podrobnosti pocházejí ze sekundárního zpravodajství o zprávě Citizen Lab, proto si před spoléháním se na ně ověřte přesný technický popis v primárních zjištěních.

Co zjistily Citizen Lab a Al Jazeera

Obě organizace zveřejnily vlastní zjištění. Novináři Al Jazeery byli mezi postiženými a Citizen Lab, výzkumná skupina na Torontské univerzitě známá vyšetřováním komerčního spywareu, kampaň analyzovala a dala jí název AdFection. Naše dřívější zpravodajství o zjištění Citizen Lab, že reklamy bez kliknutí infikovaly zařízení novinářů prochází zprávu podrobněji.

Ze zpravodajství vynikají dva body:

  • Přiřčení je neúplné. Výzkumníci identifikovali zprostředkovatele, ale ne klienta, který cíle vybral. To je typické pro trh se žoldáckým spywarem, kde společnost vyrábějící nástroje a strana, která je používá, jsou často rozdílné.
  • Byla zapojena společnost na černém seznamu. Jedna ze dvou izraelských firem je na americkém černém seznamu zhruba půl desetiletí. To vyvolává naléhavé otázky, jak taková společnost zůstává napojena na komerční infrastrukturu a širší dodavatelský řetězec reklamy.

Sekundární zpravodajství tento případ také popsalo jako první veřejně potvrzený výskyt žoldáckého spywareu bez kliknutí doručeného prostřednictvím cílených reklam. Berte toto zarámování jako charakteristiku práce Citizen Lab tak, jak ji referují jiní, a přesná tvrzení si ověřte v původní zprávě.

Proč jsou novináři a aktivisté terčem

Žoldácký spyware se prodává jako nástroj sledování a novináři jsou opakovaným terčem, protože mají to, co chtějí druzí: zdroje, nepublikované materiály a soukromou komunikaci. Kompromitovaný telefon může odhalit kontakty, zprávy, polohu a přístup k mikrofonu. Pro reportéra pracujícího na citlivých tématech může jediná infekce ohrozit zdroje, nejen reportéra.

Případ AdFection také ukazuje, proč hrozba není striktně omezena na novináře. Způsob doručení závisí na infrastruktuře, kterou používají všichni. I když byla jako cíl vybrána konkrétní osoba, stejný reklamní systém slouží široké veřejnosti. Většina čtenářů pravděpodobně nebude prioritním cílem tohoto typu nástrojů, ale případ ukazuje, že mechanismus existuje.

Co to znamená pro vás

Pro většinu lidí je praktické riziko, že budou vybráni žoldáckým spywarem, nízké. Zjištění však připomínají, že neklikat na nic neznamená, že jste v bezpečí, a že běžné webové reklamy mohou být útočnou plochou. Pokud jste novinář, aktivista, právník nebo někdo, kdo pracuje s citlivými informacemi, berte to vážněji.

Stojí také za to být upřímní ohledně VPN. VPN šifruje váš provoz mezi vaším zařízením a serverem VPN a skrývá vaši IP adresu před navštěvovanými stránkami. Nezastaví však načtení škodlivé reklamy ve vašem prohlížeči a nezáplatuje zranitelnost ve vašem telefonu. Samotná VPN před tímto typem útoku nechrání. Zůstává užitečná pro jiné cíle soukromí, ale zde obranou není.

Co mohou čtenáři udělat

Žádný jediný krok riziko neeliminuje, ale vrstvená opatření ho výrazně snižují:

  • Aktualizujte operační systém a prohlížeč bez odkladu. Spyware, jako je tento, obvykle závisí na softwarových chybách a aktualizace je uzavírají.
  • Zapněte režim Lockdown, pokud jste ve vyšším riziku. Režim Lockdown od Applu je navržen tak, aby zmenšil útočnou plochu pro lidi, kteří mohou být terčem. Uživatelé Androidu mohou hledat srovnatelná nastavení pokročilé ochrany.
  • Používejte blokátor reklam. Pokud je doručovacím kanálem reklama, blokování reklam na úrovni prohlížeče nebo DNS odstraní velkou část expozice.
  • Restartujte zařízení pravidelně. Některé infekce nepřežijí restart, což může útočníky donutit začít znovu.
  • Omezte, co běží v prohlížeči. Méně rozšíření a minimální sada aplikací snižuje počet míst, kde může útočník využít zranitelnost.
  • Vyhledejte odbornou pomoc, pokud máte podezření na infekci. Organizace, které podporují ohrožené skupiny, mohou pomoci s forenzními kontrolami.

Klíčová zjištění

Případ AdFection ukazuje, že spyware v reklamách bez kliknutí, kterému novináři čelili v roce 2024, byl doručen prostřednictvím stejného reklamního systému, který slouží všem ostatním. Útočník stále není identifikován, ale s usnadněním byly spojeny dvě izraelské společnosti. Udržujte svá zařízení aktualizovaná, zvažte režim Lockdown, pokud čelíte zvýšenému riziku, a blokujte reklamy, kde můžete. Pro úplné podrobnosti si přečtěte náš souhrn zprávy Citizen Lab o reklamách bez kliknutí a novinářích, poté si projděte primární zjištění od Citizen Lab a Al Jazeery. A pamatujte, že VPN, i když je užitečná, není štítem proti tomuto typu útoku.