I sidste uge afslørede forskere ved Citizen Lab en ny malware-kampagne, som de navngav "AdFection." Ifølge Electronic Frontier Foundations gennemgang af fundene brugte kampagnen et annoncenetværk til at levere spyware til journalisters enheder og inficerede dem, uden at målet nogensinde behøvede at klikke på noget. AdFection zero-click spyware malvertising er en påmindelse om, at annoncer, der indlæses lydløst i baggrunden af daglig browsing og apps, kan blive en angrebsvej.
Kildematerialet, der er tilgængeligt for os, er kortfattet, så dette indlæg holder sig til det, der er rapporteret, og fokuserer på de praktiske spørgsmål, som læserne sandsynligvis vil stille.
Hvordan AdFection leverede spyware gennem et annoncenetværk
Kernen i kampagnen, som beskrevet af EFF, er leveringsmetoden. I stedet for at sende et mistænkeligt link eller vedhæftet fil til et mål, brugte angriberne et annoncenetværk til at skubbe spyware til journalisters enheder. Målet behøvede ikke at trykke på, åbne eller godkende noget.
Det er, hvad "zero-click" betyder: kompromitteringen sker uden brugerinteraktion. Malvertising, det vil sige misbrug af annoncesystemer til at levere ondsindet indhold, er ikke et nyt koncept. Det, der skiller sig ud her, er kombinationen af en betroet, dagligdags leveringskanal uden nogen krævet handling fra offeret, rettet mod en gruppe, der i forvejen er stærkt udsat.
EFF beskriver denne form for angreb på journalister som farlig, og ræsonnementet er ligetil. Journalister håndterer fortrolige kilder og følsom kommunikation, og en kompromitteret telefon kan afsløre det hele.
Hvorfor zero-click malvertising betyder noget ud over journalister
AdFection blev rapporteret som en kampagne rettet mod journalister, men mekanismen er ikke eksklusiv for dem. Annoncenetværk når enorme mængder af mennesker gennem websites og apps. Enhver leveringsvej, der afhænger af denne infrastruktur, rejser et bredere spørgsmål om, hvor stor eksponering almindelige brugere har for indhold, de aldrig valgte at indlæse.
Denne type trussel diskuteres også typisk sammen med andre zero-click spyware-sager. For et nyligt eksempel, se vores rapport om, hvordan Al Jazeera siger, at Candiru-relateret spyware ramte 45 medarbejderes enheder, hvor data angiveligt blev hentet fra journalisters og medarbejderes enheder uden nogen handling fra brugernes side.
De fleste læsere er sandsynligvis ikke det tilsigtede mål for en kampagne som denne. Ikke desto mindre er de forsvar, der reducerer risikoen for højrisikobrugere, ofte gratis, indbyggede i enheden og værd at tage i brug bredt.
Hvad en VPN beskytter mod, og hvad den ikke beskytter mod
Det er fristende at antage, at en VPN løser et problem som dette. Det er mere præcist at være specifik om, hvad en VPN gør.
En VPN krypterer din trafik mellem din enhed og VPN-serveren og skjuler din IP-adresse for de websites, du besøger. Det hjælper med privatliv på utroværdige netværk og med at begrænse visse former for sporing via IP.
Hvad en VPN ikke gør i sig selv, er at stoppe ondsindet indhold, der leveres gennem forbindelsen, når det først når din enhed. Hvis spyware ankommer gennem en annonce, som din browser eller app indlæser, transporterer VPN-tunnelen simpelthen det indhold som enhver anden trafik. En standard-VPN patcher ikke softwarefejl, og den gør ikke din enhed immun over for udnyttelse.
Nogle VPN-produkter inkluderer valgfrie funktioner til annonce- eller domæneblokering. De kan reducere eksponeringen for annonceindhold, men de er et lag af filtrering snarere end en garanti, og deres kvalitet varierer. Behandl en VPN som ét privatlivsværktøj blandt flere, ikke som et forsvar mod spyware.
Praktiske forsvar: Opdateringer, adblockere og Lockdown Mode
For zero-click-trusler er et par tiltag de vigtigste.
- Installer opdateringer hurtigt. Zero-click-angreb afhænger typisk af softwarefejl. Opdateringer af styresystem og browser er den mest direkte måde at lukke dem på.
- Brug en adblocker. Hvis leveringsvejen er et annoncenetværk, fjerner blokering af annoncer en stor del af den eksponering. Brug en velrenommeret blocker i browseren og, hvor det er muligt, på enheds- eller netværksniveau.
- Aktivér Lockdown Mode, hvis du er i højere risiko. På understøttede Apple-enheder er Lockdown Mode en valgfri indstilling, der reducerer angrebsfladen for personer, der kan være mål for sofistikeret spyware. Den begrænser visse funktioner, og det er afvejningen.
- Reducer, hvad der kører på din enhed. Fjern apps, du ikke bruger, da hver enkelt kan medbringe sine egne annoncekomponenter.
Hvad det betyder for dig
Hvis du er journalist, aktivist eller en anden person, der kan være mål, så betragt AdFection som en anledning til at hærde dine enheder nu i stedet for efter en hændelse. Hvis du er en almindelig bruger, er risikoen for at blive udpeget lavere, men de samme vaner koster lidt og beskytter også mod mange andre trusler.
Hold forventningerne realistiske. En VPN er nyttig til det, den er designet til, men den stopper ikke alene ad-leveret spyware. Opdateringer, annonceblokering og Lockdown Mode, hvor det er relevant, er de skridt, der har den klareste forbindelse til denne type angreb.
Vigtige pointer
AdFection zero-click spyware malvertising viser, at en kampagne kan nå et mål gennem almindelig annonceinfrastruktur uden at kræve et klik. I dag kan du:
- Anvende ventende opdateringer af styresystem, browser og apps.
- Slå en velrenommeret adblocker til.
- Aktivere Lockdown Mode, hvis du er i højere risiko.
- Læse om den Candiru-relaterede spyware, der angiveligt blev fundet på Al Jazeera-enheder for at se et andet nyligt eksempel på samme klasse af zero-click-trussel.
Ingen af disse skridt er komplicerede, og tilsammen hæver de markant barren for angribere.
