Forskere fra The Citizen Lab har for første gang offentliggjort teknisk dokumentation for sofistikeret lejesoldat-spyware, der distribueres gennem onlineannoncering. WIRED's dækning beskrev det som et "mareridtscenarie", og beskrivelsen passer: zero-click-spyware målrettede annoncer kan forvandle det almindelige annonceøkosystem til en leveringsrute for overvågningsværktøjer. Dette indlæg forklarer, hvad der er blevet rapporteret, hvordan denne type angreb generelt fungerer, og hvilke forsvar der er værd at bruge tid på.

En bemærkning om omfang: den kildemæssige rapportering, vi har til rådighed, er kortfattet, så vi begrænser detaljerne til det, der er blevet offentliggjort. Hvor vi beskriver, hvordan annoncebaserede angreb fungerer generelt, forklarer vi konceptet og tilføjer ikke detaljer om denne konkrete sag.

Hvad Citizen Lab fandt

Citizen Lab er en forskningsgruppe kendt for at undersøge digitale trusler mod journalister, aktivister og andre mål i civilsamfundet. Ifølge rapporteringen har dens forskere nu offentliggjort teknisk dokumentation, der viser, at lejesoldat-spyware, altså kommercielle overvågningsværktøjer solgt til betalende kunder, kan leveres gennem onlineannoncering.

Nøgleordet er "første". Sikkerhedsforskere har længe advaret om, at annoncenetværk kunne misbruges på denne måde, men offentligt offentliggjort teknisk bevis er det, der flytter en bekymring fra teoretisk til dokumenteret. Det er derfor, denne opdagelse er vigtig, selv hvis du ikke er et sandsynligt mål.

Hvordan zero-click-spyware spredes gennem annoncer

Et zero-click-angreb kræver ingen handling fra offeret. Der er intet mistænkeligt link at trykke på, og ingen vedhæftet fil at åbne. Enheden kompromitteres blot ved at behandle noget, den har fået tilsendt.

Onlineannoncer er en sandsynlig bærer af flere grunde:

  • Annoncer indlæses automatisk. Websider og apps henter og gengiver annonceindhold i baggrunden uden noget bevidst valg fra dig.
  • Annoncer er målrettede. Annoncesystemer er bygget til at nå specifikke målgrupper, hvilket betyder, at en angriber i princippet kan rette indhold mod en snæver gruppe i stedet for den brede offentlighed.
  • Annoncekæder er komplekse. Indhold passerer ofte gennem flere mellemled, før det når en skærm, hvilket gør det svært for nogen enkelt part at inspicere alt.

I praksis betyder det, at den samme infrastruktur, der lader annoncører finde en bestemt type bruger, kan hjælpe en angriber med at finde en bestemt person. Vi har ikke yderligere teknisk detalje om den præcise mekanisme fra kilden, så læsere, der ønsker den fulde analyse, bør konsultere Citizen Labs offentliggjorte forskning direkte.

Hvorfor telefoner og annoncemålretning efterlader brugere udsatte

Telefoner er attraktive mål, fordi de indeholder beskeder, lokationshistorik, billeder og legitimationsoplysninger, og de er næsten altid forbundet. De gengiver også konstant tredjepartsindhold i browsere og apps.

Annoncemålretning tilføjer et ekstra lag af eksponering. Dataforhandlere og annonceplatforme indsamler signaler om, hvem du er, og hvor du går hen, og det er disse signaler, der gør præcis målretning mulig. Jo mere af disse data der cirkulerer, jo lettere er det for en motiveret køber af lejesoldat-spyware at udpege en bestemt person.

Det er også derfor, den realistiske risiko er ujævn. Lejesoldat-spyware er dyrt og har historisk været forbundet med højværdimål som journalister, dissidenter og embedsmænd, ikke almindelige brugere. De fleste er usandsynligt det tilsigtede offer. Men en leveringsmetode, der rider på masseannonceringsinfrastruktur, er værd at forstå, fordi forsvar, der hjælper mod den, også hjælper mod mere almindelige trusler.

Hvad reducerer din risiko (og hvor en VPN passer ind)

Intet enkelt værktøj stopper et angreb som dette. En lagdelt tilgang er det fornuftige svar.

Hold dine enheder opdaterede. Spyware er afhængig af softwarefejl, og opdateringer lukker dem. Vores dækning af, hvordan Lazarus Group udnyttede en Windows-kernel-fejl før augustopdateringen, viser, hvordan angribere kan bruge en fejl, før en rettelse findes, og hvorfor det stadig betyder noget at installere patches hurtigt, når den gør.

Brug Lockdown Mode, hvis du er i forhøjet risiko. Apples Lockdown Mode er designet til personer, der kan stå over for målrettede angreb. Det reducerer enhedens angrebsflade på bekostning af nogle funktioner. Hvis du er journalist, aktivist eller arbejder inden for et følsomt område, er det værd at overveje.

Gennemgå dine indstillinger for annoncesporing. Begræns annoncepersonalisering og nulstil eller begræns din annonceidentifikator for at reducere de data, der er tilgængelige for målretning. Indholdsblokering på browserniveau kan også mindske, hvor meget tredjepartsannonceindhold der overhovedet indlæses.

Forstå, hvad en VPN gør, og hvad den ikke gør. En VPN krypterer din trafik mellem din enhed og VPN-serveren og kan skjule din IP-adresse for websteder, du besøger. Det kan reducere nogle sporingssignaler. Den patcher ikke din telefon, og den stopper ikke en kompromitteret enhed fra at behandle ondsindet indhold. Betragt den som et begrænset lag, ikke som et skjold mod zero-click-udnyttelser.

Hvad dette betyder for dig

For de fleste læsere er denne forskning et signal, ikke en grund til panik. Den dokumenterede brug af lejesoldat-spyware er rettet mod et lille antal personer, og opdagelsen betyder ikke, at almindelig annoncebrowsing sandsynligvis kompromitterer din telefon i dag. Det, den viser, er, at annonceringsinfrastruktur kan forvandles til en angrebskanal, hvilket styrker argumentet for grundlæggende hygiejne: opdateret software, færre trackere og reduceret eksponering for unødvendigt tredjepartsindhold.

Hvis du håndterer følsomme oplysninger, eller har grund til at tro, at du kunne være et mål, er barren højere. Kombiner opdateringer, Lockdown Mode og strammere annoncekontroller, og overvej at søge vejledning fra digitale sikkerhedsorganisationer, der støtter udsatte grupper.

Vigtige pointer

  • Opdater din telefon og apps, så snart patches er tilgængelige.
  • Aktivér Lockdown Mode, hvis du er i forhøjet risiko.
  • Begræns annoncepersonalisering, og nulstil eller begræns din annonce-ID.
  • Overvej en indholdsblocker for at reducere indlæsning af tredjepartsannoncer.
  • Brug en VPN for privatlivets skyld, men stol ikke på den til at stoppe zero-click-spyware målrettede annoncer.
  • For bredere patching-kontekst, se vores rapportering om en niende Windows zero-day frigivet af forskeren Nightmare Eclipse.

Citizen Labs opdagelse er en påmindelse om, at annonceøkosystemet er en del af din angrebsflade. Du kan ikke kontrollere alle annoncenetværk, men du kan mindske åbningen med nogle få bevidste indstillinger og konsekvente opdateringer.