Letzte Woche haben Forscher von Citizen Lab eine neue Malware-Kampagne aufgedeckt, die sie „AdFection" nannten. Laut der Zusammenfassung der Ergebnisse durch die Electronic Frontier Foundation nutzte die Kampagne ein Werbenetzwerk, um Spyware auf die Geräte von Journalisten zu bringen und sie zu infizieren, ohne dass das Ziel jemals etwas anklicken musste. AdFection Zero-Click-Spyware-Malvertising ist eine Erinnerung daran, dass die Anzeigen, die beim alltäglichen Surfen und in Apps still im Hintergrund geladen werden, zu einem Angriffsweg werden können.

Das uns zur Verfügung stehende Quellmaterial ist knapp, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und konzentriert sich auf die praktischen Fragen, die Leser wahrscheinlich stellen werden.

Wie AdFection Spyware über ein Werbenetzwerk verbreitete

Der Kern der Kampagne, wie von der EFF beschrieben, ist die Zustellmethode. Statt einem Ziel einen verdächtigen Link oder Anhang zu schicken, nutzten die Angreifer ein Werbenetzwerk, um Spyware auf die Geräte von Journalisten zu schleusen. Das Ziel musste nichts antippen, öffnen oder genehmigen.

Das bedeutet „Zero-Click": Die Kompromittierung erfolgt ohne Interaktion des Nutzers. Malvertising, also der Missbrauch von Werbesystemen zur Verbreitung schädlicher Inhalte, ist als Konzept nicht neu. Was hier hervorsticht, ist die Kombination aus einem vertrauenswürdigen, alltäglichen Verbreitungskanal ohne erforderliche Handlung des Opfers, ausgerichtet auf eine Gruppe, die bereits stark ins Visier genommen wird.

Die EFF beschreibt diese Art von Angriff auf Journalisten als gefährlich, und die Begründung ist einleuchtend. Journalisten gehen mit vertraulichen Quellen und sensibler Kommunikation um, und ein kompromittiertes Telefon kann all das offenlegen.

Warum Zero-Click-Malvertising über Journalisten hinaus von Bedeutung ist

AdFection wurde als eine auf Journalisten abzielende Kampagne gemeldet, aber der Mechanismus ist nicht auf sie beschränkt. Werbenetzwerke erreichen über Websites und Apps enorme Zahlen von Menschen. Jeder Verbreitungsweg, der auf dieser Infrastruktur beruht, wirft eine größere Frage darüber auf, wie stark gewöhnliche Nutzer Inhalten ausgesetzt sind, die sie nie geladen haben.

Diese Bedrohungsklasse wird auch tendenziell zusammen mit anderen Zero-Click-Spyware-Fällen diskutiert. Für ein aktuelles Beispiel siehe unseren Bericht darüber, wie Al Jazeera berichtet, dass mit Candiru in Verbindung gebrachte Spyware 45 Geräte von Mitarbeitern traf, bei dem Berichten zufolge Daten von Geräten von Journalisten und Mitarbeitern ohne jegliche Handlung der Nutzer abgezogen wurden.

Die meisten Leser werden wahrscheinlich nicht das beabsichtigte Ziel einer solchen Kampagne sein. Dennoch sind die Abwehrmaßnahmen, die das Risiko für Hochrisikonutzer verringern, oft kostenlos, in das Gerät integriert und es wert, breit übernommen zu werden.

Was ein VPN schützt und wovor nicht

Es ist verlockend anzunehmen, dass ein VPN ein Problem wie dieses löst. Es ist treffender, genau zu benennen, was ein VPN tut.

Ein VPN verschlüsselt Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den von Ihnen besuchten Websites. Das hilft bei der Privatsphäre in nicht vertrauenswürdigen Netzwerken und bei der Einschränkung einiger Formen der Verfolgung per IP.

Was ein VPN für sich genommen nicht tut, ist, schädliche Inhalte zu stoppen, die über die Verbindung übermittelt werden, sobald sie Ihr Gerät erreichen. Wenn Spyware über eine Anzeige ankommt, die Ihr Browser oder Ihre App lädt, transportiert der VPN-Tunnel diesen Inhalt einfach wie jeden anderen Datenverkehr. Ein Standard-VPN schließt keine Softwarelücken und macht Ihr Gerät nicht immun gegen Ausnutzung.

Einige VPN-Produkte enthalten optionale Funktionen zur Werbe- oder Domainblockierung. Diese können die Exposition gegenüber Werbeinhalten verringern, sind aber eine Filterungsebene und keine Garantie, und ihre Qualität variiert. Betrachten Sie ein VPN als eines von mehreren Datenschutzwerkzeugen, nicht als Verteidigung gegen Spyware.

Praktische Abwehrmaßnahmen: Updates, Werbeblocker und Lockdown Mode

Bei Zero-Click-Bedrohungen zählen einige Maßnahmen am meisten.

  • Installieren Sie Updates umgehend. Zero-Click-Angriffe hängen typischerweise von Software-Schwachstellen ab. Updates für Betriebssystem und Browser sind der direkteste Weg, diese zu schließen.
  • Verwenden Sie einen Werbeblocker. Wenn der Verbreitungsweg ein Werbenetzwerk ist, entfernt das Blockieren von Werbung einen Teil dieser Exposition. Verwenden Sie einen seriösen Blocker, im Browser und, wo möglich, auf Geräte- oder Netzwerkebene.
  • Aktivieren Sie den Lockdown Mode, wenn Sie einem höheren Risiko ausgesetzt sind. Auf unterstützten Apple-Geräten ist der Lockdown Mode eine optionale Einstellung, die die Angriffsfläche für Personen verringert, die von ausgeklügelter Spyware ins Visier genommen werden könnten. Er schränkt einige Funktionen ein – das ist der Kompromiss.
  • Reduzieren Sie, was auf Ihrem Gerät läuft. Entfernen Sie Apps, die Sie nicht nutzen, da jede ihre eigenen Werbekomponenten mitbringen kann.

Was das für Sie bedeutet

Wenn Sie Journalist, Aktivist oder jemand anderes sind, der ins Visier genommen werden könnte, betrachten Sie AdFection als Anlass, Ihre Geräte jetzt zu härten und nicht erst nach einem Vorfall. Wenn Sie ein alltäglicher Nutzer sind, ist das Risiko, gezielt ausgewählt zu werden, geringer, aber dieselben Gewohnheiten kosten wenig und schützen auch vor vielen anderen Bedrohungen.

Bleiben Sie realistisch. Ein VPN ist nützlich für das, wofür es entwickelt wurde, aber es wird werbevermittelte Spyware nicht aus eigener Kraft stoppen. Updates, Werbeblockierung und der Lockdown Mode, wo angebracht, sind die Schritte mit dem klarsten Bezug zu dieser Art von Angriff.

Wichtigste Erkenntnisse

AdFection Zero-Click-Spyware-Malvertising zeigt, dass eine Kampagne ein Ziel über gewöhnliche Werbeinfrastruktur erreichen kann, ohne dass ein Klick erforderlich ist. Heute können Sie:

  1. Ausstehende Updates für Betriebssystem, Browser und Apps anwenden.
  2. Einen seriösen Werbeblocker einschalten.
  3. Den Lockdown Mode aktivieren, wenn Sie einem höheren Risiko ausgesetzt sind.
  4. Über die mit Candiru in Verbindung gebrachte Spyware, die Berichten zufolge auf Al-Jazeera-Geräten gefunden wurde, lesen, um ein weiteres aktuelles Beispiel derselben Klasse von Zero-Click-Bedrohung zu sehen.

Keiner dieser Schritte ist kompliziert, und zusammen erhöhen sie die Hürde für Angreifer erheblich.