Forscher haben einen Fall von Zero-Click-Werbespyware dokumentiert, mit dem Journalisten 2024 konfrontiert waren, und das verändert unsere Sicht auf die Risiken des alltäglichen Surfens. Al Jazeera und Citizen Lab haben beide Ergebnisse zu einer Kampagne veröffentlicht, die sie „AdFection“ nennen und bei der Söldnerspyware über Online-Werbung verbreitet wurde. Kein Tippen, kein Download und kein verdächtiger Link war nötig.

Die Frage, wer letztlich die Journalisten ins Visier genommen hat, bleibt unbeantwortet. Was die Forscher nach eigenen Angaben wissen, ist, wer die Angriffe ermöglicht hat: zwei israelische Unternehmen, von denen eines seit etwa fünf Jahren auf der US-Blacklist steht.

Wie AdFection Zero-Click-Werbespyware an Journalisten lieferte

Ein Zero-Click-Angriff ist ein Angriff, der keine Aktion des Opfers erfordert. Traditionelles Phishing hängt davon ab, dass Sie einen Anhang öffnen oder auf einen Link tippen. Hier war der Zustellkanal das Werbeökosystem selbst. Anzeigen werden automatisch geladen, sobald eine Seite lädt, sodass eine bösartige Anzeige ein Gerät allein dadurch erreichen kann, dass jemand eine Website besucht hat.

Das ist es, was die Technik so beunruhigend macht. Das Werbenetzwerk, über das die meisten Leser nie nachdenken, wird zur Straße, auf der die Spyware reist. Targeting-Werbung ist darauf ausgelegt, bestimmte Zielgruppen herauszupicken, und dieselbe Präzision, die es einer Marke ermöglicht, ein bestimmtes Bevölkerungssegment zu erreichen, kann theoretisch auch einem Angreifer ermöglichen, eine bestimmte Person zu erreichen.

Die öffentliche Berichterstattung über die Forschung nennt ein Werbeunternehmen namens Discover-Tech und beschreibt, dass Spyware-Hersteller es nutzen, um Geräte zu erreichen. Diese Details stammen aus Sekundärberichterstattung über den Citizen-Lab-Bericht, daher sollten Sie die primären Ergebnisse für die exakte technische Beschreibung prüfen, bevor Sie sich darauf verlassen.

Was Citizen Lab und Al Jazeera herausfanden

Beide Organisationen veröffentlichten eigene Ergebnisse. Die Journalisten von Al Jazeera gehörten zu den Betroffenen, und Citizen Lab, die Forschungsgruppe der University of Toronto, die für die Untersuchung kommerzieller Spyware bekannt ist, analysierte die Kampagne und gab ihr den Namen AdFection. Unsere frühere Berichterstattung über den Befund von Citizen Lab, dass Zero-Click-Anzeigen die Geräte von Journalisten infizieren geht den Bericht ausführlicher durch.

Zwei Punkte stechen aus der Berichterstattung hervor:

  • Die Attribution ist unvollständig. Die Forscher identifizierten die Ermöglicher, aber nicht den Auftraggeber, der die Ziele auswählte. Das ist typisch für den Markt für Söldnerspyware, wo das Unternehmen, das die Werkzeuge baut, und die Partei, die sie nutzt, oft unterschiedlich sind.
  • Ein Unternehmen auf der Blacklist war beteiligt. Eines der beiden israelischen Unternehmen steht seit etwa einem halben Jahrzehnt auf einer US-Blacklist. Das wirft schwierige Fragen dazu auf, wie ein solches Unternehmen mit kommerzieller Infrastruktur und der weiteren Werbelieferkette verbunden bleibt.

Die Sekundärberichterstattung hat den Fall auch als den ersten öffentlich bestätigten Fall von Zero-Click-Söldnerspyware beschrieben, die über gezielte Anzeigen verbreitet wurde. Behandeln Sie diese Einordnung als die Charakterisierung von Citizen Labs Arbeit, wie sie von anderen berichtet wird, und konsultieren Sie den Originalbericht für seine genauen Aussagen.

Warum Journalisten und Aktivisten ins Visier genommen werden

Söldnerspyware wird als Überwachungswerkzeug verkauft, und Journalisten sind ein wiederkehrendes Ziel, weil sie besitzen, was andere wollen: Quellen, unveröffentlichtes Material und private Kommunikation. Ein kompromittiertes Telefon kann Kontakte, Nachrichten, Standort und Mikrofonzugriff offenlegen. Für einen Reporter, der an sensiblen Geschichten arbeitet, kann eine einzige Infektion Quellen gefährden, nicht nur den Reporter.

Der Fall AdFection zeigt auch, warum die Bedrohung nicht strikt auf Journalisten beschränkt ist. Die Zustellmethode beruht auf Infrastruktur, die jeder nutzt. Selbst wenn eine bestimmte Person als Ziel ausgewählt wurde, bedient dasselbe Anzeigensystem die allgemeine Öffentlichkeit. Die meisten Leser dürften kaum ein vorrangiges Ziel für diese Art von Werkzeugen sein, aber der Fall zeigt, dass der Mechanismus existiert.

Was das für Sie bedeutet

Für die meisten Menschen ist das praktische Risiko, von Söldnerspyware gezielt ausgewählt zu werden, gering. Dennoch sind die Ergebnisse eine Erinnerung daran, dass nichts anzuklicken nicht bedeutet, dass Sie sicher sind, und dass gewöhnliche Webanzeigen eine Angriffsfläche sein können. Wenn Sie Journalist, Aktivist, Anwalt oder jemand sind, der mit sensiblen Informationen umgeht, nehmen Sie dies ernster.

Es lohnt sich auch, ehrlich über VPNs zu sein. Ein VPN verschlüsselt Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den Websites, die Sie besuchen. Es verhindert nicht, dass eine bösartige Anzeige in Ihrem Browser geladen wird, und es schließt keine Schwachstelle auf Ihrem Telefon. Ein VPN allein schützt nicht gegen diese Art von Angriff. Es bleibt für andere Datenschutzziele nützlich, ist hier aber keine Verteidigung.

Was Leser tun können

Kein einzelner Schritt beseitigt das Risiko, aber mehrschichtige Maßnahmen reduzieren es erheblich:

  • Aktualisieren Sie Ihr Betriebssystem und Ihren Browser zeitnah. Spyware wie diese hängt typischerweise von Softwarefehlern ab, und Updates schließen diese.
  • Aktivieren Sie den Lockdown-Modus, wenn Sie einem höheren Risiko ausgesetzt sind. Apples Lockdown-Modus ist darauf ausgelegt, die Angriffsfläche für Menschen zu verkleinern, die Zielscheibe sein könnten. Android-Nutzer können nach vergleichbaren erweiterten Schutz-Einstellungen suchen.
  • Verwenden Sie einen Werbeblocker. Wenn der Zustellkanal eine Anzeige ist, entfernt das Blockieren von Anzeigen auf Browser- oder DNS-Ebene einen Großteil der Exposition.
  • Starten Sie Ihr Gerät regelmäßig neu. Manche Infektionen überstehen einen Neustart nicht, was Angreifer zwingen kann, von vorn zu beginnen.
  • Reduzieren Sie, was im Browser läuft. Weniger Erweiterungen und ein minimaler Satz an Apps verringern die Anzahl der Stellen, an denen ein Angreifer ausnutzen kann.
  • Suchen Sie fachkundige Hilfe, wenn Sie eine Infektion vermuten. Organisationen, die gefährdete Gruppen unterstützen, können bei forensischen Prüfungen helfen.

Wichtige Erkenntnisse

Der Fall AdFection zeigt, dass Zero-Click-Werbespyware, mit der Journalisten 2024 konfrontiert waren, über dasselbe Anzeigensystem verbreitet wurde, das alle anderen bedient. Der Angreifer ist weiterhin nicht identifiziert, aber zwei israelische Unternehmen wurden mit der Ermöglichung in Verbindung gebracht. Halten Sie Ihre Geräte aktuell, erwägen Sie den Lockdown-Modus, wenn Sie einem erhöhten Risiko ausgesetzt sind, und blockieren Sie Anzeigen, wo Sie können. Für die vollständigen Details lesen Sie unsere Zusammenfassung von Citizen Labs Bericht über Zero-Click-Anzeigen und Journalisten und folgen Sie dann den primären Ergebnissen von Citizen Lab und Al Jazeera. Und denken Sie daran, dass ein VPN zwar nützlich ist, aber kein Schutzschild gegen diese Art von Angriff.