Ein neuer Citizen-Lab-Bericht, über den The Globe and Mail berichtet, beschreibt möglicherweise eine der beunruhigendsten Nutzungen der Werbewirtschaft bisher: Zero-Click-Ad-Spyware, mit der Journalisten nie interagieren mussten. Dem Bericht zufolge inszenierten israelische Unternehmen einen „über gezielte Werbung übermittelten Angriff“, um die Geräte von Journalisten mit Spyware zu infizieren. Dieselbe Maschinerie, die gebaut wurde, um Ihnen Schuhe und Streaming-Dienste anzuzeigen, kann demnach zweckentfremdet werden, um das Telefon einer bestimmten Person zu erreichen.

Die Zusammenfassung, die uns vorliegt, ist kurz, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und erklärt die breiteren Konzepte dazu. Wo Details nicht verfügbar sind, sagen wir das.

Was Citizen Lab bei den über Werbung übermittelten Angriffen feststellte

Citizen Lab, die Forschungsgruppe, die für die Untersuchung digitaler Bedrohungen gegen die Zivilgesellschaft bekannt ist, kam zu dem Schluss, dass israelische Unternehmen einen über gezielte Werbung übermittelten Angriff durchführten. Die Ziele waren Journalisten, und das Ergebnis war Spyware auf ihren Geräten. Der Bericht bezeichnet die Methode als Zero-Click, was bedeutet, dass das Opfer nichts antippen, herunterladen oder genehmigen musste.

Die uns vorliegende Berichterstattung führt nicht jedes technische Detail aus, etwa welche Geräte, welche Werbenetzwerke oder wie viele Personen betroffen waren, daher werden wir nicht darüber spekulieren. Die wichtigste Erkenntnis ist der Übermittlungskanal: Werbung, nicht eine bösartige E-Mail oder eine verdächtige Textnachricht.

Wie Zero-Click-Ad-Spyware auf die Geräte von Journalisten gelangt

Ein Zero-Click-Angriff funktioniert, ohne dass das Opfer etwas tut. Statt jemanden dazu zu bringen, einen schädlichen Link zu öffnen, verlässt sich der Angreifer darauf, dass Software Inhalte automatisch verarbeitet. Wenn eine Seite oder App eine Anzeige lädt, ruft das Gerät diesen Inhalt selbst ab und rendert ihn. Wenn ein Angreifer schädlichen Inhalt in diesen Ablauf einschleusen kann und das Gerät eine ungepatchte Schwachstelle hat, kann die Infektion beim Laden des Inhalts erfolgen.

Das ist eine allgemeine Erklärung, wie werbebasierte Angriffe funktionieren können, keine Beschreibung des konkreten Exploits im Citizen-Lab-Bericht. Was für Leser zählt, ist das Prinzip: Alles, was Ihr Gerät automatisch lädt, ist potenziell ein Einstiegspunkt, und dazu gehören auch Inhalte, die Sie nie sehen wollten.

Zero-Click-Techniken sind für die Spyware-Welt nicht neu. Unsere Berichterstattung über einen WeChat-Zero-Click-Wurm beschrieb, wie ein einziger verpasster Anruf ausreichen konnte, um eine weit verbreitete Messaging-App zu kompromittieren. Der werbebasierte Weg fügt eine andere Wendung hinzu: Der Angreifer braucht weder Ihre Telefonnummer noch ein Konto, sondern nur eine Möglichkeit, Inhalte vor Sie zu bringen.

Warum gezielte Werbung Journalisten leicht erreichbar macht

Gezielte Werbung existiert, damit ein Käufer auswählen kann, wer eine Botschaft sieht. Zielgruppen können nach Interessen, Standort, Gerätetyp und anderen Signalen eingegrenzt werden. Diese Präzision ist für legitime Vermarkter ein Feature. Für einen Überwachungsanbieter ist sie eine Möglichkeit, einen Angriff auf eine bestimmte Person oder eine kleine Gruppe zu richten, ohne ihn breit zu streuen, was auch die Entdeckungswahrscheinlichkeit senkt.

Journalisten passen offensichtlich zu dieser Art der Zielausrichtung. Ihre Arbeit, Interessen und Standorte sind oft öffentlich, und ihre Geräte können Quellen und unveröffentlichtes Material enthalten. Der Citizen-Lab-Befund legt nahe, dass die Tracking-Infrastruktur hinter alltäglicher Werbung zugleich als Übermittlungssystem für Spyware dienen kann.

Was das für Sie bedeutet

Die meisten Leser sind nicht das beabsichtigte Ziel einer solchen Spyware-Operation. Gezielte Angriffe dieser Art sind in der Regel teuer und auf bestimmte Personen gerichtet. Doch der Befund ist dennoch für alle relevant, aus zwei Gründen.

Erstens zeigt er, dass Werbeinhalte nicht nur lästig oder ein Datenschutzproblem sind. Sie sind Teil der Angriffsfläche Ihres Geräts. Zweitens schützen die Abwehrmaßnahmen, die gegen einen hochentwickelten Angriff helfen, Sie auch gegen gewöhnliche Bedrohungen: zeitnahe Updates, weniger automatische Inhaltsladungen und strengere Kontrolle darüber, was Ihr Gerät akzeptiert.

Wenn Sie im Journalismus, im Bereich Menschenrechte, in der Politik oder in einem anderen Feld arbeiten, in dem Sie einen gut finanzierten Gegner anziehen könnten, stufen Sie Ihr Risiko höher ein und handeln Sie entsprechend.

Praktische Schritte, um Ihre Exposition zu verringern

Kein einzelner Schritt macht Sie immun gegen Zero-Click-Angriffe, aber diese Maßnahmen verkleinern die Gelegenheit:

  • Aktualisieren Sie Ihr Betriebssystem und Ihre Apps sofort. Zero-Click-Angriffe hängen meist von ungepatchten Schwachstellen ab. Googles Notfall-Fix für einen in freier Wildbahn ausgenutzten Chrome-Zero-Day ist ein gutes Beispiel dafür, warum ein paar Tage Warten eine Rolle spielen können.
  • Halten Sie Ihren Browser aktuell. Browser verarbeiten ständig Werbeinhalte, aktivieren Sie daher automatische Updates und starten Sie neu, wenn Sie dazu aufgefordert werden.
  • Blockieren Sie Werbung und Tracker, wo Sie können. Ein seriöser Content-Blocker oder Schutzfunktionen auf Browserebene reduzieren, wie viele Werbeinhalte Dritter Ihr Gerät lädt. Das ist eine Risikominderung, keine Garantie.
  • Aktivieren Sie den Lockdown-Modus, wenn Sie einem höheren Risiko ausgesetzt sind. Auf unterstützten Apple-Geräten schränkt der Lockdown-Modus Funktionen ein, die Angreifer häufig missbrauchen. Er tauscht etwas Komfort gegen eine kleinere Angriffsfläche.
  • Schränken Sie die Anzeigenpersonalisierung ein. Deaktivieren Sie Werbe-Tracking-IDs in Ihren Geräteeinstellungen und lehnen Sie personalisierte Werbung ab. Das macht es schwerer, Sie herauszugreifen, auch wenn es nicht jede Targeting-Methode stoppt.
  • Starten Sie regelmäßig neu und entfernen Sie Apps, die Sie nicht nutzen. Weniger Apps und regelmäßige Neustarts lassen weniger Raum für persistente Bedrohungen.

Das Fazit

Der Bericht über Zero-Click-Ad-Spyware, mit der Journalisten konfrontiert waren, erinnert daran, dass die Grenze zwischen Werbetechnologie und Überwachungstechnologie dünn sein kann. Sie können nicht kontrollieren, was Werbenetzwerke tun, aber Sie können kontrollieren, wie schnell Ihre Geräte gepatcht werden und wie viele nicht vertrauenswürdige Inhalte sie laden.

Die heutige Handlungsliste ist kurz: Installieren Sie jetzt ausstehende Updates auf Ihrem Telefon und Browser, aktivieren Sie automatische Updates, und wenn Sie einem höheren Risiko ausgesetzt sind, aktivieren Sie den Lockdown-Modus. Diese paar Minuten Aufwand schließen die Lücken, von denen Angriffe wie dieser abhängen.