La semana pasada, investigadores de Citizen Lab revelaron una nueva campaña de malware a la que llamaron "AdFection". Según el artículo de la Electronic Frontier Foundation sobre los hallazgos, la campaña utilizó una red publicitaria para entregar spyware a los dispositivos de periodistas, infectándolos sin que el objetivo tuviera que hacer clic en nada. El spyware zero-click de AdFection mediante malvertising es un recordatorio de que los anuncios que se cargan silenciosamente en segundo plano durante la navegación y el uso cotidiano de aplicaciones pueden convertirse en una vía de ataque.
El material de origen disponible para nosotros es breve, por lo que esta publicación se limita a lo que se ha informado y se centra en las preguntas prácticas que los lectores probablemente harán.
Cómo AdFection entregó spyware a través de una red publicitaria
El núcleo de la campaña, según lo descrito por la EFF, es el método de entrega. En lugar de enviar al objetivo un enlace sospechoso o un archivo adjunto, los atacantes utilizaron una red publicitaria para enviar spyware a los dispositivos de los periodistas. El objetivo no tuvo que tocar, abrir ni aprobar nada.
Eso es lo que significa "zero-click": el compromiso ocurre sin interacción del usuario. El malvertising, es decir, el abuso de los sistemas publicitarios para entregar contenido malicioso, no es nuevo como concepto. Lo que destaca aquí es la combinación de un canal de entrega confiable y cotidiano con la ausencia de cualquier acción requerida por parte de la víctima, dirigido a un grupo que ya es objeto de ataques intensivos.
La EFF describe este tipo de ataque contra periodistas como peligroso, y el razonamiento es sencillo. Los periodistas manejan fuentes confidenciales y comunicaciones sensibles, y un teléfono comprometido puede exponer todo ello.
Por qué el malvertising zero-click importa más allá de los periodistas
AdFection se reportó como una campaña dirigida a periodistas, pero el mecanismo no es exclusivo de ellos. Las redes publicitarias llegan a un número enorme de personas a través de sitios web y aplicaciones. Cualquier vía de entrega que dependa de esa infraestructura plantea una pregunta más amplia sobre cuánta exposición tienen los usuarios comunes a contenido que nunca eligieron cargar.
Esta clase de amenaza también suele discutirse junto con otros casos de spyware zero-click. Para un ejemplo reciente, véase nuestro informe sobre cómo Al Jazeera afirma que el spyware vinculado a Candiru afectó a 45 dispositivos del personal, donde supuestamente se extrajeron datos de dispositivos de periodistas y personal sin ninguna acción por parte de los usuarios.
Es poco probable que la mayoría de los lectores sean el objetivo previsto de una campaña como esta. Aun así, las defensas que reducen el riesgo para usuarios de alto riesgo suelen ser gratuitas, estar integradas en el dispositivo y valer la pena adoptarlas de forma generalizada.
Qué protege y qué no protege una VPN
Es tentador suponer que una VPN resuelve un problema como este. Es más preciso ser específico sobre lo que hace una VPN.
Una VPN cifra tu tráfico entre tu dispositivo y el servidor VPN y oculta tu dirección IP de los sitios que visitas. Eso ayuda con la privacidad en redes no confiables y con limitar algunas formas de rastreo por IP.
Lo que una VPN no hace, por sí sola, es detener el contenido malicioso que se entrega a través de la conexión una vez que llega a tu dispositivo. Si el spyware llega mediante un anuncio que tu navegador o aplicación carga, el túnel VPN simplemente transporta ese contenido como cualquier otro tráfico. Una VPN estándar no corrige fallos de software ni hace que tu dispositivo sea inmune a la explotación.
Algunos productos VPN incluyen funciones opcionales de bloqueo de anuncios o de dominios. Estas pueden reducir la exposición al contenido publicitario, pero son una capa de filtrado y no una garantía, y su calidad varía. Considera una VPN como una herramienta de privacidad entre varias, no como una defensa contra el spyware.
Defensas prácticas: actualizaciones, bloqueadores de anuncios y Modo de bloqueo
Para las amenazas zero-click, algunas medidas son las más importantes.
- Instala las actualizaciones con prontitud. Los ataques zero-click suelen depender de vulnerabilidades de software. Las actualizaciones del sistema operativo y del navegador son la forma más directa de cerrarlas.
- Usa un bloqueador de anuncios. Si la vía de entrega es una red publicitaria, bloquear los anuncios elimina una parte de esa exposición. Usa un bloqueador de reputación reconocida, en el navegador y, cuando sea posible, a nivel del dispositivo o de la red.
- Activa el Modo de bloqueo si tienes mayor riesgo. En dispositivos Apple compatibles, el Modo de bloqueo es un ajuste opcional que reduce la superficie de ataque para las personas que pueden ser objetivo de spyware sofisticado. Limita algunas funciones, esa es la contrapartida.
- Reduce lo que se ejecuta en tu dispositivo. Elimina las aplicaciones que no uses, ya que cada una puede incluir sus propios componentes publicitarios.
Qué significa esto para ti
Si eres periodista, activista o alguien que puede ser objetivo, considera AdFection como un motivo para reforzar tus dispositivos ahora y no después de un incidente. Si eres un usuario común, el riesgo de ser señalado es menor, pero los mismos hábitos cuestan poco y también protegen contra muchas otras amenazas.
Mantén expectativas realistas. Una VPN es útil para lo que está diseñada, pero no detendrá por sí sola el spyware entregado mediante anuncios. Las actualizaciones, el bloqueo de anuncios y el Modo de bloqueo cuando corresponda son los pasos con la conexión más clara con este tipo de ataque.
Conclusiones clave
El spyware zero-click de AdFection mediante malvertising demuestra que una campaña puede llegar a un objetivo a través de infraestructura publicitaria ordinaria sin requerir ningún clic. Hoy puedes:
- Aplicar las actualizaciones pendientes del sistema operativo, del navegador y de las aplicaciones.
- Activar un bloqueador de anuncios de reputación reconocida.
- Activar el Modo de bloqueo si tienes mayor riesgo.
- Leer sobre el spyware vinculado a Candiru supuestamente encontrado en dispositivos de Al Jazeera para ver otro ejemplo reciente de la misma clase de amenaza zero-click.
Ninguno de estos pasos es complicado, y juntos elevan de forma significativa el listón para los atacantes.
