La semaine dernière, des chercheurs de Citizen Lab ont révélé une nouvelle campagne de logiciels malveillants qu'ils ont baptisée « AdFection ». Selon l'article de l'Electronic Frontier Foundation sur ces conclusions, la campagne a utilisé un réseau publicitaire pour diffuser un logiciel espion sur les appareils de journalistes, les infectant sans que la cible n'ait jamais besoin de cliquer sur quoi que ce soit. Le malvertising avec logiciel espion zéro-clic AdFection rappelle que les publicités qui se chargent discrètement en arrière-plan lors de la navigation et dans les applications du quotidien peuvent devenir une voie d'attaque.
Les sources dont nous disposons sont brèves, c'est pourquoi cet article s'en tient à ce qui a été rapporté et se concentre sur les questions pratiques que les lecteurs sont susceptibles de se poser.
Comment AdFection a diffusé un logiciel espion via un réseau publicitaire
Le cœur de la campagne, tel que décrit par l'EFF, réside dans la méthode de diffusion. Au lieu d'envoyer à une cible un lien ou une pièce jointe suspecte, les attaquants ont utilisé un réseau publicitaire pour pousser un logiciel espion vers les appareils de journalistes. La cible n'a eu ni à toucher, ni à ouvrir, ni à approuver quoi que ce soit.
C'est ce que signifie « zéro-clic » : la compromission se produit sans interaction de l'utilisateur. Le malvertising, c'est-à-dire l'exploitation des systèmes publicitaires pour diffuser du contenu malveillant, n'est pas un concept nouveau. Ce qui est remarquable ici, c'est la combinaison d'un canal de diffusion familier et de confiance avec l'absence de toute action requise de la victime, le tout ciblant un groupe déjà fortement pris pour cible.
L'EFF qualifie ce type d'attaque contre les journalistes de dangereux, et le raisonnement est simple. Les journalistes traitent des sources confidentielles et des communications sensibles, et un téléphone compromis peut exposer tout cela.
Pourquoi le malvertising zéro-clic importe au-delà des journalistes
AdFection a été rapportée comme une campagne visant les journalistes, mais le mécanisme ne leur est pas exclusif. Les réseaux publicitaires touchent un nombre considérable de personnes via les sites web et les applications. Toute voie de diffusion qui repose sur cette infrastructure soulève une question plus large sur l'exposition des utilisateurs ordinaires à des contenus qu'ils n'ont jamais choisi de charger.
Cette classe de menaces est aussi généralement abordée aux côtés d'autres affaires de logiciels espions zéro-clic. Pour un exemple récent, voir notre rapport sur la manière dont Al Jazeera affirme qu'un logiciel espion lié à Candiru a touché 45 appareils du personnel, où des données auraient été extraites des appareils de journalistes et de membres du personnel sans aucune action de leur part.
La plupart des lecteurs ne seront probablement pas la cible visée par une campagne de ce type. Néanmoins, les défenses qui réduisent les risques pour les utilisateurs à haut risque sont souvent gratuites, intégrées à l'appareil et méritent d'être largement adoptées.
Ce qu'un VPN protège et ne protège pas
Il est tentant de supposer qu'un VPN résout un problème comme celui-ci. Il est plus juste d'être précis sur ce que fait un VPN.
Un VPN chiffre votre trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. Cela aide à préserver la confidentialité sur les réseaux non fiables et à limiter certaines formes de traçage par IP.
Ce qu'un VPN ne fait pas, en soi, c'est empêcher le contenu malveillant diffusé via la connexion d'atteindre votre appareil. Si un logiciel espion arrive par une publicité que votre navigateur ou votre application charge, le tunnel VPN transporte simplement ce contenu comme n'importe quel autre trafic. Un VPN standard ne corrige pas les failles logicielles et ne rend pas votre appareil immunisé contre l'exploitation.
Certains produits VPN incluent des fonctionnalités optionnelles de blocage des publicités ou des domaines. Celles-ci peuvent réduire l'exposition au contenu publicitaire, mais elles constituent une couche de filtrage plutôt qu'une garantie, et leur qualité varie. Considérez un VPN comme un outil de confidentialité parmi d'autres, et non comme une défense contre les logiciels espions.
Défenses pratiques : mises à jour, bloqueurs de publicités et mode Isolement
Pour les menaces zéro-clic, quelques mesures comptent le plus.
- Installez les mises à jour rapidement. Les attaques zéro-clic dépendent généralement de vulnérabilités logicielles. Les mises à jour du système d'exploitation et du navigateur sont le moyen le plus direct de les combler.
- Utilisez un bloqueur de publicités. Si la voie de diffusion est un réseau publicitaire, bloquer les publicités élimine une partie de cette exposition. Utilisez un bloqueur réputé, sur le navigateur et, si possible, au niveau de l'appareil ou du réseau.
- Activez le mode Isolement si vous êtes à risque élevé. Sur les appareils Apple compatibles, le mode Isolement est un paramètre optionnel qui réduit la surface d'attaque pour les personnes susceptibles d'être ciblées par des logiciels espions sophistiqués. Il limite certaines fonctionnalités, c'est le compromis.
- Réduisez ce qui s'exécute sur votre appareil. Supprimez les applications que vous n'utilisez pas, car chacune peut embarquer ses propres composants publicitaires.
Ce que cela signifie pour vous
Si vous êtes journaliste, activiste ou une autre personne susceptible d'être ciblée, considérez AdFection comme une invitation à renforcer vos appareils dès maintenant plutôt qu'après un incident. Si vous êtes un utilisateur ordinaire, le risque d'être spécifiquement visé est plus faible, mais les mêmes habitudes coûtent peu et protègent aussi contre de nombreuses autres menaces.
Gardez des attentes réalistes. Un VPN est utile pour ce à quoi il est destiné, mais il n'arrêtera pas à lui seul un logiciel espion diffusé par la publicité. Les mises à jour, le blocage des publicités et le mode Isolement lorsque c'est approprié sont les mesures les plus directement liées à ce type d'attaque.
À retenir
Le malvertising avec logiciel espion zéro-clic AdFection montre qu'une campagne peut atteindre une cible via une infrastructure publicitaire ordinaire sans qu'aucun clic ne soit nécessaire. Aujourd'hui, vous pouvez :
- Appliquer les mises à jour en attente du système d'exploitation, du navigateur et des applications.
- Activer un bloqueur de publicités réputé.
- Activer le mode Isolement si vous êtes à risque élevé.
- Lire notre article sur le logiciel espion lié à Candiru prétendument trouvé sur des appareils d'Al Jazeera pour voir un autre exemple récent de la même classe de menace zéro-clic.
Aucune de ces étapes n'est compliquée, et ensemble, elles relèvent sensiblement la barre pour les attaquants.
