Poznata sigurnosna savjet — ne klikajte sumnjive poveznice — počinje izgledati nedostatnom. Novi krug izvještavanja navodi da špijunski softver zarazuje uređaje novinara putem oglasa koje nikada nisu kliknuli. Isti pregled vijesti također je istaknuo iskorišteni zero-day u Palo Alto vatrozidima, kritičnu ranjivost u Drupalu i kaznene prijave protiv OpenAI inženjera optuženog za prisluškivanje izvršne sobe. Prva stavka najvažnija je za svakoga tko radi s osjetljivim izvorima, jer špijunski softver bez klika dostavljen putem zlonamjernih oglasa s kojima se novinari susreću tijekom pregledavanja mijenja to kako izgleda osobna obrana.

Kako špijunski softver putem oglasa bez klika stiže do novinara

Ključna riječ je "bez klika". Tradicionalni phishing zahtijeva da osoba otvori datoteku ili dodirne poveznicu. Napad bez klika ne zahtijeva nikakvu radnju mete. Ovdje je kanal dostave online oglašavanje: oglas se prikazuje ciljanoj osobi i taj je oglas dovoljan da započne kompromitaciju.

Prema izvještavanju o istraživanju The Citizen Laba, jedinice za istraživanje digitalnih prava na Sveučilištu u Torontu, ovo je prvi put da su javno objavljeni tehnički dokazi koji pokazuju sofisticirani plaćenički špijunski softver distribuiran putem ciljanih oglasa. Neka izvješća također opisuju izraelsku agenciju za oglašavanje koja je postavljala oglase koji su osobe koje su ih vidjele ostavljali izloženima napadima špijunskog softvera. Imamo samo detalje na razini sažetka o tehničkoj mehanici, stoga pojedinosti tretirajte s oprezom dok se ne pročita cjelokupno istraživanje.

Širi obrazac je, međutim, jasan. Oglašivačke mreže izgrađene su tako da izdvajaju određene publike i dostavljaju im sadržaj bez njihova sudjelovanja. Ta je ista preciznost privlačna dobavljačima nadzornih alata koji žele dosegnuti određenu osobu, poput reportera, a da ta osoba ne učini ništa loše. Raniji slučaj uključivao je desetke uređaja u jednoj medijskoj organizaciji: naš izvještaj o Citizen Labovim nalazima o uređajima Al Jazeere hakiranima putem zlonamjernih oglasa pokriva kako je ista kategorija napada tamo dokumentirana.

Zašto sam VPN ne zaustavlja ovaj napad

Ovo je stranica o privatnosti, pa vrijedi izravno odgovoriti na pitanje o VPN-u. VPN šifrira promet između vašeg uređaja i VPN poslužitelja te skriva vašu IP adresu od stranica koje posjećujete. To su stvarne prednosti, ali one rješavaju drugi problem.

Zlonamjerni oglas dostavlja se preko uobičajenog weba, a sadržaj i dalje stiže do vašeg preglednika ili aplikacije bez obzira na to je li vaša veza tunelirana. Ako temeljni uređaj ima nezakrpljenu slabost koju sadržaj oglasa može iskoristiti, VPN to ne mijenja. Neki VPN proizvodi uključuju blokiranje oglasa ili trackera na razini DNS-a, što može smanjiti izloženost, ali to je zasebna značajka, a ne jamstvo. VPN je jedan sloj i ne smije se zamijeniti sa zaštitom od špijunskog softvera dostavljenog kroz sadržaj koji učitavate.

Zaštite koje smanjuju izloženost: ažuriranja, blokatori oglasa i zaključani načini rada

Nijedan pojedinačni korak ne čini osobu imunom na dobro financiranog napadača, ali nekoliko mjera sužava otvor.

  • Instalirajte ažuriranja odmah. Špijunski softver ove vrste ovisi o softverskim manama. Ažuriranja operacijskog sustava i preglednika zatvaraju te mane, pa njihovo odgađanje dulje drži vrata otvorena.
  • Koristite blokator oglasa. Ako je put zaraze oglas, tada neučitavanje oglasa uklanja put dostave. Blokatori u pregledniku i filtriranje na razini mreže obje su opcije.
  • Uključite ojačane načine rada. Velike mobilne platforme nude postavke visoke sigurnosti namijenjene osobama s povišenim rizikom od ciljanih napada. One mijenjaju dio praktičnosti za manju napadnu površinu, što je razumna razmjena za novinare, aktiviste i slične korisnike.
  • Smanjite što radi u pozadini. Uklonite aplikacije koje ne koristite, ograničite aplikacije s puno oglasa i držite preglednike i aplikacije ažurnima uz operacijski sustav.
  • Ponovno pokrenite i nadzirite. Redovita ponovna pokretanja i pažnja na neuobičajeno pražnjenje baterije, zagrijavanje ili rušenja nisu dokaz ničega, ali su jeftine navike. Redakcije s IT ili sigurnosnim osobljem trebale bi ih zamoliti da pregledaju uređaje osoblja koje pokriva osjetljive teme.

Organizacije također imaju ulogu. Medijska kuća može postaviti osnovnu politiku koja zahtijeva ažuriranja, obvezne ojačane načine rada za visokorizične reportere i odobreno blokiranje oglasa na radnim uređajima, umjesto da svakog reportera prepusti da to sam riješi.

Palo Alto zero-day: podsjetnik za zakrpu rubnih uređaja

Isti pregled zabilježio je da se iskorištava zero-day u Palo Alto vatrozidima. Nemamo pojedinosti iz sažetka osim toga, stoga provjerite vlastite savjete dobavljača za zahvaćene verzije i ispravke. Pouka se preklapa s pričom o špijunskom softveru: napadači idu na softver za koji ljudi pretpostavljaju da ih štiti. Vatrozidi i drugi rubni uređaji stoje između mreže i interneta, što ih čini vrijednim metama, a iskorišteni zero-day znači da se napadi odvijaju prije ili tijekom dostupnosti ispravka.

Ako upravljate takvom opremom, smatrajte smjernice dobavljača hitnima, ograničite upravljačka sučelja od javne izloženosti gdje je to moguće i pregledajte zapise za neuobičajenu aktivnost. Pregled je također spomenuo kritičnu ranjivost u Drupalu, koju bi vlasnici stranica koji pokreću tu platformu trebali provjeriti prema službenim sigurnosnim obavijestima.

Što to znači za vas

Ako ste novinar, istraživač, aktivist ili bilo tko koga bi mogla zanimati vlada ili izvođač nadzornih usluga, "ne klikćem na čudne poveznice" više nije dovoljno. Rizik može stići kroz obično pregledavanje. Za većinu drugih čitatelja praktični je rizik niži, ali koraci koji pomažu visokorizičnim korisnicima koriste i svima: ažuriranja, blokiranje oglasa i razuman pristup tome koje aplikacije zadržavate.

Optužba za prisluškivanje u OpenAI-u zasebna je priča, ali uklapa se u temu: nadzorne prijetnje kreću se od udaljenog softvera do fizičkih uređaja, a osjetljivi razgovori zaslužuju pažnju u obama svjetovima.

Ključni zaključci

  • Špijunski softver bez klika putem zlonamjernih oglasa koje novinari mogu vidjeti može kompromitirati uređaj bez ikakvog klika, pa sam oprez s poveznicama nije obrana.
  • VPN štiti vašu vezu, ali ne vaš uređaj od zlonamjernog sadržaja, stoga se ne oslanjajte na njega za ovu prijetnju.
  • Primijenite ažuriranja operacijskog sustava i preglednika čim postanu dostupna.
  • Uključite zaključane ili ojačane načine rada na telefonu i koristite blokiranje oglasa.
  • Brzo zakrpajte rubne uređaje poput Palo Alto vatrozida i slijedite savjete dobavljača.

Za dokumentirani primjer kompromitacije putem zlonamjernog oglasa pročitajte naše izvještavanje o Citizen Labovoj istrazi Al Jazeere, a zatim danas provedite deset minuta ažurirajući svoje uređaje i uključujući najjače zaštite koje nude.