A múlt héten a Citizen Lab kutatói bemutattak egy új kártevő-kampányt, amelyet „AdFection” névre kereszteltek. Az Electronic Frontier Foundation eredményekről szóló beszámolója szerint a kampány egy hirdetési hálózatot használt arra, hogy kémprogramot juttasson el újságírók eszközeire, és anélkül fertőzte meg őket, hogy a célszemélynek bármit is kellett volna kattintania. AdFection zero-click spyware malvertising is a reminder that the ads loading quietly in the background of everyday browsing and apps can become an attack path.

A rendelkezésünkre álló forrásanyag rövid, ezért ez a bejegyzés a jelentett tényeknél marad, és azokra a gyakorlati kérdésekre összpontosít, amelyeket az olvasók valószínűleg feltennének.

Hogyan juttatta el az AdFection a kémprogramot egy hirdetési hálózaton keresztül

A kampány magja az EFF leírása szerint az eljuttatási módszer. Ahelyett, hogy a célszemélynek gyanús linket vagy mellékletet küldtek volna, a támadók egy hirdetési hálózatot használtak arra, hogy kémprogramot juttassanak el az újságírók eszközeire. A célszemélynek nem kellett semmit megérintenie, megnyitnia vagy jóváhagynia.

Ez az, amit a „zero-click” jelent: a kompromittálódás felhasználói interakció nélkül történik. A malvertising, vagyis a hirdetési rendszerek káros tartalom terjesztésére való visszaélése, mint koncepció nem új. Ami itt kiemelkedik, az egy megbízhatónak tartott, mindennapi eljuttatási csatorna kombinációja azzal, hogy az áldozat részéről semmilyen művelet nem szükséges, és mindezt egy olyan csoport ellen irányítják, amelyet már amúgy is fokozottan céloznak.

Az EFF az újságírók elleni ilyen típusú támadást veszélyesnek írja le, és az indoklás egyértelmű. Az újságírók bizalmas forrásokkal és érzékeny kommunikációval dolgoznak, és egy kompromittált telefon mindezt felfedheti.

Miért számít a zero-click malvertising az újságírókon túl is

Az AdFectionről mint újságírók elleni kampányról számoltak be, de a mechanizmus nem kizárólag rájuk vonatkozik. A hirdetési hálózatok weboldalakon és alkalmazásokon keresztül hatalmas számú embert érnek el. Bármely eljuttatási útvonal, amely erre az infrastruktúrára támaszkodik, szélesebb kérdést vet fel arról, hogy a hétköznapi felhasználók mennyire vannak kitéve olyan tartalmaknak, amelyeket soha nem választottak ki betöltésre.

Ez a fenyegetési osztály más zero-click kémprogram-esetekkel együtt szokott szóba kerülni. Friss példaként lásd jelentésünket arról, hogy az Al Jazeera szerint a Candiruhoz köthető kémprogram 45 munkatárs eszközét érte el, ahol állítólag az újságírók és munkatársak eszközeiről a felhasználók bármilyen művelete nélkül szereztek adatokat.

A legtöbb olvasó valószínűleg nem célpontja egy ilyen kampánynak. Mégis, a magas kockázatú felhasználók kockázatát csökkentő védekezési módszerek gyakran ingyenesek, az eszközbe építettek, és érdemes széles körben alkalmazni őket.

Mit véd meg egy VPN, és mit nem

Könnyű azt feltételezni, hogy egy VPN megoldja az ilyen problémát. Pontosabb, ha konkrétan megmondjuk, mit tesz egy VPN.

A VPN titkosítja a forgalmat az eszközöd és a VPN-szerver között, és elrejti az IP-címedet az általad meglátogatott oldalak elől. Ez segít a magánszféra védelmében nem megbízható hálózatokon, és korlátozhat bizonyos IP-alapú nyomkövetési formákat.

Amit egy VPN önmagában nem tesz meg, az az, hogy megállítsa a kapcsolaton keresztül érkező káros tartalmat, miután az eléri az eszközödet. Ha a kémprogram egy olyan hirdetésen keresztül érkezik, amelyet a böngésződ vagy alkalmazásod betölt, a VPN-alagút egyszerűen továbbítja azt a tartalmat, mint bármely más forgalmat. Egy szokványos VPN nem javítja a szoftverhibákat, és nem teszi az eszközödet immunissá a kihasználással szemben.

Egyes VPN-termékek opcionális hirdetés- vagy domainblokkolási funkciókat tartalmaznak. Ezek csökkenthetik a hirdetési tartalmaknak való kitettséget, de inkább egy szűrési réteget jelentenek, mint garanciát, és minőségük változó. Tekintsd a VPN-t egy magánszféra-védelmi eszköznek több között, nem pedig kémprogram elleni védelemnek.

Gyakorlati védekezés: frissítések, hirdetésblokkolók és Lockdown Mode

A zero-click fenyegetések esetében néhány intézkedés a legfontosabb.

  • Telepítsd a frissítéseket haladéktalanul. A zero-click támadások jellemzően szoftverhibáktól függenek. Az operációs rendszer és a böngésző frissítései a legközvetlenebb mód a bezárásukra.
  • Használj hirdetésblokkolót. Ha az eljuttatási útvonal egy hirdetési hálózat, a hirdetések blokkolása csökkenti a kitettség egy részét. Használj megbízható blokkolót a böngészőben, és ahol lehetséges, eszköz- vagy hálózati szinten.
  • Kapcsold be a Lockdown Mode-ot, ha nagyobb kockázatnak vagy kitéve. A támogatott Apple-eszközökön a Lockdown Mode egy opcionális beállítás, amely csökkenti a támadási felületet azoknál, akiket kifinomult kémprogramok célozhatnak. Ez korlátoz bizonyos funkciókat, ez az ára.
  • Csökkentsd, ami az eszközödön fut. Távolítsd el a nem használt alkalmazásokat, mivel mindegyik saját hirdetési összetevőket hordozhat.

Mit jelent ez neked

Ha újságíró, aktivista vagy más olyan személy vagy, akit célpontként kezelhetnek, tekintsd az AdFectiont arra való ösztönzésnek, hogy most erősítsd meg az eszközeidet, ne csak egy incidens után. Ha hétköznapi felhasználó vagy, annak kockázata, hogy kiemelten megcélozzanak, alacsonyabb, de ugyanezek a szokások kevésbe kerülnek, és sok más fenyegetés ellen is védenek.

Tartsd reális szinten az elvárásokat. Egy VPN hasznos arra, amire tervezték, de önmagában nem állítja meg a hirdetéseken keresztül érkező kémprogramot. A frissítések, a hirdetésblokkolás és adott esetben a Lockdown Mode azok a lépések, amelyek a legvilágosabban kapcsolódnak ehhez a támadástípushoz.

Kulcsfontosságú tanulságok

Az AdFection zero-click spyware malvertising azt mutatja, hogy egy kampány hétköznapi hirdetési infrastruktúrán keresztül is elérhet egy célpontot kattintás nélkül. Ma a következőket teheted:

  1. Telepítsd a függőben lévő operációs rendszer-, böngésző- és alkalmazásfrissítéseket.
  2. Kapcsolj be egy megbízható hirdetésblokkolót.
  3. Kapcsold be a Lockdown Mode-ot, ha nagyobb kockázatnak vagy kitéve.
  4. Olvass arról, hogy a Candiruhoz köthető kémprogramot állítólag az Al Jazeera eszközein találták, hogy láss egy másik friss példát ugyanerre a zero-click fenyegetési osztályra.

Egyik lépés sem bonyolult, és együtt érdemben megemelik a támadók számára a mércét.