La scorsa settimana, i ricercatori di Citizen Lab hanno rivelato una nuova campagna malware che hanno chiamato "AdFection". Secondo il resoconto dei risultati pubblicato dalla Electronic Frontier Foundation, la campagna ha utilizzato una rete pubblicitaria per distribuire spyware ai dispositivi dei giornalisti, infettandoli senza che il bersaglio dovesse mai cliccare nulla. Lo spyware zero-click AdFection distribuito tramite malvertising è un promemoria del fatto che gli annunci caricati silenziosamente in background durante la navigazione e l'uso quotidiano delle app possono diventare un vettore di attacco.
Il materiale disponibile è breve, quindi questo articolo si attiene a quanto è stato riportato e si concentra sulle domande pratiche che i lettori potrebbero porsi.
Come AdFection ha distribuito spyware attraverso una rete pubblicitaria
Il nucleo della campagna, come descritto dalla EFF, è il metodo di distribuzione. Invece di inviare al bersaglio un link sospetto o un allegato, gli attaccanti hanno utilizzato una rete pubblicitaria per inviare spyware ai dispositivi dei giornalisti. Il bersaglio non ha dovuto toccare, aprire o approvare nulla.
Questo è ciò che significa "zero-click": la compromissione avviene senza interazione dell'utente. Il malvertising, ovvero l'abuso dei sistemi pubblicitari per distribuire contenuti malevoli, non è un concetto nuovo. Ciò che colpisce qui è la combinazione di un canale di distribuzione affidabile e di uso quotidiano con nessuna azione richiesta alla vittima, rivolto a un gruppo già fortemente preso di mira.
La EFF descrive questo tipo di attacco ai giornalisti come pericoloso, e il ragionamento è semplice. I giornalisti gestiscono fonti riservate e comunicazioni sensibili, e un telefono compromesso può esporre tutto questo.
Perché il malvertising zero-click è importante anche al di fuori del mondo del giornalismo
AdFection è stata segnalata come una campagna rivolta ai giornalisti, ma il meccanismo non è esclusivo nei loro confronti. Le reti pubblicitarie raggiungono un numero enorme di persone attraverso siti web e app. Qualsiasi percorso di distribuzione che si basi su questa infrastruttura solleva una questione più ampia su quanto gli utenti comuni siano esposti a contenuti che non hanno mai scelto di caricare.
Questa classe di minacce tende anche a essere discussa insieme ad altri casi di spyware zero-click. Per un esempio recente, si veda il nostro report su come Al Jazeera afferma che lo spyware legato a Candiru ha colpito 45 dispositivi dello staff, dove i dati sarebbero stati estratti dai dispositivi dei giornalisti e dello staff senza alcuna azione da parte degli utenti.
La maggior parte dei lettori difficilmente sarà il bersaglio designato di una campagna come questa. Tuttavia, le difese che riducono il rischio per gli utenti ad alto rischio sono spesso gratuite, integrate nel dispositivo e valide per un'adozione ampia.
Cosa protegge e cosa non protegge una VPN
È tentante supporre che una VPN risolva un problema come questo. È più accurato essere specifici su cosa fa una VPN.
Una VPN crittografa il traffico tra il tuo dispositivo e il server VPN e nasconde il tuo indirizzo IP dai siti che visiti. Questo aiuta per la privacy su reti non affidabili e per limitare alcune forme di tracciamento tramite IP.
Ciò che una VPN non fa, di per sé, è bloccare i contenuti malevoli che vengono distribuiti attraverso la connessione una volta che raggiungono il tuo dispositivo. Se lo spyware arriva tramite un annuncio che il tuo browser o la tua app carica, il tunnel VPN trasporta semplicemente quel contenuto come qualsiasi altro traffico. Una VPN standard non corregge le vulnerabilità del software e non rende il tuo dispositivo immune allo sfruttamento.
Alcuni prodotti VPN includono funzionalità opzionali di blocco degli annunci o dei domini. Queste possono ridurre l'esposizione ai contenuti pubblicitari, ma sono uno strato di filtraggio più che una garanzia, e la loro qualità varia. Considera una VPN come uno strumento per la privacy tra diversi, non come una difesa contro lo spyware.
Difese pratiche: aggiornamenti, blocca-annunci e Lockdown Mode
Per le minacce zero-click, alcune misure contano più di altre.
- Installa gli aggiornamenti tempestivamente. Gli attacchi zero-click dipendono tipicamente da vulnerabilità del software. Gli aggiornamenti del sistema operativo e del browser sono il modo più diretto per chiuderle.
- Usa un blocco degli annunci. Se il percorso di distribuzione è una rete pubblicitaria, bloccare gli annunci rimuove una parte di quell'esposizione. Usa un blocco affidabile, sul browser e, dove possibile, a livello di dispositivo o di rete.
- Attiva la Lockdown Mode se sei a rischio più elevato. Sui dispositivi Apple supportati, la Lockdown Mode è un'impostazione opzionale che riduce la superficie di attacco per le persone che potrebbero essere prese di mira da spyware sofisticato. Limita alcune funzionalità, e questo è il compromesso.
- Riduci ciò che viene eseguito sul tuo dispositivo. Rimuovi le app che non usi, poiché ognuna può contenere i propri componenti pubblicitari.
Cosa significa per te
Se sei un giornalista, un attivista o qualcun altro che potrebbe essere preso di mira, considera AdFection come uno stimolo a rafforzare i tuoi dispositivi ora, piuttosto che dopo un incidente. Se sei un utente comune, il rischio di essere preso di mira individualmente è inferiore, ma le stesse abitudini costano poco e proteggono anche da molte altre minacce.
Mantieni aspettative realistiche. Una VPN è utile per ciò per cui è progettata, ma non fermerà da sola lo spyware distribuito tramite annunci. Aggiornamenti, blocco degli annunci e Lockdown Mode dove appropriato sono i passi con il collegamento più chiaro a questo tipo di attacco.
Punti chiave
Lo spyware zero-click AdFection distribuito tramite malvertising dimostra che una campagna può raggiungere un bersaglio attraverso l'ordinaria infrastruttura pubblicitaria senza richiedere alcun clic. Oggi puoi:
- Applicare gli aggiornamenti in sospeso del sistema operativo, del browser e delle app.
- Attivare un blocco degli annunci affidabile.
- Attivare la Lockdown Mode se sei a rischio più elevato.
- Leggere dello spyware legato a Candiru presumibilmente trovato sui dispositivi di Al Jazeera per vedere un altro recente esempio della stessa classe di minaccia zero-click.
Nessuno di questi passi è complicato, e insieme alzano significativamente l'asticella per gli attaccanti.
