I ricercatori di The Citizen Lab hanno, per la prima volta, pubblicato prove tecniche di spyware mercenario sofisticato distribuito attraverso la pubblicità online. La copertura di WIRED lo ha inquadrato come uno "scenario da incubo", e la descrizione calza: lo spyware zero-click distribuito tramite annunci mirati potrebbe trasformare il normale ecosistema pubblicitario in una via di distribuzione per strumenti di sorveglianza. Questo articolo spiega cosa è stato riportato, come funziona generalmente questa classe di attacchi e quali difese meritano il vostro tempo.

Una nota sulla portata: le fonti giornalistiche a nostra disposizione sono brevi, quindi limitiamo i dettagli a quanto è stato pubblicato. Dove descriviamo come funzionano in generale gli attacchi basati sulla pubblicità, stiamo spiegando il concetto, non aggiungendo dettagli su questo caso specifico.

Cosa ha scoperto Citizen Lab

Citizen Lab è un gruppo di ricerca noto per indagare sulle minacce digitali contro giornalisti, attivisti e altri obiettivi della società civile. Secondo quanto riportato, i suoi ricercatori hanno ora pubblicato prove tecniche che dimostrano che lo spyware mercenario, ovvero strumenti di sorveglianza commerciali venduti a clienti paganti, può essere distribuito attraverso la pubblicità online.

La parola chiave è "prima". I ricercatori di sicurezza hanno a lungo avvertito che le reti pubblicitarie potrebbero essere sfruttate in questo modo, ma è la prova tecnica resa pubblica che fa passare una preoccupazione da teorica a documentata. Ecco perché questa scoperta è importante anche se non siete un probabile bersaglio.

Come lo spyware zero-click si diffonde attraverso gli annunci

Un attacco zero-click non richiede alcuna azione da parte della vittima. Non c'è nessun link sospetto da toccare e nessun allegato da aprire. Il dispositivo viene compromesso semplicemente elaborando qualcosa che gli è stato inviato.

Gli annunci online sono un vettore plausibile per diverse ragioni:

  • Gli annunci si caricano automaticamente. Le pagine web e le app recuperano e visualizzano contenuti pubblicitari in background, senza alcuna scelta deliberata da parte vostra.
  • Gli annunci sono mirati. I sistemi pubblicitari sono progettati per raggiungere pubblici specifici, il che significa che un attaccante potrebbe in linea di principio indirizzare contenuti verso un gruppo ristretto invece che verso il grande pubblico.
  • Le catene pubblicitarie sono complesse. I contenuti spesso passano attraverso diversi intermediari prima di raggiungere uno schermo, il che rende difficile per qualsiasi singola parte ispezionare tutto.

In termini pratici, questo significa che la stessa infrastruttura che permette agli inserzionisti di trovare un particolare tipo di utente potrebbe aiutare un attaccante a trovare una particolare persona. Non abbiamo ulteriori dettagli tecnici sul meccanismo esatto dalla fonte, quindi i lettori che desiderano l'analisi completa dovrebbero consultare direttamente la ricerca pubblicata da Citizen Lab.

Perché i telefoni e il targeting pubblicitario espongono gli utenti

I telefoni sono obiettivi attraenti perché contengono messaggi, cronologia delle posizioni, foto e credenziali, e sono quasi sempre connessi. Inoltre visualizzano costantemente contenuti di terze parti all'interno di browser e app.

Il targeting pubblicitario aggiunge un secondo livello di esposizione. I data broker e le piattaforme pubblicitarie raccolgono segnali su chi siete e dove andate, e sono quei segnali a rendere possibile un targeting preciso. Più dati di questo tipo circolano, più è facile per un acquirente motivato di spyware mercenario individuare un individuo specifico.

Questo è anche il motivo per cui il rischio realistico è disomogeneo. Lo spyware mercenario è costoso ed è stato storicamente associato a obiettivi di alto valore come giornalisti, dissidenti e funzionari, non agli utenti comuni. La maggior parte delle persone difficilmente sarà la vittima designata. Ma un metodo di distribuzione che viaggia sull'infrastruttura pubblicitaria di massa merita di essere compreso, perché le difese che aiutano contro di esso aiutano anche contro minacce più comuni.

Cosa riduce il vostro rischio (e dove si colloca una VPN)

Nessun singolo strumento ferma un attacco come questo. Un approccio a più livelli è la risposta sensata.

Mantenete aggiornati i vostri dispositivi. Lo spyware sfrutta vulnerabilità software, e gli aggiornamenti le chiudono. La nostra copertura su come il Lazarus Group ha sfruttato un bug del kernel di Windows prima della patch di agosto mostra come gli attaccanti possano usare una falla prima che esista una correzione, e perché installare le patch prontamente conti comunque una volta che esistono.

Usate la Modalità Lockdown se siete ad alto rischio. La Modalità Lockdown di Apple è progettata per persone che potrebbero affrontare attacchi mirati. Riduce la superficie di attacco del dispositivo, al costo di alcune funzionalità. Se siete un giornalista, un attivista o lavorate in un settore sensibile, vale la pena considerarla.

Rivedete le vostre impostazioni di tracciamento pubblicitario. Limitare la personalizzazione degli annunci e reimpostare o limitare il vostro identificatore pubblicitario riduce i dati disponibili per il targeting. Il blocco dei contenuti a livello di browser può anche ridurre la quantità di contenuti pubblicitari di terze parti che vengono caricati.

Capite cosa fa e cosa non fa una VPN. Una VPN cifra il vostro traffico tra il dispositivo e il server VPN e può nascondere il vostro indirizzo IP ai siti che visitate. Questo può ridurre alcuni segnali di tracciamento. Non applica patch al vostro telefono e non impedisce a un dispositivo compromesso di elaborare contenuti malevoli. Trattatela come un livello limitato, non come uno scudo contro gli exploit zero-click.

Cosa significa per voi

Per la maggior parte dei lettori, questa ricerca è un segnale, non un motivo per farsi prendere dal panico. L'uso documentato di spyware mercenario è rivolto a un numero ristretto di persone, e la scoperta non significa che la normale navigazione pubblicitaria sia probabilmente destinata a compromettere il vostro telefono oggi. Quello che dimostra è che l'infrastruttura pubblicitaria può essere trasformata in un canale di attacco, il che rafforza le ragioni per un'igiene di base: software aggiornato, meno tracker e minore esposizione a contenuti di terze parti non necessari.

Se gestite informazioni sensibili o avete motivo di pensare di poter essere presi di mira, l'asticella è più alta. Combinate aggiornamenti, Modalità Lockdown e controlli pubblicitari più severi, e considerate di cercare indicazioni da organizzazioni di sicurezza digitale che supportano gruppi a rischio.

Punti chiave

  • Aggiornate il telefono e le app non appena sono disponibili le patch.
  • Attivate la Modalità Lockdown se siete ad alto rischio.
  • Limitate la personalizzazione degli annunci e reimpostate o limitate il vostro ID pubblicitario.
  • Considerate un blocco dei contenuti per ridurre il caricamento di annunci di terze parti.
  • Usate una VPN per la privacy, ma non affidatevi ad essa per fermare lo spyware zero-click distribuito tramite annunci mirati.
  • Per un contesto più ampio sulle patch, consultate il nostro articolo su un nono zero-day di Windows rilasciato dal ricercatore Nightmare Eclipse.

La scoperta di Citizen Lab è un promemoria del fatto che l'ecosistema pubblicitario fa parte della vostra superficie di attacco. Non potete controllare ogni rete pubblicitaria, ma potete ridurre l'apertura con alcune impostazioni deliberate e aggiornamenti costanti.