Vorige week onthulden onderzoekers van Citizen Lab een nieuwe malwarecampagne die zij "AdFection" noemden. Volgens de analyse van de bevindingen door de Electronic Frontier Foundation gebruikte de campagne een advertentienetwerk om spyware op de apparaten van journalisten af te leveren en hen te infecteren zonder dat het doelwit ooit ergens op hoefde te klikken. AdFection zero-click spyware malvertising is een herinnering eraan dat advertenties die zich stil op de achtergrond laden tijdens alledaags browsen en in apps een aanvalspad kunnen worden.

Het bronmateriaal dat ons ter beschikking staat is beknopt, dus dit bericht houdt zich aan wat er is gerapporteerd en richt zich op de praktische vragen die lezers waarschijnlijk zullen stellen.

Hoe AdFection spyware via een advertentienetwerk afleverde

De kern van de campagne, zoals beschreven door de EFF, is de afleveringsmethode. In plaats van een doelwit een verdachte link of bijlage te sturen, gebruikten de aanvallers een advertentienetwerk om spyware naar de apparaten van journalisten te pushen. Het doelwit hoefde niets aan te tikken, te openen of goed te keuren.

Dat is wat "zero-click" betekent: de compromise gebeurt zonder tussenkomst van de gebruiker. Malvertising, oftewel het misbruiken van advertentiesystemen om kwaadaardige inhoud af te leveren, is als concept niet nieuw. Wat hier opvalt, is de combinatie van een vertrouwd, alledaags afleveringskanaal zonder dat het slachtoffer enige actie hoeft te ondernemen, gericht op een groep die al zwaar wordt geviseerd.

De EFF beschrijft dit soort aanvallen op journalisten als gevaarlijk, en de redenering is eenvoudig. Journalisten gaan om met vertrouwelijke bronnen en gevoelige communicatie, en een gecompromitteerde telefoon kan dat allemaal blootleggen.

Waarom zero-click malvertising verder reikt dan journalisten

AdFection werd gerapporteerd als een campagne gericht op journalisten, maar het mechanisme is niet exclusief voor hen. Advertentienetwerken bereiken enorme aantallen mensen via websites en apps. Elk afleveringspad dat op die infrastructuur vertrouwt, roept een bredere vraag op over hoeveel blootstelling gewone gebruikers hebben aan inhoud die zij nooit hebben gekozen te laden.

Deze klasse van dreigingen wordt ook vaak besproken naast andere zero-click spywaregevallen. Zie voor een recent voorbeeld ons rapport over hoe Al Jazeera zegt dat aan Candiru gelinkte spyware 45 apparaten van medewerkers trof, waarbij gegevens naar verluidt van de apparaten van journalisten en medewerkers werden gehaald zonder enige actie van de gebruikers.

De meeste lezers zijn waarschijnlijk niet het beoogde doelwit van een campagne als deze. Toch zijn de verdedigingsmaatregelen die het risico voor hoogrisicogebruikers verkleinen vaak gratis, ingebouwd in het apparaat en de moeite waard om breed toe te passen.

Waar een VPN wel en niet tegen beschermt

Het is verleidelijk om aan te nemen dat een VPN een probleem als dit oplost. Het is nauwkeuriger om specifiek te zijn over wat een VPN doet.

Een VPN versleutelt je verkeer tussen je apparaat en de VPN-server en verbergt je IP-adres voor de sites die je bezoekt. Dat helpt bij privacy op onbetrouwbare netwerken en bij het beperken van sommige vormen van tracking via IP.

Wat een VPN op zichzelf niet doet, is kwaadaardige inhoud stoppen die via de verbinding wordt afgeleverd zodra deze je apparaat bereikt. Als spyware binnenkomt via een advertentie die je browser of app laadt, draagt de VPN-tunnel die inhoud gewoon mee zoals al het andere verkeer. Een standaard-VPN verhelpt geen softwarekwetsbaarheden en maakt je apparaat niet immuun voor misbruik.

Sommige VPN-producten bevatten optionele functies voor advertentie- of domeinblokkering. Die kunnen de blootstelling aan advertentie-inhoud verminderen, maar het is een laag filtering en geen garantie, en de kwaliteit ervan varieert. Beschouw een VPN als één privacytool onder meerdere, niet als een verdediging tegen spyware.

Praktische verdediging: updates, adblockers en Lockdown Mode

Voor zero-click-dreigingen zijn een paar maatregelen het belangrijkst.

  • Installeer updates promptly. Zero-click-aanvallen zijn doorgaans afhankelijk van softwarekwetsbaarheden. Updates van het besturingssysteem en de browser zijn de meest directe manier om die te dichten.
  • Gebruik een adblocker. Als het afleveringspad een advertentienetwerk is, verwijdert het blokkeren van advertenties een flink deel van die blootstelling. Gebruik een betrouwbare blocker, in de browser en waar mogelijk op apparaat- of netwerkniveau.
  • Schakel Lockdown Mode in als je een hoger risico loopt. Op ondersteunde Apple-apparaten is Lockdown Mode een optionele instelling die het aanvalsoppervlak verkleint voor mensen die doelwit kunnen zijn van geavanceerde spyware. Het beperkt sommige functies, en dat is de afweging.
  • Beperk wat er op je apparaat draait. Verwijder apps die je niet gebruikt, want elk daarvan kan zijn eigen advertentiecomponenten meebrengen.

Wat dit voor jou betekent

Als je journalist, activist of iemand anders bent die mogelijk doelwit is, beschouw AdFection dan als een aansporing om je apparaten nu te verharden in plaats van na een incident. Als je een gewone gebruiker bent, is het risico om specifiek uitgekozen te worden lager, maar dezelfde gewoonten kosten weinig en beschermen ook tegen vele andere dreigingen.

Houd verwachtingen realistisch. Een VPN is nuttig voor wat het is ontworpen om te doen, maar het stopt op zichzelf geen via advertenties afgeleverde spyware. Updates, advertentieblokkering en Lockdown Mode waar gepast zijn de stappen met de duidelijkste band met dit soort aanvallen.

Belangrijkste punten

AdFection zero-click spyware malvertising toont aan dat een campagne een doelwit kan bereiken via gewone advertentie-infrastructuur zonder dat er geklikt hoeft te worden. Vandaag kun je:

  1. Openstaande updates voor besturingssysteem, browser en apps toepassen.
  2. Een betrouwbare adblocker inschakelen.
  3. Lockdown Mode inschakelen als je een hoger risico loopt.
  4. Lees over de aan Candiru gelinkte spyware die naar verluidt op Al Jazeera-apparaten is aangetroffen om een ander recent voorbeeld van dezelfde klasse van zero-click-dreiging te zien.

Geen van deze stappen is ingewikkeld, en samen verhogen ze de lat voor aanvallers aanzienlijk.