Forrige uke avslørte forskere ved Citizen Lab en ny skadevarekampanje de kalte «AdFection». Ifølge Electronic Frontier Foundations omtale av funnene brukte kampanjen et annonsenettverk for å levere spionprogramvare til journalisters enheter, og infiserte dem uten at målet noen gang trengte å klikke på noe. AdFection nullklikks spionprogramvare-malvertising er en påminnelse om at annonsene som lastes stille i bakgrunnen av daglig nettlesing og apper, kan bli en angrepsvei.

Kildematerialet tilgjengelig for oss er kort, så dette innlegget holder seg til det som er rapportert og fokuserer på de praktiske spørsmålene leserne sannsynligvis vil stille.

Hvordan AdFection leverte spionprogramvare gjennom et annonsenettverk

Kjernen i kampanjen, slik EFF beskriver den, er leveringsmetoden. I stedet for å sende et mistenkelig lenke eller vedlegg til et mål, brukte angriperne et annonsenettverk for å dytte spionprogramvare til journalisters enheter. Målet trengte ikke å trykke, åpne eller godkjenne noe.

Det er det «nullklikk» betyr: kompromitteringen skjer uten brukerinteraksjon. Malvertising, altså misbruk av annonsesystemer for å levere ondsinnet innhold, er ikke et nytt konsept. Det som skiller seg ut her, er kombinasjonen av en betrodd, dagligdags leveringskanal uten nødvendig handling fra offeret, rettet mot en gruppe som allerede er sterkt utsatt.

EFF beskriver denne typen angrep på journalister som farlig, og resonnementet er enkelt. Journalister håndterer konfidensielle kilder og sensitive kommunikasjoner, og en kompromittert telefon kan avsløre alt dette.

Hvorfor nullklikks-malvertising betyr noe utover journalister

AdFection ble rapportert som en kampanje rettet mot journalister, men mekanismen er ikke eksklusiv for dem. Annonsenettverk når enorme mengder mennesker gjennom nettsider og apper. Enhver leveringsvei som er avhengig av denne infrastrukturen reiser et bredere spørsmål om hvor stor eksponering vanlige brukere har for innhold de aldri valgte å laste.

Denne trusselklassen blir også ofte diskutert sammen med andre nullklikks-tilfeller av spionprogramvare. For et nylig eksempel, se vår rapport om hvordan Al Jazeera sier Candiru-koblet spionprogramvare rammet 45 ansattenheter, der data angivelig ble hentet fra journalisters og ansattes enheter uten noen handling fra brukerne.

De fleste lesere er sannsynligvis ikke det tiltenkte målet for en kampanje som dette. Likevel er forsvarsverkene som reduserer risikoen for høyrisikobrukere ofte gratis, innebygd i enheten og verdt å ta i bruk bredt.

Hva en VPN beskytter mot og ikke beskytter mot

Det er fristende å anta at en VPN løser et problem som dette. Det er mer presist å være spesifikk om hva en VPN gjør.

En VPN krypterer trafikken din mellom enheten din og VPN-serveren og skjuler IP-adressen din fra nettstedene du besøker. Det hjelper med personvern på ubetrodde nettverk og med å begrense noen former for sporing via IP.

Det en VPN ikke gjør, i seg selv, er å stoppe ondsinnet innhold som leveres gjennom tilkoblingen når det først når enheten din. Hvis spionprogramvare ankommer gjennom en annonse som nettleseren eller appen din laster, frakter VPN-tunnelen ganske enkelt det innholdet som all annen trafikk. En standard-VPN retter ikke programvarefeil, og den gjør ikke enheten din immun mot utnyttelse.

Noen VPN-produkter inkluderer valgfrie funksjoner for annonse- eller domeneblokkering. De kan redusere eksponeringen for annonseinnhold, men de er et filtreringslag snarere enn en garanti, og kvaliteten varierer. Behandle en VPN som ett personverntiltak blant flere, ikke som et forsvar mot spionprogramvare.

Praktiske forsvarstiltak: oppdateringer, annonseblokkering og Lockdown Mode

For nullklikks-trusler er noen få tiltak viktigst.

  • Installer oppdateringer raskt. Nullklikks-angrep er vanligvis avhengige av programvaresårbarheter. Oppdateringer av operativsystem og nettleser er den mest direkte måten å tette dem.
  • Bruk en annonseblokker. Hvis leveringsveien er et annonsenettverk, fjerner blokkering av annonser en del av denne eksponeringen. Bruk en anerkjent blokker, i nettleseren og, der det er mulig, på enhets- eller nettverksnivå.
  • Aktiver Lockdown Mode hvis du er i høyere risiko. På støttede Apple-enheter er Lockdown Mode en valgfri innstilling som reduserer angrepsflaten for personer som kan være mål for sofistikert spionprogramvare. Den begrenser enkelte funksjoner, og det er avveiningen.
  • Reduser hva som kjører på enheten din. Fjern apper du ikke bruker, siden hver av dem kan ha egne annonsekomponenter.

Hva dette betyr for deg

Hvis du er journalist, aktivist eller noen andre som kan være et mål, bør du behandle AdFection som en oppfordring til å herde enhetene dine nå snarere enn etter en hendelse. Hvis du er en vanlig bruker, er risikoen for å bli spesielt utvalgt lavere, men de samme vanene koster lite og beskytter også mot mange andre trusler.

Hold forventningene realistiske. En VPN er nyttig for det den er designet for, men den vil ikke alene stoppe annonselevert spionprogramvare. Oppdateringer, annonseblokkering og Lockdown Mode der det er hensiktsmessig er tiltakene med den klareste koblingen til denne typen angrep.

Viktige punkter

AdFection nullklikks spionprogramvare-malvertising viser at en kampanje kan nå et mål gjennom vanlig annonseinfrastruktur uten at det kreves et klikk. I dag kan du:

  1. Bruke ventende oppdateringer for operativsystem, nettleser og apper.
  2. Slå på en anerkjent annonseblokker.
  3. Aktivere Lockdown Mode hvis du er i høyere risiko.
  4. Les om Candiru-koblet spionprogramvare som angivelig ble funnet på Al Jazeera-enheter for å se et annet nylig eksempel på samme klasse nullklikks-trussel.

Ingen av disse tiltakene er kompliserte, og sammen hever de betydelig listen for angripere.