W zeszłym tygodniu badacze z Citizen Lab ujawnili nową kampanię złośliwego oprogramowania, którą nazwali "AdFection". Jak wynika z opisu ustaleń przygotowanego przez Electronic Frontier Foundation, kampania wykorzystywała sieć reklamową do dostarczania spyware na urządzenia dziennikarzy, infekując je bez konieczności kliknięcia czegokolwiek przez ofiarę. Spyware typu zero-click dostarczane przez złośliwe reklamy (malvertising) w ramach AdFection to przypomnienie, że reklamy ładowane po cichu w tle codziennego przeglądania stron i korzystania z aplikacji mogą stać się ścieżką ataku.

Materiał źródłowy, którym dysponujemy, jest krótki, więc ten artykuł ogranicza się do tego, co zostało zgłoszone, i skupia się na praktycznych pytaniach, które czytelnicy prawdopodobnie zadadzą.

Jak AdFection dostarczało spyware przez sieć reklamową

Sedno kampanii, zgodnie z opisem EFF, tkwi w metodzie dostarczania. Zamiast wysyłać ofierze podejrzany link lub załącznik, atakujący wykorzystali sieć reklamową do przesyłania spyware na urządzenia dziennikarzy. Ofiara nie musiała niczego dotykać, otwierać ani zatwierdzać.

To właśnie oznacza "zero-click": przejęcie następuje bez interakcji użytkownika. Malvertising, czyli nadużywanie systemów reklamowych do dostarczania złośliwych treści, nie jest nowym konceptem. Wyróżnia się tutaj połączenie zaufanego, codziennego kanału dostarczania z brakiem wymaganej akcji ze strony ofiary, wymierzone w grupę, która już jest mocno narażona na ataki.

EFF opisuje tego rodzaju atak na dziennikarzy jako niebezpieczny, a rozumowanie jest proste. Dziennikarze mają dostęp do poufnych źródeł i wrażliwych komunikacji, a przejęty telefon może to wszystko ujawnić.

Dlaczego zero-click malvertising ma znaczenie poza środowiskiem dziennikarskim

AdFection zostało zgłoszone jako kampania wymierzona w dziennikarzy, ale mechanizm nie jest zarezerwowany wyłącznie dla nich. Sieci reklamowe docierają do ogromnej liczby ludzi za pośrednictwem stron internetowych i aplikacji. Każda ścieżka dostarczania opierająca się na tej infrastrukturze rodzi szersze pytanie o to, jak bardzo zwykli użytkownicy są narażeni na treści, których nigdy nie zdecydowali się załadować.

Ta klasa zagrożeń jest też zwykle omawiana wraz z innymi przypadkami spyware zero-click. Najnowszy przykład znajdziesz w naszym raporcie o tym, jak Al Jazeera twierdzi, że spyware powiązane z Candiru trafiło w 45 urządzeń pracowników, gdzie dane miały zostać pobrane z urządzeń dziennikarzy i pracowników bez żadnego działania użytkowników.

Większość czytelników raczej nie będzie zamierzonym celem takiej kampanii. Mimo to zabezpieczenia, które zmniejszają ryzyko dla użytkowników wysokiego ryzyka, są często darmowe, wbudowane w urządzenie i warte powszechnego stosowania.

Przed czym chroni VPN, a przed czym nie

Kuszące jest założenie, że VPN rozwiązuje taki problem. Trafniej jest sprecyzować, co VPN robi.

VPN szyfruje ruch między twoim urządzeniem a serwerem VPN i ukrywa twój adres IP przed odwiedzanymi stronami. Pomaga to w kwestii prywatności w niezaufanych sieciach i ograniczaniu niektórych form śledzenia po IP.

Czego VPN sam w sobie nie robi, to nie zatrzymuje złośliwych treści dostarczanych przez połączenie, gdy dotrą one do twojego urządzenia. Jeśli spyware przybywa przez reklamę, którą ładuje twoja przeglądarka lub aplikacja, tunel VPN po prostu przenosi tę treść jak każdy inny ruch. Standardowy VPN nie łata luk w oprogramowaniu i nie czyni twojego urządzenia odpornym na wykorzystanie.

Niektóre produkty VPN zawierają opcjonalne funkcje blokowania reklam lub domen. Mogą one zmniejszyć ekspozycję na treści reklamowe, ale są warstwą filtrowania, a nie gwarancją, a ich jakość bywa różna. Traktuj VPN jako jedno z kilku narzędzi prywatności, a nie obronę przed spyware.

Praktyczne zabezpieczenia: aktualizacje, blokery reklam i tryb blokady

W przypadku zagrożeń zero-click najważniejszych jest kilka środków.

  • Instaluj aktualizacje na bieżąco. Ataki zero-click zazwyczaj opierają się na lukach w oprogramowaniu. Aktualizacje systemu operacyjnego i przeglądarki to najbardziej bezpośredni sposób ich zamykania.
  • Używaj blokera reklam. Jeśli ścieżką dostarczania jest sieć reklamowa, blokowanie reklam usuwa sporą część tej ekspozycji. Używaj renomowanego blokera w przeglądarce, a gdzie to możliwe, także na poziomie urządzenia lub sieci.
  • Włącz tryb blokady, jeśli jesteś w grupie wyższego ryzyka. Na obsługiwanych urządzeniach Apple tryb blokady to opcjonalne ustawienie, które zmniejsza powierzchnię ataku dla osób, które mogą być celem zaawansowanego spyware. Ogranicza niektóre funkcje i to jest jego cena.
  • Ogranicz to, co działa na twoim urządzeniu. Usuń aplikacje, których nie używasz, ponieważ każda z nich może zawierać własne komponenty reklamowe.

Co to oznacza dla ciebie

Jeśli jesteś dziennikarzem, aktywistą lub kimś innym, kto może być celem ataku, potraktuj AdFection jako sygnał, by wzmocnić swoje urządzenia teraz, a nie po incydencie. Jeśli jesteś zwykłym użytkownikiem, ryzyko bycia wytypowanym jest niższe, ale te same nawyki niewiele kosztują i chronią także przed wieloma innymi zagrożeniami.

Zachowaj realistyczne oczekiwania. VPN jest przydatny do tego, do czego został zaprojektowany, ale sam nie powstrzyma spyware dostarczanego przez reklamy. Aktualizacje, blokowanie reklam i tryb blokady, tam gdzie to właściwe, to kroki o najwyraźniejszym związku z tym typem ataku.

Najważniejsze wnioski

Spyware zero-click dostarczane przez złośliwe reklamy w ramach AdFection pokazuje, że kampania może dotrzeć do celu przez zwykłą infrastrukturę reklamową bez konieczności kliknięcia. Dziś możesz:

  1. Zastosować oczekujące aktualizacje systemu operacyjnego, przeglądarki i aplikacji.
  2. Włączyć renomowany bloker reklam.
  3. Włączyć tryb blokady, jeśli jesteś w grupie wyższego ryzyka.
  4. Przeczytać o spyware powiązanym z Candiru, które rzekomo znaleziono na urządzeniach Al Jazeery, by zobaczyć kolejny niedawny przykład tej samej klasy zagrożenia zero-click.

Żaden z tych kroków nie jest skomplikowany, a razem znacząco podnoszą poprzeczkę dla atakujących.