Badacze udokumentowali przypadek oprogramowania szpiegującego typu zero-click rozpowszechnianego przez reklamy, z którym dziennikarze zetknęli się w 2024 roku, co zmienia sposób myślenia o ryzyku codziennego przeglądania internetu. Al Jazeera i Citizen Lab opublikowały wyniki dotyczące kampanii, którą nazwały „AdFection”, w ramach której najemne oprogramowanie szpiegujące było dostarczane za pośrednictwem reklam internetowych. Nie było potrzeby dotknięcia ekranu, pobrania czegokolwiek ani kliknięcia podejrzanego linku.

Pytanie, kto ostatecznie obrał dziennikarzy za cel, pozostaje bez odpowiedzi. Badacze twierdzą, że wiedzą, kto ułatwił ataki: dwie izraelskie firmy, z których jedna znajduje się na amerykańskiej czarnej liście od około pięciu lat.

Jak AdFection dostarczało oprogramowanie szpiegujące przez reklamy bez kliknięcia

Atak typu zero-click to taki, który nie wymaga żadnego działania ze strony ofiary. Tradycyjny phishing polega na tym, że otwierasz załącznik lub klikasz link. W tym przypadku kanałem dostarczania był sam ekosystem reklamowy. Reklamy ładują się automatycznie za każdym razem, gdy wczytuje się strona, więc złośliwa reklama może dotrzeć do urządzenia po prostu dlatego, że ktoś odwiedził stronę internetową.

To właśnie czyni tę technikę niepokojącą. Sieć reklamowa, o której większość czytelników nigdy nie myśli, staje się drogą, którą podróżuje oprogramowanie szpiegujące. Reklama targetowana jest zaprojektowana tak, by wybierać konkretne grupy odbiorców, a ta sama precyzja, która pozwala marce dotrzeć do określonej grupy demograficznej, może teoretycznie pozwolić atakującemu dotrzeć do konkretnej osoby.

Publiczne relacje z badań wskazują firmę reklamową o nazwie Discover-Tech i opisują, jak twórcy oprogramowania szpiegującego wykorzystywali ją do docierania do urządzeń. Te szczegóły pochodzą z wtórnych doniesień o raporcie Citizen Lab, więc przed poleganiem na nich sprawdź oryginalne ustalenia, aby poznać dokładny opis techniczny.

Co ustaliły Citizen Lab i Al Jazeera

Obie organizacje opublikowały własne ustalenia. Dziennikarze Al Jazeery byli wśród osób, których to dotyczyło, a Citizen Lab — grupa badawcza z Uniwersytetu w Toronto znana z badania komercyjnego oprogramowania szpiegującego — przeanalizowała kampanię i nadała jej nazwę AdFection. Nasze wcześniejsze omówienie ustaleń Citizen Lab, że reklamy zero-click infekują urządzenia dziennikarzy przedstawia raport bardziej szczegółowo.

Z doniesień wyróżniają się dwa punkty:

  • Przypisanie jest niepełne. Badacze zidentyfikowali pośredników, ale nie klienta, który wybrał cele. To typowe dla rynku najemnego oprogramowania szpiegującego, gdzie firma tworząca narzędzia i podmiot, który ich używa, często są różne.
  • Zaangażowana była firma z czarnej listy. Jedna z dwóch izraelskich firm znajduje się na amerykańskiej czarnej liście od około pół dekady. To rodzi trudne pytania o to, jak taka firma pozostaje powiązana z komercyjną infrastrukturą i szerszym łańcuchem dostaw reklam.

Wtórne doniesienia opisały również ten przypadek jako pierwszy publicznie potwierdzony przykład najemnego oprogramowania szpiegującego typu zero-click dostarczonego przez reklamy targetowane. Traktuj tę tezę jako charakterystykę pracy Citizen Lab w relacjach innych podmiotów i zapoznaj się z oryginalnym raportem, aby poznać jego dokładne twierdzenia.

Dlaczego dziennikarze i aktywiści są celem ataków

Najemne oprogramowanie szpiegujące jest sprzedawane jako narzędzie nadzoru, a dziennikarze są powracającym celem, ponieważ posiadają to, czego inni pragną: źródła, niepublikowane materiały i prywatną korespondencję. Zainfekowany telefon może ujawnić kontakty, wiadomości, lokalizację i dostęp do mikrofonu. Dla reportera pracującego nad wrażliwymi tematami pojedyncza infekcja może narazić na ryzyko źródła, nie tylko samego reportera.

Przypadek AdFection pokazuje też, dlaczego zagrożenie nie ogranicza się wyłącznie do dziennikarzy. Metoda dostarczania opiera się na infrastrukturze, z której korzystają wszyscy. Nawet jeśli konkretna osoba została wybrana jako cel, ten sam system reklamowy obsługuje ogół społeczeństwa. Większość czytelników raczej nie jest priorytetowym celem tego rodzaju narzędzi, ale przypadek pokazuje, że mechanizm istnieje.

Co to oznacza dla Ciebie

Dla większości ludzi praktyczne ryzyko bycia wytypowanym przez najemne oprogramowanie szpiegujące jest niskie. Mimo to ustalenia przypominają, że nieklikanie w nic nie oznacza bezpieczeństwa i że zwykłe reklamy internetowe mogą być powierzchnią ataku. Jeśli jesteś dziennikarzem, aktywistą, prawnikiem lub osobą, która zajmuje się wrażliwymi informacjami, potraktuj to poważniej.

Warto też być szczerym w kwestii VPN-ów. VPN szyfruje ruch między Twoim urządzeniem a serwerem VPN i ukrywa Twój adres IP przed odwiedzanymi stronami. Nie powstrzymuje złośliwej reklamy przed załadowaniem się w Twojej przeglądarce i nie łata luki w zabezpieczeniach Twojego telefonu. Sam VPN nie chroni przed tego typu atakiem. Pozostaje przydatny do innych celów związanych z prywatnością, ale nie jest tu obroną.

Co mogą zrobić czytelnicy

Żaden pojedynczy krok nie eliminuje ryzyka, ale warstwowe środki znacznie je redukują:

  • Aktualizuj system operacyjny i przeglądarkę na bieżąco. Oprogramowanie szpiegujące tego typu zazwyczaj opiera się na lukach w oprogramowaniu, a aktualizacje je zamykają.
  • Włącz Tryb izolacji, jeśli jesteś w grupie wyższego ryzyka. Tryb izolacji Apple'a (Lockdown Mode) jest zaprojektowany, aby zmniejszyć powierzchnię ataku dla osób, które mogą być celem. Użytkownicy Androida mogą poszukać porównywalnych ustawień zaawansowanej ochrony.
  • Używaj blokera reklam. Jeśli kanałem dostarczania jest reklama, blokowanie reklam na poziomie przeglądarki lub DNS usuwa znaczną część ekspozycji.
  • Regularnie restartuj urządzenie. Niektóre infekcje nie przetrwają ponownego uruchomienia, co może zmusić atakujących do rozpoczęcia od nowa.
  • Ogranicz to, co działa w przeglądarce. Mniej rozszerzeń i minimalny zestaw aplikacji zmniejsza liczbę miejsc, które atakujący może wykorzystać.
  • Szukaj pomocy ekspertów, jeśli podejrzewasz infekcję. Organizacje wspierające grupy zagrożone mogą pomóc w przeprowadzeniu kontroli kryminalistycznych.

Najważniejsze wnioski

Przypadek AdFection pokazuje, że oprogramowanie szpiegujące typu zero-click rozpowszechniane przez reklamy, z którym dziennikarze zetknęli się w 2024 roku, było dostarczane przez ten sam system reklamowy, który obsługuje wszystkich innych. Atakujący pozostaje niezidentyfikowany, ale dwie izraelskie firmy powiązano z ułatwianiem ataku. Aktualizuj swoje urządzenia, rozważ Tryb izolacji, jeśli grozi Ci podwyższone ryzyko, i blokuj reklamy, gdzie to możliwe. Aby poznać pełne szczegóły, przeczytaj nasze podsumowanie raportu Citizen Lab na temat reklam zero-click i dziennikarzy, a następnie zapoznaj się z oryginalnymi ustaleniami Citizen Lab i Al Jazeery. I pamiętaj, że VPN, choć przydatny, nie jest tarczą przed tego rodzaju atakiem.