Znana rada dotycząca bezpieczeństwa zaczyna wyglądać na niepełną: nie klikaj podejrzanych linków. Nowa seria doniesień mówi, że oprogramowanie szpiegujące infekowało urządzenia dziennikarzy poprzez reklamy, w które nigdy nie kliknęli. Ten sam przegląd wiadomości odnotował również wykorzystany zero-day w zaporach ogniowych Palo Alto, krytyczną lukę w Drupalu oraz zarzuty karne przeciwko inżynierowi OpenAI oskarżonemu o podkładanie urządzeń podsłuchowych w sali zarządu. Pierwsza sprawa ma największe znaczenie dla każdego, kto pracuje z wrażliwymi źródłami, ponieważ bezklikowe oprogramowanie szpiegujące dostarczane przez złośliwe reklamy, na które dziennikarze natrafiają podczas przeglądania sieci, zmienia to, jak wygląda osobista obrona.

Jak bezklikowe reklamowe oprogramowanie szpiegujące dociera do dziennikarzy

Kluczowym słowem jest „bezklikowe". Tradycyjny phishing wymaga, aby ktoś otworzył plik lub kliknął link. Atak bezklikowy nie wymaga żadnego działania ze strony celu. Tutaj kanałem dostarczania jest reklama internetowa: reklama jest wyświetlana wybranej osobie i ta reklama wystarcza, aby rozpocząć kompromitację.

Według relacji z badań The Citizen Lab, jednostki badawczej ds. praw cyfrowych na Uniwersytecie w Toronto, to pierwszy raz, gdy publicznie opublikowano techniczne dowody pokazujące zaawansowane najemne oprogramowanie szpiegujące rozprowadzane poprzez ukierunkowane reklamy. Niektóre doniesienia opisują również izraelską agencję reklamową umieszczającą reklamy, które narażały osoby je widzące na ataki oprogramowania szpiegującego. Dysponujemy jedynie szczegółami na poziomie podsumowania dotyczącymi technicznych mechanizmów, więc do czasu zapoznania się z pełnymi badaniami należy podchodzić do konkretów ostrożnie.

Szerszy wzorzec jest jednak jasny. Sieci reklamowe są zbudowane tak, aby wybierać określone grupy odbiorców i dostarczać im treści bez ich udziału. Ta sama precyzja jest atrakcyjna dla dostawców nadzoru, którzy chcą dotrzeć do konkretnej osoby, takiej jak reporter, bez podejmowania przez nią jakiegokolwiek działania. Wcześniejszy przypadek dotyczył dziesiątek urządzeń w organizacji medialnej: nasz artykuł o ustaleniach Citizen Lab dotyczących urządzeń Al Jazeera zhakowanych przez złośliwe reklamy opisuje, jak udokumentowano tam tę samą kategorię ataku.

Dlaczego sam VPN nie powstrzymuje tego ataku

To serwis poświęcony prywatności, więc pytanie o VPN warto odpowiedzieć bezpośrednio. VPN szyfruje ruch między Twoim urządzeniem a serwerem VPN i ukrywa Twój adres IP przed odwiedzanymi stronami. To realne korzyści, ale dotyczą one innego problemu.

Złośliwa reklama jest dostarczana przez zwykłą sieć, a treść wciąż dociera do Twojej przeglądarki lub aplikacji niezależnie od tego, czy połączenie jest tunelowane. Jeśli w urządzeniu bazowym istnieje niezałatana słabość, którą treść reklamy może wykorzystać, VPN tego nie zmienia. Niektóre produkty VPN oferują blokowanie reklam lub trackerów na poziomie DNS, co może zmniejszyć ekspozycję, ale to osobna funkcja, a nie gwarancja. VPN to jedna warstwa i nie należy go mylić z ochroną przed oprogramowaniem szpiegującym dostarczanym przez ładowane treści.

Zabezpieczenia ograniczające ekspozycję: aktualizacje, blokery reklam i tryby wzmocnione

Żaden pojedynczy krok nie czyni osoby odporną na dobrze finansowanego atakującego, ale kilka środków zawęża pole otwarcia.

  • Instaluj aktualizacje niezwłocznie. Oprogramowanie szpiegujące tego rodzaju zależy od luk w oprogramowaniu. Aktualizacje systemu operacyjnego i przeglądarki zamykają te luki, więc ich opóźnianie dłużej pozostawia otwarte drzwi.
  • Używaj blokera reklam. Jeśli drogą infekcji jest reklama, to nieładowanie reklamy usuwa ścieżkę dostarczania. Blokery w przeglądarce i filtrowanie na poziomie sieci to obie opcje.
  • Włącz tryby wzmocnione. Główne platformy mobilne oferują ustawienia wysokiego bezpieczeństwa przeznaczone dla osób o podwyższonym ryzyku ataków ukierunkowanych. Wymieniają one część wygody na mniejszą powierzchnię ataku, co jest rozsądnym kompromisem dla dziennikarzy, aktywistów i podobnych użytkowników.
  • Ogranicz to, co działa w tle. Usuń aplikacje, których nie używasz, ogranicz aplikacje pełne reklam i utrzymuj przeglądarki oraz aplikacje w aktualnej wersji wraz z systemem operacyjnym.
  • Restartuj i obserwuj. Regularne ponowne uruchamianie oraz zwracanie uwagi na nietypowe zużycie baterii, przegrzewanie lub awarie nie są dowodem na nic, ale to tanie nawyki. Redakcje z personelem IT lub bezpieczeństwa powinny poprosić ich o przegląd urządzeń pracowników zajmujących się wrażliwymi tematami.

Organizacje również mają swoją rolę. Medium może ustalić politykę bazową wymagającą aktualizacji, obowiązkowych trybów wzmocnionych dla reporterów wysokiego ryzyka i zatwierdzonego blokowania reklam na urządzeniach służbowych, zamiast pozostawiać każdemu reporterowi samodzielne rozwiązywanie tego problemu.

Zero-day w Palo Alto: przypomnienie o łataniu urządzeń brzegowych

Ten sam przegląd odnotował, że zero-day w zaporach ogniowych Palo Alto jest wykorzystywany. Nie mamy szczegółów z podsumowania poza tym, więc sprawdź własne biuletyny bezpieczeństwa dostawcy dotyczące dotkniętych wersji i poprawek. Lekcja pokrywa się z historią oprogramowania szpiegującego: atakujący celują w oprogramowanie, które ludzie zakładają, że ich chroni. Zapory ogniowe i inne urządzenia brzegowe znajdują się między siecią a internetem, co czyni je cennymi celami, a wykorzystany zero-day oznacza, że ataki mają miejsce przed udostępnieniem poprawki lub w momencie jej udostępniania.

Jeśli zarządzasz takim sprzętem, traktuj wytyczne dostawcy jako pilne, ogranicz interfejsy zarządzania przed publiczną ekspozycją, gdzie to możliwe, i przeglądaj logi pod kątem nietypowej aktywności. Przegląd wspomniał również o krytycznej luce w Drupalu, którą właściciele witryn działających na tej platformie powinni sprawdzić w oficjalnych komunikatach bezpieczeństwa.

Co to oznacza dla Ciebie

Jeśli jesteś dziennikarzem, badaczem, aktywistą lub kimkolwiek, kto może zainteresować rząd lub kontrahenta nadzoru, „nie klikam dziwnych linków" już nie wystarcza. Ryzyko może nadejść poprzez zwykłe przeglądanie sieci. Dla większości innych czytelników praktyczne ryzyko jest niższe, ale kroki, które pomagają użytkownikom wysokiego ryzyka, przynoszą korzyść wszystkim: aktualizacje, blokowanie reklam i rozsądne podejście do tego, które aplikacje zatrzymujesz.

Zarzut podsłuchu w OpenAI to osobna historia, ale wpisuje się w pewien motyw: zagrożenia nadzorem obejmują zarówno zdalne oprogramowanie, jak i fizyczne urządzenia, a wrażliwe rozmowy zasługują na ostrożność w obu tych światach.

Najważniejsze wnioski

  • Bezklikowe oprogramowanie szpiegujące przez złośliwe reklamy, które dziennikarze mogą zobaczyć, może skompromitować urządzenie bez żadnego kliknięcia, więc sama ostrożność z linkami nie jest obroną.
  • VPN chroni Twoje połączenie, a nie urządzenie przed złośliwą treścią, więc nie polegaj na nim w przypadku tego zagrożenia.
  • Instaluj aktualizacje systemu operacyjnego i przeglądarki, gdy tylko są dostępne.
  • Włącz tryby blokady lub wzmocnione na telefonie i używaj blokowania reklam.
  • Szybko łataj urządzenia brzegowe, takie jak zapory ogniowe Palo Alto, i postępuj zgodnie z biuletynami dostawcy.

Aby zapoznać się z udokumentowanym przykładem kompromitacji przez złośliwe reklamy, przeczytaj nasz artykuł o śledztwie Citizen Lab w sprawie Al Jazeera, a następnie poświęć dziś dziesięć minut na aktualizację urządzeń i włączenie najsilniejszych dostępnych zabezpieczeń.