Na semana passada, pesquisadores do Citizen Lab revelaram uma nova campanha de malware que batizaram de "AdFection". De acordo com o relato da Electronic Frontier Foundation sobre as descobertas, a campanha usou uma rede de anúncios para entregar spyware aos dispositivos de jornalistas, infectando-os sem que o alvo precisasse clicar em nada. Spyware zero-click entregue por malvertising do AdFection é um lembrete de que os anúncios que carregam silenciosamente em segundo plano na navegação e nos aplicativos do dia a dia podem se tornar um vetor de ataque.
O material de origem disponível para nós é breve, então este post se atém ao que foi reportado e foca nas questões práticas que os leitores provavelmente farão.
Como o AdFection entregou spyware por meio de uma rede de anúncios
O cerne da campanha, conforme descrito pela EFF, é o método de entrega. Em vez de enviar ao alvo um link suspeito ou um anexo, os atacantes usaram uma rede de anúncios para empurrar spyware aos dispositivos de jornalistas. O alvo não precisou tocar, abrir ou aprovar nada.
É isso que "zero-click" significa: o comprometimento acontece sem interação do usuário. Malvertising, ou seja, o abuso de sistemas de publicidade para entregar conteúdo malicioso, não é novo como conceito. O que se destaca aqui é a combinação de um canal de entrega confiável e cotidiano com nenhuma ação exigida da vítima, direcionado a um grupo que já é fortemente visado.
A EFF descreve esse tipo de ataque contra jornalistas como perigoso, e o raciocínio é direto. Jornalistas lidam com fontes confidenciais e comunicações sensíveis, e um celular comprometido pode expor tudo isso.
Por que o malvertising zero-click importa além dos jornalistas
O AdFection foi reportado como uma campanha voltada a jornalistas, mas o mecanismo não é exclusivo deles. Redes de anúncios alcançam um número enorme de pessoas por meio de sites e aplicativos. Qualquer caminho de entrega que dependa dessa infraestrutura levanta uma questão mais ampla sobre quanta exposição os usuários comuns têm a conteúdo que nunca escolheram carregar.
Essa classe de ameaça também costuma ser discutida ao lado de outros casos de spyware zero-click. Para um exemplo recente, veja nosso relatório sobre como a Al Jazeera afirma que spyware ligado ao Candiru atingiu 45 dispositivos de funcionários, em que dados teriam sido extraídos de dispositivos de jornalistas e funcionários sem qualquer ação dos usuários.
A maioria dos leitores provavelmente não é o alvo pretendido de uma campanha como essa. Ainda assim, as defesas que reduzem o risco para usuários de alto risco costumam ser gratuitas, integradas ao dispositivo e valem a pena ser adotadas amplamente.
O que uma VPN protege e o que não protege
É tentador supor que uma VPN resolve um problema como esse. É mais preciso ser específico sobre o que uma VPN faz.
Uma VPN criptografa seu tráfego entre o dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Isso ajuda com privacidade em redes não confiáveis e com a limitação de algumas formas de rastreamento por IP.
O que uma VPN não faz, por si só, é impedir conteúdo malicioso que é entregue pela conexão quando ele chega ao seu dispositivo. Se o spyware chega por meio de um anúncio que seu navegador ou aplicativo carrega, o túnel VPN simplesmente transporta esse conteúdo como qualquer outro tráfego. Uma VPN padrão não corrige falhas de software e não torna seu dispositivo imune a exploração.
Alguns produtos de VPN incluem recursos opcionais de bloqueio de anúncios ou de domínios. Eles podem reduzir a exposição a conteúdo publicitário, mas são uma camada de filtragem, não uma garantia, e sua qualidade varia. Trate a VPN como uma ferramenta de privacidade entre várias, não como uma defesa contra spyware.
Defesas práticas: atualizações, bloqueadores de anúncios e o Modo Isolamento
Para ameaças zero-click, algumas medidas são as mais importantes.
- Instale atualizações prontamente. Ataques zero-click normalmente dependem de vulnerabilidades de software. Atualizações do sistema operacional e do navegador são a forma mais direta de fechá-las.
- Use um bloqueador de anúncios. Se o caminho de entrega é uma rede de anúncios, bloquear anúncios remove uma parte dessa exposição. Use um bloqueador respeitável, no navegador e, quando possível, no nível do dispositivo ou da rede.
- Ative o Modo Isolamento se você estiver em maior risco. Em dispositivos Apple compatíveis, o Modo Isolamento é uma configuração opcional que reduz a superfície de ataque para pessoas que podem ser alvo de spyware sofisticado. Ele limita alguns recursos, e esse é o trade-off.
- Reduza o que roda no seu dispositivo. Remova aplicativos que você não usa, já que cada um pode carregar seus próprios componentes de anúncios.
O que isso significa para você
Se você é jornalista, ativista ou alguém que pode ser alvo, trate o AdFection como um incentivo para reforçar seus dispositivos agora, e não depois de um incidente. Se você é um usuário comum, o risco de ser singled out é menor, mas os mesmos hábitos custam pouco e também protegem contra muitas outras ameaças.
Mantenha as expectativas realistas. Uma VPN é útil para o que foi projetada a fazer, mas não impedirá sozinha spyware entregue por anúncios. Atualizações, bloqueio de anúncios e o Modo Isolamento quando apropriado são os passos com a conexão mais clara com esse tipo de ataque.
Principais conclusões
O malvertising com spyware zero-click do AdFection mostra que uma campanha pode alcançar um alvo por meio de infraestrutura publicitária comum sem exigir nenhum clique. Hoje, você pode:
- Aplicar atualizações pendentes do sistema operacional, do navegador e dos aplicativos.
- Ativar um bloqueador de anúncios respeitável.
- Ativar o Modo Isolamento se você estiver em maior risco.
- Ler sobre o spyware ligado ao Candiru supostamente encontrado em dispositivos da Al Jazeera para ver outro exemplo recente da mesma classe de ameaça zero-click.
Nenhum desses passos é complicado, e juntos eles elevam significativamente a barra para os atacantes.
