Um conselho de segurança familiar está começando a parecer incompleto: não clique em links suspeitos. Uma nova rodada de reportagens diz que spyware vem infectando dispositivos de jornalistas por meio de anúncios nos quais eles nunca clicaram. O mesmo resumo de notícias também destacou um zero-day explorado em firewalls Palo Alto, uma falha crítica no Drupal e acusações criminais contra um engenheiro da OpenAI acusado de instalar escutas em uma sala de executivos. O primeiro item é o mais importante para quem trabalha com fontes sensíveis, porque spyware de clique zero entregue por meio de anúncios maliciosos que jornalistas encontram enquanto navegam muda o que a defesa pessoal deve ser.

Como spyware de anúncios de clique zero chega aos jornalistas

A palavra-chave é "clique zero". O phishing tradicional precisa que uma pessoa abra um arquivo ou toque em um link. Um ataque de clique zero não precisa de nenhuma ação do alvo. Aqui, o canal de entrega é a publicidade online: um anúncio é exibido para uma pessoa específica, e esse anúncio é suficiente para iniciar um comprometimento.

De acordo com a cobertura da pesquisa do The Citizen Lab, a unidade de pesquisa de direitos digitais da Universidade de Toronto, esta é a primeira vez que evidências técnicas são divulgadas publicamente mostrando spyware mercenário sofisticado distribuído por meio de anúncios direcionados. Algumas reportagens também descrevem uma agência de publicidade israelense veiculando anúncios que deixavam as pessoas que os viam expostas a ataques de spyware. Temos apenas detalhes de nível de resumo sobre a mecânica técnica, então trate os detalhes com cautela até que a pesquisa completa seja lida.

O padrão mais amplo, porém, é claro. As redes de publicidade são construídas para selecionar públicos específicos e entregar conteúdo a eles sem o envolvimento deles. Essa mesma precisão é atraente para fornecedores de vigilância que querem alcançar uma pessoa específica, como um repórter, sem que a pessoa faça nada de errado. Um caso anterior envolveu dezenas de dispositivos em uma organização de mídia: nossa reportagem sobre as descobertas do Citizen Lab sobre dispositivos da Al Jazeera hackeados via anúncios maliciosos cobre como a mesma categoria de ataque foi documentada ali.

Por que uma VPN sozinha não impede este ataque

Este é um site de privacidade, então a questão da VPN merece uma resposta direta. Uma VPN criptografa o tráfego entre seu dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Esses são benefícios reais, mas eles resolvem um problema diferente.

Um anúncio malicioso é entregue pela web normal, e o conteúdo ainda chega ao seu navegador ou aplicativo, independentemente de sua conexão estar ou não tunelada. Se o dispositivo subjacente tiver uma vulnerabilidade não corrigida que o conteúdo do anúncio possa explorar, a VPN não muda isso. Alguns produtos de VPN incluem bloqueio de anúncios ou rastreadores no nível de DNS, o que pode reduzir a exposição, mas isso é um recurso separado e não uma garantia. Uma VPN é uma camada, e não deve ser confundida com proteção contra spyware entregue por meio do conteúdo que você carrega.

Proteções que reduzem a exposição: atualizações, bloqueadores de anúncios e modos de bloqueio

Nenhuma etapa isolada torna uma pessoa imune a um atacante bem financiado, mas várias medidas estreitam a abertura.

  • Instale atualizações prontamente. Spyware desse tipo depende de falhas de software. Atualizações do sistema operacional e do navegador fecham essas falhas, então atrasá-las mantém a porta aberta por mais tempo.
  • Use um bloqueador de anúncios. Se a rota de infecção é um anúncio, então não carregar o anúncio remove o caminho de entrega. Bloqueadores baseados no navegador e filtragem no nível de rede são ambas opções.
  • Ative os modos reforçados. As principais plataformas móveis oferecem configurações de alta segurança destinadas a pessoas com risco elevado de ataques direcionados. Elas trocam um pouco de conveniência por uma superfície de ataque menor, o que é uma troca razoável para jornalistas, ativistas e usuários semelhantes.
  • Reduza o que roda em segundo plano. Remova aplicativos que você não usa, limite aplicativos com muitos anúncios e mantenha navegadores e aplicativos atualizados junto com o sistema operacional.
  • Reinicie e monitore. Reinicializações regulares e atenção a consumo incomum de bateria, aquecimento ou travamentos não são prova de nada, mas são hábitos baratos. Redações com equipe de TI ou segurança devem pedir que eles revisem os dispositivos de funcionários que cobrem pautas sensíveis.

As organizações também têm um papel. Um veículo de mídia pode definir uma política de base exigindo atualizações, modos reforçados obrigatórios para repórteres de alto risco e bloqueio de anúncios aprovado em dispositivos de trabalho, em vez de deixar cada repórter descobrir isso sozinho.

Zero-day no Palo Alto: um lembrete para corrigir dispositivos de borda

O mesmo resumo observou que um zero-day em firewalls Palo Alto está sendo explorado. Não temos detalhes do resumo além disso, então consulte os próprios avisos do fornecedor para versões afetadas e correções. A lição se sobrepõe à história do spyware: os atacantes vão atrás do software que as pessoas assumem que as está protegendo. Firewalls e outros dispositivos de borda ficam entre uma rede e a internet, o que os torna alvos valiosos, e um zero-day explorado significa que os ataques estão acontecendo antes ou no momento em que uma correção se torna disponível.

Se você gerencia esse tipo de equipamento, trate a orientação do fornecedor como urgente, restrinja interfaces de gerenciamento da exposição pública quando possível e revise os logs em busca de atividade incomum. O resumo também mencionou uma falha crítica no Drupal, que os proprietários de sites que executam essa plataforma devem verificar nos avisos de segurança oficiais.

O que isso significa para você

Se você é jornalista, pesquisador, ativista ou qualquer pessoa que possa interessar a um governo ou a um contratante de vigilância, "eu não clico em links estranhos" não é mais suficiente. O risco pode chegar pela navegação comum. Para a maioria dos outros leitores, o risco prático é menor, mas as etapas que ajudam usuários de alto risco também beneficiam todos: atualizações, bloqueio de anúncios e uma abordagem sensata sobre quais aplicativos manter.

A acusação de escuta contra a OpenAI é uma história separada, mas se encaixa em um tema: as ameaças de vigilância vão de software remoto a dispositivos físicos, e conversas sensíveis merecem cuidado em ambos os mundos.

Principais conclusões

  • Spyware de clique zero por anúncios maliciosos que jornalistas podem ver pode comprometer um dispositivo sem nenhum clique, então a cautela com links sozinha não é defesa.
  • Uma VPN protege sua conexão, não seu dispositivo contra conteúdo de exploração, então não confie nela para esta ameaça.
  • Aplique atualizações do sistema operacional e do navegador assim que estiverem disponíveis.
  • Ative modos de bloqueio ou reforçados no seu telefone e use bloqueio de anúncios.
  • Corrija rapidamente dispositivos de borda, como firewalls Palo Alto, e siga os avisos do fornecedor.

Para um exemplo documentado de comprometimento por anúncios maliciosos, leia nossa cobertura da investigação do Citizen Lab sobre a Al Jazeera, depois passe dez minutos hoje atualizando seus dispositivos e ativando as proteções mais fortes que eles oferecem.