На прошлой неделе исследователи из Citizen Lab раскрыли новую вредоносную кампанию, которую они назвали «AdFection». Согласно отчёту Electronic Frontier Foundation о результатах, кампания использовала рекламную сеть для доставки шпионского ПО на устройства журналистов, заражая их без необходимости для цели кликать по чему-либо. Шпионское ПО AdFection с zero-click доставкой через вредоносную рекламу — это напоминание о том, что реклама, тихо загружающаяся в фоне при повседневном просмотре веб-страниц и в приложениях, может стать путём атаки.
Доступный нам исходный материал краток, поэтому этот пост придерживается того, что было сообщено, и сосредоточен на практических вопросах, которые читатели, вероятно, зададут.
Как AdFection доставляла шпионское ПО через рекламную сеть
Суть кампании, как описывает EFF, — это метод доставки. Вместо того чтобы отправить цели подозрительную ссылку или вложение, злоумышленники использовали рекламную сеть, чтобы протолкнуть шпионское ПО на устройства журналистов. Цели не нужно было нажимать, открывать или одобрять что-либо.
Именно это означает «zero-click»: компрометация происходит без взаимодействия с пользователем. Вредоносная реклама, то есть злоупотребление рекламными системами для доставки вредоносного контента, как концепция не нова. Что выделяется здесь — это сочетание доверенного, повседневного канала доставки без необходимости каких-либо действий со стороны жертвы, нацеленного на группу, которая и без того является объектом интенсивных атак.
EFF описывает такого рода атаку на журналистов как опасную, и логика здесь прямолинейна. Журналисты работают с конфиденциальными источниками и чувствительными коммуникациями, и скомпрометированный телефон может раскрыть всё это.
Почему zero-click вредоносная реклама важна не только для журналистов
AdFection была описана как кампания, нацеленная на журналистов, но механизм не является исключительно их проблемой. Рекламные сети охватывают огромное число людей через веб-сайты и приложения. Любой путь доставки, опирающийся на эту инфраструктуру, поднимает более широкий вопрос о том, насколько обычные пользователи подвержены воздействию контента, который они никогда не выбирали загружать.
Этот класс угроз также обычно обсуждается наряду с другими случаями zero-click шпионского ПО. В качестве недавнего примера см. наш отчёт о том, как Al Jazeera сообщает, что шпионское ПО, связанное с Candiru, поразило 45 устройств сотрудников, где данные, по сообщениям, были извлечены с устройств журналистов и сотрудников без каких-либо действий пользователей.
Большинство читателей вряд ли являются предполагаемой целью подобной кампании. Тем не менее меры защиты, снижающие риск для пользователей из групп высокого риска, часто бесплатны, встроены в устройство и заслуживают широкого применения.
От чего VPN защищает, а от чего — нет
Соблазнительно предположить, что VPN решает подобную проблему. Точнее будет конкретно сказать, что делает VPN.
VPN шифрует ваш трафик между вашим устройством и VPN-сервером и скрывает ваш IP-адрес от сайтов, которые вы посещаете. Это помогает с приватностью в недоверенных сетях и с ограничением некоторых форм отслеживания по IP.
Чего VPN сам по себе не делает — не останавливает вредоносный контент, доставляемый через соединение, как только он достигает вашего устройства. Если шпионское ПО прибывает через рекламу, которую загружает ваш браузер или приложение, VPN-туннель просто переносит этот контент, как и любой другой трафик. Стандартный VPN не закрывает уязвимости программного обеспечения и не делает ваше устройство неуязвимым к эксплуатации.
Некоторые VPN-продукты включают опциональные функции блокировки рекламы или доменов. Они могут снизить подверженность рекламному контенту, но это слой фильтрации, а не гарантия, и его качество варьируется. Рассматривайте VPN как один инструмент приватности среди нескольких, а не как защиту от шпионского ПО.
Практические меры защиты: обновления, блокировщики рекламы и Lockdown Mode
Для zero-click угроз несколько мер имеют наибольшее значение.
- Своевременно устанавливайте обновления. Zero-click атаки обычно зависят от уязвимостей программного обеспечения. Обновления операционной системы и браузера — самый прямой способ их закрыть.
- Используйте блокировщик рекламы. Если путь доставки — рекламная сеть, блокировка рекламы убирает значительную часть этой подверженности. Используйте надёжный блокировщик в браузере и, где возможно, на уровне устройства или сети.
- Включите Lockdown Mode, если вы в группе повышенного риска. На поддерживаемых устройствах Apple Lockdown Mode — это опциональная настройка, которая уменьшает поверхность атаки для людей, которые могут стать целью изощрённого шпионского ПО. Она ограничивает некоторые функции — таков компромисс.
- Сократите то, что работает на вашем устройстве. Удалите неиспользуемые приложения, поскольку каждое из них может нести собственные рекламные компоненты.
Что это значит для вас
Если вы журналист, активист или кто-то ещё, кто может стать целью, воспринимайте AdFection как повод укрепить свои устройства сейчас, а не после инцидента. Если вы обычный пользователь, риск стать избранной целью ниже, но те же привычки стоят немного и защищают также от многих других угроз.
Сохраняйте реалистичные ожидания. VPN полезен для того, для чего он предназначен, но сам по себе он не остановит шпионское ПО, доставляемое через рекламу. Обновления, блокировка рекламы и Lockdown Mode там, где это уместно, — шаги с наиболее ясной связью с этим типом атак.
Ключевые выводы
Шпионское ПО AdFection с zero-click доставкой через вредоносную рекламу показывает, что кампания может достичь цели через обычную рекламную инфраструктуру без необходимости клика. Сегодня вы можете:
- Установить ожидающие обновления операционной системы, браузера и приложений.
- Включить надёжный блокировщик рекламы.
- Включить Lockdown Mode, если вы в группе повышенного риска.
- Прочитать о шпионском ПО, связанном с Candiru, которое, по сообщениям, обнаружено на устройствах Al Jazeera, чтобы увидеть ещё один недавний пример того же класса zero-click угроз.
Ни один из этих шагов не сложен, и вместе они существенно повышают планку для злоумышленников.
