Исследователи задокументировали случай шпионского ПО для нулевого клика через рекламу, с которым журналисты столкнулись в 2024 году, и это меняет наши представления о рисках повседневного просмотра веб-страниц. Al Jazeera и Citizen Lab опубликовали результаты расследования кампании, которую они называют «AdFection», в рамках которой наёмное шпионское ПО распространялось через онлайн-рекламу. Не требовалось ни нажатия, ни загрузки, ни подозрительной ссылки.

Вопрос о том, кто в конечном итоге выбрал целью журналистов, остаётся без ответа. По словам исследователей, им известно, кто способствовал атакам: две израильские компании, одна из которых уже около пяти лет находится в чёрном списке США.

Как AdFection доставляла шпионское ПО для нулевого клика через рекламу журналистам

Атака нулевого клика — это атака, не требующая никаких действий от жертвы. Традиционный фишинг зависит от того, откроете ли вы вложение или нажмёте на ссылку. Здесь каналом доставки была сама рекламная экосистема. Реклама загружается автоматически при загрузке страницы, поэтому вредоносное объявление может достичь устройства просто потому, что кто-то посетил веб-сайт.

Именно это делает технику тревожной. Рекламная сеть, о которой большинство читателей никогда не задумывается, становится дорогой, по которой движется шпионское ПО. Таргетированная реклама создана для выбора конкретных аудиторий, и та же точность, которая позволяет бренду достичь определённой демографической группы, теоретически может позволить злоумышленнику достичь конкретного человека.

В публичных сообщениях о исследовании упоминается рекламная компания под названием Discover-Tech и описывается, как создатели шпионского ПО использовали её для доступа к устройствам. Эти подробности взяты из вторичных источников, освещающих отчёт Citizen Lab, поэтому перед тем, как полагаться на них, сверьтесь с первоисточником для точного технического описания.

Что обнаружили Citizen Lab и Al Jazeera

Обе организации опубликовали собственные результаты. Журналисты Al Jazeera были среди пострадавших, а Citizen Lab — исследовательская группа Университета Торонто, известная расследованиями коммерческого шпионского ПО, — проанализировала кампанию и дала ей название AdFection. В нашем предыдущем материале о findings Citizen Lab о том, что реклама нулевого клика заражала устройства журналистов отчёт разбирается более подробно.

Из публикаций выделяются два момента:

  • Атрибуция неполная. Исследователи установили посредников, но не заказчика, выбравшего цели. Это типично для рынка наёмного шпионского ПО, где компания, создающая инструменты, и сторона, их использующая, часто различаются.
  • Была замешана компания из чёрного списка. Одна из двух израильских фирм находится в чёрном списке США примерно полдесятилетия. Это ставит трудные вопросы о том, как такая компания сохраняет связь с коммерческой инфраструктурой и более широкой цепочкой поставок рекламы.

Вторичные источники также описали этот случай как первый публично подтверждённый пример наёмного шпионского ПО нулевого клика, доставленного через таргетированную рекламу. Воспринимайте эту формулировку как характеристику работы Citizen Lab в изложении других, и обращайтесь к оригинальному отчёту за точными утверждениями.

Почему журналисты и активисты становятся целями

Наёмное шпионское ПО продаётся как инструмент наблюдения, и журналисты являются постоянной целью, потому что они владеют тем, что нужно другим: источниками, неопубликованными материалами и личной перепиской. Скомпрометированный телефон может раскрыть контакты, сообщения, местоположение и доступ к микрофону. Для репортёра, работающего над чувствительными темами, одна инфекция может подвергнуть риску источники, а не только самого репортёра.

Случай AdFection также показывает, почему угроза не ограничивается строго журналистами. Метод доставки опирается на инфраструктуру, которую используют все. Даже если конкретный человек был выбран целью, та же рекламная система обслуживает широкую публику. Большинство читателей вряд ли станут приоритетной целью для такого инструментария, но случай показывает, что механизм существует.

Что это значит для вас

Для большинства людей практический риск быть выбранным наёмным шпионским ПО низок. Тем не менее, результаты исследования напоминают, что ничего не нажимать не означает быть в безопасности, и что обычная веб-реклама может быть поверхностью атаки. Если вы журналист, активист, юрист или человек, работающий с чувствительной информацией, отнеситесь к этому серьёзнее.

Также стоит честно сказать о VPN. VPN шифрует трафик между вашим устройством и VPN-сервером и скрывает ваш IP-адрес от посещаемых сайтов. Он не мешает вредоносной рекламе загружаться в вашем браузере и не закрывает уязвимость на вашем телефоне. Один VPN не защищает от этого типа атак. Он остаётся полезным для других целей приватности, но здесь он не является защитой.

Что могут сделать читатели

Ни один шаг не устраняет риск полностью, но многоуровневые меры значительно его снижают:

  • Своевременно обновляйте операционную систему и браузер. Шпионское ПО, подобное этому, обычно зависит от программных уязвимостей, а обновления их закрывают.
  • Включите Lockdown Mode, если вы подвержены повышенному риску. Lockdown Mode от Apple предназначен для сокращения поверхности атаки для людей, которые могут стать целями. Пользователи Android могут поискать аналогичные настройки расширенной защиты.
  • Используйте блокировщик рекламы. Если канал доставки — реклама, блокировка рекламы на уровне браузера или DNS устраняет значительную часть экспозиции.
  • Регулярно перезагружайте устройство. Некоторые инфекции не выживают после перезагрузки, что может заставить злоумышленников начать заново.
  • Сократите то, что работает в браузере. Меньше расширений и минимальный набор приложений снижают количество мест, которые может использовать злоумышленник.
  • Обратитесь за экспертной помощью, если подозреваете заражение. Организации, поддерживающие группы риска, могут помочь с криминалистическими проверками.

Ключевые выводы

Случай AdFection показывает, что шпионское ПО для нулевого клика через рекламу, с которым журналисты столкнулись в 2024 году, доставлялось через ту же рекламную систему, которая обслуживает всех остальных. Атакующий до сих пор не установлен, но две израильские компании связаны с содействием этому. Держите устройства обновлёнными, рассмотрите Lockdown Mode, если вы подвержены повышенному риску, и блокируйте рекламу, где можете. Для получения полных подробностей прочитайте наше резюме отчёта Citizen Lab о рекламе нулевого клика и журналистах, затем ознакомьтесь с первоисточниками от Citizen Lab и Al Jazeera. И помните, что VPN, хотя и полезен, не является щитом от такого рода атак.