Новый отчёт Citizen Lab, освещённый The Globe and Mail, описывает, возможно, одно из самых тревожных применений рекламной экономики на сегодняшний день: рекламный шпионский софт с нулевым кликом, с которым журналистам никогда не приходилось взаимодействовать. Согласно отчёту, израильские компании организовали «атаку, доставленную через таргетированную рекламу», чтобы заразить устройства журналистов шпионским ПО. Те же механизмы, созданные для того, чтобы показывать вам обувь и стриминговые сервисы, иными словами, предположительно могут быть перепрофилированы для доступа к телефону конкретного человека.

Имеющееся у нас резюме короткое, поэтому этот пост придерживается того, что было сообщено, и объясняет более широкие концепции вокруг этого. Там, где детали недоступны, мы об этом говорим.

Что Citizen Lab обнаружила в атаках, доставленных через рекламу

Citizen Lab, исследовательская группа, известная расследованиями цифровых угроз против гражданского общества, пришла к выводу, что израильские компании осуществили атаку, доставленную через таргетированную рекламу. Целями были журналисты, а результатом стало шпионское ПО на их устройствах. В отчёте метод характеризуется как zero-click, то есть жертве не нужно было нажимать, скачивать или одобрять что-либо.

Доступные нам материалы не раскрывают всех технических деталей, таких как конкретные устройства, рекламные сети или число пострадавших, поэтому мы не будем о них догадываться. Ключевой вывод — это канал доставки: реклама, а не вредоносное письмо или подозрительное текстовое сообщение.

Как рекламный шпионский софт с нулевым кликом попадает на устройства журналистов

Атака с нулевым кликом работает без каких-либо действий жертвы. Вместо того чтобы убедить кого-то открыть плохую ссылку, атакующий полагается на автоматическую обработку контента программным обеспечением. Когда страница или приложение загружает рекламу, устройство само извлекает и отображает этот контент. Если атакующий может поместить вредоносный контент в этот поток, а на устройстве есть неисправленная уязвимость, заражение может произойти во время загрузки контента.

Это общее объяснение того, как могут работать атаки через рекламу, а не описание конкретного эксплойта из отчёта Citizen Lab. Для читателей важно понять принцип: всё, что ваше устройство загружает автоматически, потенциально является точкой входа, и это включает контент, который вы никогда не выбирали смотреть.

Техники с нулевым кликом не новы для мира шпионского ПО. В нашем материале о черве WeChat с нулевым кликом описывалось, как одного пропущенного звонка могло быть достаточно для компрометации широко используемого мессенджера. Рекламный маршрут добавляет новый поворот: атакующему не нужен ваш номер телефона или аккаунт — только способ показать вам контент.

Почему таргетированная реклама делает журналистов лёгкой целью

Таргетированная реклама существует, чтобы позволить покупателю выбрать, кто увидит сообщение. Аудиторию можно сузить по интересам, местоположению, типу устройства и другим сигналам. Эта точность — преимущество для легитимных маркетологов. Для поставщика средств слежки это способ нацелить атаку на конкретного человека или небольшую группу, не распространяя её широко, что также снижает вероятность обнаружения.

Журналисты — очевидная цель для такого прицеливания. Их работа, интересы и местоположение часто публичны, а на их устройствах могут храниться источники и неопубликованные материалы. Вывод Citizen Lab предполагает, что инфраструктура отслеживания, стоящая за повседневной рекламой, может служить и системой доставки шпионского ПО.

Что это значит для вас

Большинство читателей не являются намеченной целью подобной шпионской операции. Целевые атаки такого рода обычно дорогостоящи и направлены на конкретных людей. Но этот вывод всё равно важен для всех по двум причинам.

Во-первых, он показывает, что рекламный контент — это не просто раздражитель или проблема конфиденциальности. Это часть поверхности атаки вашего устройства. Во-вторых, меры защиты, помогающие против изощрённой атаки, также защищают вас от обычных угроз: своевременные обновления, меньше автоматических загрузок контента и более строгий контроль над тем, что принимает ваше устройство.

Если вы работаете в журналистике, правозащитной сфере, политике или любой области, где можете привлечь хорошо финансируемого противника, относитесь к своему риску как к повышенному и действуйте соответственно.

Практические шаги для снижения вашей уязвимости

Ни один шаг не делает вас невосприимчивым к атакам с нулевым кликом, но эти меры сокращают возможности:

  • Немедленно обновляйте операционную систему и приложения. Атаки с нулевым кликом обычно зависят от неисправленных уязвимостей. Экстренное исправление Google для нулевого дня Chrome, эксплуатируемого в дикой природе — хороший пример того, почему ожидание нескольких дней может иметь значение.
  • Поддерживайте браузер в актуальном состоянии. Браузеры постоянно обрабатывают рекламный контент, поэтому включите автоматические обновления и перезапускайте при появлении запроса.
  • Блокируйте рекламу и трекеры, где можете. Надёжный блокировщик контента или защиты на уровне браузера уменьшают объём стороннего рекламного контента, загружаемого вашим устройством. Это снижение риска, а не гарантия.
  • Включите режим блокировки, если вы в группе повышенного риска. На поддерживаемых устройствах Apple режим блокировки ограничивает функции, которые атакующие часто используют. Он обменивает часть удобства на меньшую поверхность атаки.
  • Ограничьте персонализацию рекламы. Отключите рекламные идентификаторы отслеживания в настройках устройства и откажитесь от персонализированной рекламы. Это делает вас сложнее выделить, хотя и не остановит все методы таргетирования.
  • Периодически перезагружайте устройство и удаляйте неиспользуемые приложения. Меньше приложений и регулярные перезагрузки оставляют меньше места для постоянных угроз.

Суть

Отчёт о рекламном шпионском ПО с нулевым кликом, с которым столкнулись журналисты, — напоминание о том, что граница между рекламными технологиями и технологиями слежки может быть тонкой. Вы не можете контролировать, что делают рекламные сети, но вы можете контролировать, как быстро исправляются ваши устройства и сколько недоверенного контента они загружают.

Сегодняшний список действий короток: установите ожидающие обновления на телефоне и в браузере прямо сейчас, включите автоматические обновления, и если вы в группе повышенного риска, включите режим блокировки. Эти несколько минут усилий закрывают бреши, от которых зависят подобные атаки.