Исследователи из The Citizen Lab впервые опубликовали технические доказательства того, что сложное наёмное шпионское ПО распространяется через онлайн-рекламу. Материал WIRED назвал это «сценарием кошмара», и это описание точное: шпионское ПО с нулевым кликом, доставляемое через таргетированную рекламу, может превратить обычную рекламную экосистему в канал доставки инструментов слежки. В этом материале объясняется, что было опубликовано, как в целом работает этот класс атак и какие меры защиты стоят вашего времени.

Одна оговорка о рамках: доступные нам исходные материалы кратки, поэтому мы ограничиваем конкретику тем, что было опубликовано. Там, где мы описываем, как в целом работают атаки через рекламу, мы объясняем концепцию, а не добавляем детали об этом конкретном случае.

Что обнаружила Citizen Lab

Citizen Lab — исследовательская группа, известная расследованиями цифровых угроз в отношении журналистов, активистов и других представителей гражданского общества. Согласно публикациям, её исследователи теперь представили технические доказательства того, что наёмное шпионское ПО, то есть коммерческие инструменты слежки, продаваемые платёжеспособным заказчикам, может доставляться через онлайн-рекламу.

Ключевое слово здесь — «впервые». Специалисты по безопасности давно предупреждали, что рекламные сети можно использовать таким образом, но именно публично опубликованное техническое доказательство переводит проблему из теоретической в документированную. Поэтому эта находка важна, даже если вы не являетесь вероятной целью.

Как шпионское ПО с нулевым кликом распространяется через рекламу

Атака с нулевым кликом не требует никаких действий от жертвы. Нет подозрительной ссылки, по которой нужно нажать, и нет вложения, которое нужно открыть. Устройство компрометируется просто в процессе обработки того, что ему было отправлено.

Онлайн-реклама — правдоподобный носитель по нескольким причинам:

  • Реклама загружается автоматически. Веб-страницы и приложения запрашивают и отображают рекламный контент в фоновом режиме без какого-либо осознанного выбора с вашей стороны.
  • Реклама таргетирована. Рекламные системы созданы для охвата определённых аудиторий, а значит, злоумышленник в принципе может нацелить контент на узкую группу, а не на широкую публику.
  • Рекламные цепочки сложны. Контент часто проходит через несколько посредников, прежде чем попасть на экран, что затрудняет проверку всего процесса для любой отдельной стороны.

На практике это означает, что та же инфраструктура, которая позволяет рекламодателям находить определённый тип пользователей, может помочь злоумышленнику найти конкретного человека. У нас нет дополнительных технических деталей о точном механизме из исходного материала, поэтому читателям, желающим получить полный анализ, следует обратиться напрямую к опубликованному исследованию Citizen Lab.

Почему телефоны и таргетинг рекламы оставляют пользователей уязвимыми

Телефоны — привлекательные цели, потому что они хранят сообщения, историю местоположений, фотографии и учётные данные, и они почти всегда подключены к сети. Они также постоянно отображают сторонний контент внутри браузеров и приложений.

Таргетинг рекламы добавляет второй уровень уязвимости. Брокеры данных и рекламные платформы собирают сигналы о том, кто вы и куда ходите, и именно эти сигналы делают возможным точный таргетинг. Чем больше таких данных циркулирует, тем легче мотивированному покупателю наёмного шпионского ПО выделить конкретного человека.

Именно поэтому реальный риск неравномерен. Наёмное шпионское ПО дорого и исторически связано с высокоценными целями, такими как журналисты, диссиденты и чиновники, а не с обычными пользователями. Большинство людей вряд ли станут намеченной жертвой. Но метод доставки, использующий инфраструктуру массовой рекламы, стоит понимать, потому что меры защиты, помогающие против него, помогают и против более распространённых угроз.

Что снижает ваш риск (и где место VPN)

Ни один инструмент не остановит такую атаку в одиночку. Разумный ответ — многоуровневый подход.

Обновляйте свои устройства. Шпионское ПО полагается на уязвимости программного обеспечения, а обновления их закрывают. Наш материал о том, как Lazarus Group использовала уязвимость ядра Windows до августовского патча, показывает, как злоумышленники могут использовать уязвимость до появления исправления, и почему своевременная установка патчей всё равно важна, когда оно появляется.

Используйте Lockdown Mode, если вы подвержены повышенному риску. Lockdown Mode от Apple разработан для людей, которые могут столкнуться с целевыми атаками. Он уменьшает поверхность атаки устройства ценой некоторых функций. Если вы журналист, активист или работаете в чувствительной сфере, стоит рассмотреть его использование.

Проверьте настройки отслеживания рекламы. Ограничение персонализации рекламы и сброс или ограничение вашего рекламного идентификатора сокращают данные, доступные для таргетинга. Блокировка контента на уровне браузера также может уменьшить объём загружаемого стороннего рекламного контента.

Понимайте, что VPN делает и чего не делает. VPN шифрует ваш трафик между устройством и VPN-сервером и может скрыть ваш IP-адрес от посещаемых сайтов. Это может сократить некоторые сигналы отслеживания. Он не патчит ваш телефон и не останавливает скомпрометированное устройство от обработки вредоносного контента. Относитесь к нему как к одному ограниченному уровню защиты, а не как к щиту от эксплойтов с нулевым кликом.

Что это значит для вас

Для большинства читателей это исследование — сигнал, а не повод для паники. Документированное использование наёмного шпионского ПО нацелено на небольшое число людей, и находка не означает, что обычный просмотр рекламы сегодня с большой вероятностью скомпрометирует ваш телефон. Но она показывает, что рекламную инфраструктуру можно превратить в канал атаки, что усиливает аргументы в пользу базовой гигиены: актуальное программное обеспечение, меньше трекеров и снижение воздействия ненужного стороннего контента.

Если вы работаете с чувствительной информацией или у вас есть основания полагать, что можете стать целью, планка выше. Сочетайте обновления, Lockdown Mode и более строгий контроль рекламы, а также рассмотрите возможность обращения за guidance к организациям по цифровой безопасности, поддерживающим группы повышенного риска.

Ключевые выводы

  • Обновляйте телефон и приложения, как только доступны патчи.
  • Включите Lockdown Mode, если вы подвержены повышенному риску.
  • Ограничьте персонализацию рекламы и сбросьте или ограничьте ваш рекламный идентификатор.
  • Рассмотрите блокировщик контента, чтобы уменьшить загрузку сторонней рекламы.
  • Используйте VPN для приватности, но не полагайтесь на него для остановки шпионского ПО с нулевым кликом через таргетированную рекламу.
  • Для более широкого контекста патчинга смотрите наш материал о девятом zero-day Windows, опубликованном исследователем Nightmare Eclipse.

Находка Citizen Lab — напоминание о том, что рекламная экосистема является частью вашей поверхности атаки. Вы не можете контролировать каждую рекламную сеть, но можете сузить лазейку несколькими продуманными настройками и последовательными обновлениями.