Один из привычных советов по безопасности начинает выглядеть неполным: не нажимайте на подозрительные ссылки. Новый раунд репортажей утверждает, что шпионское ПО заражало устройства журналистов через рекламу, по которой они никогда не кликали. Тот же новостной дайджест также отметил эксплуатируемую уязвимость нулевого дня в межсетевых экранах Palo Alto, критическую уязвимость в Drupal и уголовные обвинения против инженера OpenAI, которого обвиняют в установке прослушки в комнате для руководителей. Первый пункт важнее всего для тех, кто работает с чувствительными источниками, потому что zero-click-шпионское ПО, доставляемое через вредоносную рекламу, с которой журналисты сталкиваются при просмотре веб-страниц, меняет представление о том, как выглядит личная защита.

Как zero-click рекламное шпионское ПО достигает журналистов

Ключевое слово — «zero-click» (без кликов). Традиционный фишинг требует, чтобы человек открыл файл или нажал на ссылку. Атака zero-click не требует никаких действий от цели. Здесь каналом доставки служит интернет-реклама: объявление показывается конкретному человеку, и этого объявления достаточно, чтобы начать компрометацию.

Согласно публикациям об исследовании The Citizen Lab — подразделения по исследованию цифровых прав при Университете Торонто, — это первый случай публичного обнародования технических доказательств, показывающих распространение сложного наёмного шпионского ПО через таргетированную рекламу. Некоторые репортажи также описывают израильское рекламное агентство, размещавшее объявления, которые оставляли увидевших их людей уязвимыми для атак шпионского ПО. У нас есть только детали на уровне сводки о технических механизмах, поэтому относитесь к конкретным деталям с осторожностью, пока не прочитано полное исследование.

Тем не менее общая картина ясна. Рекламные сети созданы для того, чтобы выделять определённые аудитории и доставлять им контент без их участия. Эта же точность привлекательна для поставщиков средств слежки, которые хотят охватить конкретного человека, например репортёра, так, чтобы этот человек ничего не сделал неправильно. В более раннем случае фигурировали десятки устройств в одной медиаорганизации: наш отчёт о выводах Citizen Lab о взломе устройств Al Jazeera через вредоносную рекламу описывает, как та же категория атаки была задокументирована там.

Почему одного VPN недостаточно для остановки этой атаки

Это сайт о приватности, поэтому на вопрос о VPN стоит ответить напрямую. VPN шифрует трафик между вашим устройством и VPN-сервером и скрывает ваш IP-адрес от посещаемых сайтов. Это реальные преимущества, но они решают другую проблему.

Вредоносная реклама доставляется через обычный веб, и её содержимое всё равно достигает вашего браузера или приложения независимо от того, зашифрован ли ваш канал. Если в самом устройстве есть неустранённая уязвимость, которую может использовать содержимое объявления, VPN этого не меняет. Некоторые VPN-продукты включают блокировку рекламы или трекеров на уровне DNS, что может снизить подверженность риску, но это отдельная функция, а не гарантия. VPN — это один слой, и его не следует путать с защитой от шпионского ПО, доставляемого через загружаемый вами контент.

Меры защиты, снижающие подверженность риску: обновления, блокировщики рекламы и режимы блокировки

Ни один отдельный шаг не делает человека невосприимчивым к хорошо финансируемому злоумышленнику, но несколько мер сужают возможности для атаки.

  • Устанавливайте обновления promptly. Шпионское ПО такого рода зависит от программных уязвимостей. Обновления операционной системы и браузера закрывают эти уязвимости, поэтому их задержка дольше оставляет дверь открытой.
  • Используйте блокировщик рекламы. Если путь заражения — это реклама, то отказ от загрузки рекламы устраняет путь доставки. Браузерные блокировщики и сетевая фильтрация — оба варианта.
  • Включайте усиленные режимы. Крупные мобильные платформы предлагают настройки повышенной безопасности, предназначенные для людей с повышенным риском целенаправленных атак. Они обменивают часть удобства на меньшую поверхность атаки, что является разумным компромиссом для журналистов, активистов и подобных пользователей.
  • Сократите то, что работает в фоновом режиме. Удалите неиспользуемые приложения, ограничьте приложения с интенсивной рекламой и поддерживайте браузеры и приложения в актуальном состоянии наряду с операционной системой.
  • Перезагружайте и следите. Регулярные перезагрузки и внимание к необычному расходу батареи, нагреву или сбоям не являются доказательством чего-либо, но это дешёвые привычки. Редакции с IT- или security-специалистами должны попросить их проверить устройства сотрудников, освещающих чувствительные темы.

У организаций тоже есть роль. Медиаиздание может установить базовую политику, требующую обновлений, обязательных усиленных режимов для журналистов повышенного риска и одобренной блокировки рекламы на рабочих устройствах, вместо того чтобы оставлять каждого репортёра разбираться с этим в одиночку.

Zero-day в Palo Alto: напоминание об обновлении пограничных устройств

Тот же дайджест отметил, что эксплуатируется уязвимость нулевого дня в межсетевых экранах Palo Alto. У нас нет подробностей из сводки помимо этого, поэтому проверяйте собственные рекомендации производителя касательно затронутых версий и исправлений. Урок перекликается с историей о шпионском ПО: злоумышленники атакуют программное обеспечение, которое люди считают своей защитой. Межсетевые экраны и другие пограничные устройства находятся между сетью и интернетом, что делает их ценными целями, а эксплуатируемая уязвимость нулевого дня означает, что атаки происходят до или в момент появления исправления.

Если вы управляете таким оборудованием, относитесь к рекомендациям производителя как к срочным, по возможности ограничьте доступ к интерфейсам управления из публичных сетей и просматривайте журналы на предмет необычной активности. Дайджест также упомянул критическую уязвимость в Drupal — владельцам сайтов на этой платформе следует свериться с официальными уведомлениями по безопасности.

Что это значит для вас

Если вы журналист, исследователь, активист или кто-либо, кто может заинтересовать правительство или подрядчика по слежке, «я не нажимаю на странные ссылки» больше не достаточно. Риск может прийти через обычный просмотр веб-страниц. Для большинства других читателей практический риск ниже, но шаги, которые помогают пользователям высокого риска, также приносят пользу всем: обновления, блокировка рекламы и разумный подход к тому, какие приложения вы держите.

Обвинение в прослушке в OpenAI — отдельная история, но оно вписывается в тему: угрозы слежки варьируются от удалённого программного обеспечения до физических устройств, и конфиденциальные разговоры заслуживают осторожности в обоих мирах.

Ключевые выводы

  • Zero-click шпионское ПО вредоносная реклама, которую могут увидеть журналисты, может скомпрометировать устройство без единого клика, поэтому одна лишь осторожность со ссылками не является защитой.
  • VPN защищает ваше соединение, а не ваше устройство от эксплуатирующего контента, поэтому не полагайтесь на него в отношении этой угрозы.
  • Устанавливайте обновления операционной системы и браузера, как только они становятся доступны.
  • Включите режимы блокировки или усиленные режимы на телефоне и используйте блокировку рекламы.
  • Оперативно обновляйте пограничные устройства, такие как межсетевые экраны Palo Alto, и следуйте рекомендациям производителей.

Чтобы ознакомиться с задокументированным примером компрометации через вредоносную рекламу, прочитайте наш материал о расследовании Citizen Lab в отношении Al Jazeera, а затем потратьте десять минут сегодня на обновление своих устройств и включение самых сильных доступных им защит.