Förra veckan avslöjade forskare vid Citizen Lab en ny skadlig programvarukampanj som de döpte till "AdFection". Enligt Electronic Frontier Foundations rapport om fynden använde kampanjen ett annonsnätverk för att leverera spionprogramvara till journalisters enheter och infekterade dem utan att målet någonsin behövde klicka på något. AdFection zero-click spyware malvertising är en påminnelse om att annonser som laddas tyst i bakgrunden under vardagligt surfande och i appar kan bli en attackväg.

Källmaterialet som finns tillgängligt för oss är kortfattat, så det här inlägget håller sig till det som har rapporterats och fokuserar på de praktiska frågor som läsare sannolikt kommer att ställa.

Hur AdFection levererade spionprogramvara via ett annonsnätverk

Kärnan i kampanjen, så som EFF beskriver den, är leveransmetoden. Istället för att skicka en misstänkt länk eller bilaga till ett mål använde angriparna ett annonsnätverk för att pusha spionprogramvara till journalisters enheter. Målet behövde inte trycka, öppna eller godkänna något.

Det är vad "zero-click" betyder: intrånget sker utan användarinteraktion. Malvertising, det vill säga missbruk av annonssystem för att leverera skadligt innehåll, är inte nytt som koncept. Det som sticker ut här är kombinationen av en betrodd, vardaglig leveranskanal utan krav på åtgärd från offret, riktad mot en grupp som redan är hårt utsatt.

EFF beskriver den här typen av attack mot journalister som farlig, och resonemanget är enkelt. Journalister hanterar konfidentiella källor och känslig kommunikation, och en komprometterad telefon kan exponera allt detta.

Varför zero-click malvertising spelar roll bortom journalister

AdFection rapporterades som en kampanj riktad mot journalister, men mekanismen är inte exklusiv för dem. Annonsnätverk når enorma antal människor via webbplatser och appar. Varje leveransväg som förlitar sig på den infrastrukturen väcker en bredare fråga om hur stor exponering vanliga användare har för innehåll som de aldrig valt att ladda.

Den här typen av hot diskuteras också ofta tillsammans med andra fall av zero-click-spionprogramvara. Se vår rapport om hur Al Jazeera säger att Candiru-länkad spionprogramvara drabbade 45 anställdas enheter för ett nyligt exempel, där data rapporterades ha hämtats från journalisters och anställdas enheter utan någon åtgärd från användarna.

De flesta läsare är sannolikt inte det avsedda målet för en kampanj som denna. Ändå är de försvar som minskar risken för högriskanvändare ofta gratis, inbyggda i enheten och värda att anamma brett.

Vad ett VPN skyddar mot och inte skyddar mot

Det är frestande att anta att ett VPN löser ett problem som detta. Det är mer korrekt att vara specifik om vad ett VPN gör.

Ett VPN krypterar din trafik mellan din enhet och VPN-servern och döljer din IP-adress för de webbplatser du besöker. Det hjälper till med integritet på osäkra nätverk och med att begränsa viss spårning via IP.

Vad ett VPN inte gör, i sig självt, är att stoppa skadligt innehåll som levereras genom anslutningen när det väl når din enhet. Om spionprogramvara anländer via en annons som din webbläsare eller app laddar, bär VPN-tunneln helt enkelt det innehållet som vilken annan trafik som helst. Ett standard-VPN åtgärdar inte mjukvarubrister och gör inte din enhet immun mot utnyttjande.

Vissa VPN-produkter inkluderar valfria funktioner för annons- eller domänblockering. De kan minska exponeringen för annonsinnehåll, men de är ett lager av filtrering snarare än en garanti, och deras kvalitet varierar. Se ett VPN som ett integritetsverktyg bland flera, inte som ett försvar mot spionprogramvara.

Praktiska försvar: uppdateringar, annonsblockerare och Lockdown Mode

För zero-click-hot är några åtgärder viktigast.

  • Installera uppdateringar snabbt. Zero-click-attacker är vanligtvis beroende av mjukvarusårbarheter. Uppdateringar av operativsystem och webbläsare är det mest direkta sättet att täppa till dem.
  • Använd en annonsblockerare. Om leveransvägen är ett annonsnätverk tar blockering av annonser bort en stor del av den exponeringen. Använd en pålitlig blockerare, i webbläsaren och där det är möjligt på enhets- eller nätverksnivå.
  • Aktivera Lockdown Mode om du löper högre risk. På Apple-enheter som stöder det är Lockdown Mode en valfri inställning som minskar attackytan för personer som kan vara måltavla för sofistikerad spionprogramvara. Den begränsar vissa funktioner, vilket är avvägningen.
  • Minska vad som körs på din enhet. Ta bort appar du inte använder, eftersom var och en kan bära sina egna annonskomponenter.

Vad detta innebär för dig

Om du är journalist, aktivist eller någon annan som kan vara måltavla, behandla AdFection som en påminnelse om att härda dina enheter nu snarare än efter en incident. Om du är en vanlig användare är risken att bli utpekad lägre, men samma vanor kostar lite och skyddar även mot många andra hot.

Håll förväntningarna realistiska. Ett VPN är användbart för det det är designat för, men det stoppar inte annonslevererad spionprogramvara på egen hand. Uppdateringar, annonsblockering och Lockdown Mode där det är lämpligt är de steg som har tydligast koppling till den här typen av attack.

Slutsatser

AdFection zero-click spyware malvertising visar att en kampanj kan nå ett mål via vanlig annonsinfrastruktur utan att något klick krävs. Idag kan du:

  1. Installera väntande uppdateringar av operativsystem, webbläsare och appar.
  2. Aktivera en pålitlig annonsblockerare.
  3. Aktivera Lockdown Mode om du löper högre risk.
  4. Läs om Candiru-länkad spionprogramvara som rapporterats hittats på Al Jazeeras enheter för att se ett annat nyligt exempel på samma klass av zero-click-hot.

Inget av dessa steg är komplicerat, och tillsammans höjer de ribban betydligt för angripare.