Forskare har dokumenterat ett fall av nollklicksannonsspionprogram som journalister stötte på 2024, och det förändrar hur vi tänker kring riskerna med vardagligt surfande. Al Jazeera och Citizen Lab har båda publicerat fynd om en kampanj de kallar "AdFection", där legosoldatsspionprogram levererades via onlineannonsering. Inget tryck, ingen nedladdning och ingen misstänkt länk krävdes.

Frågan om vem som slutligen riktade in sig på journalisterna är fortfarande obesvarad. Vad forskarna säger sig veta är vem som underlättade attackerna: två israeliska företag, varav ett har funnits på USA:s svarta lista i ungefär fem år.

Hur AdFection levererade nollklicksannonsspionprogram till journalister

En nollklicksattack är en som inte kräver någon åtgärd från offret. Traditionell nätfiske bygger på att du öppnar en bilaga eller trycker på en länk. Här var leveranskanalen själva annonseringsekosystemet. Annonser laddas automatiskt när en sida laddas, så en skadlig annons kan nå en enhet helt enkelt för att någon besökte en webbplats.

Det är det som gör tekniken oroande. Annonsnätverket, som de flesta läsare aldrig tänker på, blir vägen som spionprogrammet färdas på. Riktad annonsering är byggd för att plocka ut specifika målgrupper, och samma precision som låter ett varumärke nå en viss demografisk grupp kan i teorin låta en angripare nå en specifik person.

Offentlig rapportering om forskningen namnger ett annonsföretag som heter Discover-Tech och beskriver hur spionprogramstillverkare använder det för att nå enheter. Dessa detaljer kommer från sekundär rapportering om Citizen Labs rapport, så kontrollera de primära fynden för den exakta tekniska beskrivningen innan du förlitar dig på dem.

Vad Citizen Lab och Al Jazeera fann

Båda organisationerna publicerade egna fynd. Al Jazeeras journalister var bland de drabbade, och Citizen Lab, forskningsgruppen vid University of Toronto känd för att utreda kommersiella spionprogram, analyserade kampanjen och gav den namnet AdFection. Vår tidigare rapportering om Citizen Labs fynd att nollklicksannonser infekterade journalisters enheter går igenom rapporten mer i detalj.

Två punkter sticker ut från rapporteringen:

  • Tillskrivningen är ofullständig. Forskarna identifierade underlättarna, men inte klienten som valde målen. Det är typiskt för marknaden för legosoldatsspionprogram, där företaget som bygger verktygen och parten som använder dem ofta är olika.
  • Ett svartlistat företag var inblandat. Ett av de två israeliska företagen har funnits på USA:s svarta lista i ungefär ett halvt decennium. Det väcker svåra frågor om hur ett sådant företag förblir kopplat till kommersiell infrastruktur och den bredare annonsleveranskedjan.

Sekundär rapportering har också beskrivit fallet som det första offentligt bekräftade exemplet på nollklicks-legosoldatsspionprogram levererat via riktade annonser. Behandla den formuleringen som andras karakterisering av Citizen Labs arbete, och konsultera originalrapporten för dess exakta påståenden.

Varför journalister och aktivister är måltavlor

Legosoldatsspionprogram säljs som ett övervakningsverktyg, och journalister är återkommande måltavlor eftersom de innehar det andra vill ha: källor, opublicerat material och privata kommunikationer. En komprometterad telefon kan exponera kontakter, meddelanden, plats och mikrofonåtkomst. För en reporter som arbetar med känsliga historier kan en enda infektion sätta källor i fara, inte bara reportern.

AdFection-fallet visar också varför hotet inte är strikt begränsat till journalister. Leveransmetoden bygger på infrastruktur som alla använder. Även om en specifik person valdes ut som mål, betjänar samma annonssystem allmänheten. De flesta läsare är osannolikt prioriterade mål för den här typen av verktyg, men fallet visar att mekanismen existerar.

Vad detta innebär för dig

För de flesta är den praktiska risken att bli utvald av legosoldatsspionprogram låg. Ändå är fynden en påminnelse om att inte klicka på något inte betyder att du är säker, och att vanliga webbannonser kan vara en attackyta. Om du är journalist, aktivist, jurist eller någon som hanterar känslig information, ta detta på större allvar.

Det är också värt att vara ärlig om VPN:er. En VPN krypterar din trafik mellan din enhet och VPN-servern och döljer din IP-adress för de webbplatser du besöker. Den stoppar inte en skadlig annons från att laddas i din webbläsare, och den åtgärdar inte en sårbarhet på din telefon. En VPN ensam skyddar inte mot den här typen av attack. Den är fortfarande användbar för andra integritetsmål, men den är inget försvar här.

Vad läsare kan göra

Inget enskilt steg eliminerar risken, men lager av åtgärder minskar den avsevärt:

  • Uppdatera ditt operativsystem och din webbläsare snabbt. Spionprogram som detta är vanligtvis beroende av mjukvarubrister, och uppdateringar stänger dem.
  • Aktivera Lockdown Mode om du löper högre risk. Apples Lockdown Mode är utformat för att minska attackytan för personer som kan vara måltavlor. Android-användare kan leta efter jämförbara avancerade skyddsinställningar.
  • Använd en annonsblockerare. Om leveranskanalen är en annons tar blockering av annonser på webbläsar- eller DNS-nivå bort mycket av exponeringen.
  • Starta om din enhet regelbundet. Vissa infektioner överlever inte en omstart, vilket kan tvinga angripare att börja om.
  • Minska vad som körs i webbläsaren. Färre tillägg och en minimal uppsättning appar minskar antalet platser en angripare kan utnyttja.
  • Sök experthjälp om du misstänker infektion. Organisationer som stöder utsatta grupper kan hjälpa till med forensiska kontroller.

Viktiga slutsatser

AdFection-fallet visar att nollklicksannonsspionprogram som journalister mötte 2024 levererades genom samma annonssystem som betjänar alla andra. Angriparen är fortfarande oidentifierad, men två israeliska företag har kopplats till att ha underlättat det. Håll dina enheter uppdaterade, överväg Lockdown Mode om du möter förhöjd risk, och blockera annonser där du kan. För de fullständiga detaljerna, läs vår sammanfattning av Citizen Labs rapport om nollklicksannonser och journalister, följ sedan de primära fynden från Citizen Lab och Al Jazeera. Och kom ihåg att en VPN, även om den är användbar, inte är en sköld mot den här typen av attack.