Forskare vid The Citizen Lab har för första gången offentliggjort tekniska bevis på att sofistikerat legosoldatsspionprogram distribueras via onlineannonsering. WIRED:s rapportering beskrev det som ett "mardrömsscenario", och beskrivningen stämmer: nollklicks-spionprogram via riktade annonser skulle kunna förvandla det vanliga annonsekosystemet till en leveransväg för övervakningsverktyg. Det här inlägget förklarar vad som har rapporterats, hur den här typen av attack i allmänhet fungerar och vilka försvar som är värda din tid.

En notering om omfattningen: källrapporteringen som är tillgänglig för oss är kortfattad, så vi begränsar detaljerna till det som har publicerats. Där vi beskriver hur annonsbaserade attacker fungerar i allmänhet förklarar vi konceptet, utan att lägga till detaljer om just detta fall.

Vad Citizen Lab hittade

Citizen Lab är en forskargrupp känd för att utreda digitala hot mot journalister, aktivister och andra mål inom det civila samhället. Enligt rapporteringen har dess forskare nu publicerat tekniska bevis som visar att legosoldatsspionprogram, det vill säga kommersiella övervakningsverktyg som säljs till betalande kunder, kan levereras via onlineannonsering.

Nyckelordet är "första". Säkerhetsforskare har länge varnat för att annonsnätverk skulle kunna missbrukas på detta sätt, men offentligt publicerade tekniska bevis är det som flyttar en oro från teoretisk till dokumenterad. Det är därför detta fynd är viktigt även om du inte är ett troligt mål.

Hur nollklicks-spionprogram sprids via annonser

En nollklicks-attack kräver ingen åtgärd från offret. Det finns ingen misstänkt länk att trycka på och ingen bilaga att öppna. Enheten komprometteras helt enkelt genom att bearbeta något som skickats till den.

Onlineannonser är en trolig bärare av flera skäl:

  • Annonser laddas automatiskt. Webbsidor och appar hämtar och renderar annonsinnehåll i bakgrunden, utan något medvetet val från dig.
  • Annonser är riktade. Annonssystem är byggda för att nå specifika målgrupper, vilket innebär att en angripare i princip skulle kunna rikta innehåll mot en smal grupp i stället för allmänheten.
  • Annonskedjor är komplexa. Innehåll passerar ofta genom flera mellanhänder innan det når en skärm, vilket gör det svårt för en enskild part att inspektera allt.

I praktiken innebär detta att samma infrastruktur som låter annonsörer hitta en viss typ av användare skulle kunna hjälpa en angripare att hitta en viss person. Vi har inte fler tekniska detaljer om den exakta mekanismen från källan, så läsare som vill ha den fullständiga analysen bör konsultera Citizen Labs publicerade forskning direkt.

Varför telefoner och annonsriktning exponerar användare

Telefoner är attraktiva mål eftersom de innehåller meddelanden, platshistorik, foton och inloggningsuppgifter, och de är nästan alltid uppkopplade. De renderar också ständigt tredjepartsinnehåll i webbläsare och appar.

Annonsriktning tillför ett andra lager av exponering. Datamäklare och annonsplattformar samlar in signaler om vem du är och vart du går, och det är dessa signaler som möjliggör precis riktning. Ju mer av dessa data som cirkulerar, desto lättare är det för en motiverad köpare av legosoldatsspionprogram att peka ut en specifik individ.

Det är också därför den realistiska risken är ojämn. Legosoldatsspionprogram är dyra och har historiskt förknippats med mål av högt värde såsom journalister, dissidenter och tjänstemän, inte vanliga användare. De flesta människor är osannolikt det avsedda offret. Men en leveransmetod som rider på massannonsinfrastruktur är värd att förstå, eftersom försvar som hjälper mot den också hjälper mot vanligare hot.

Vad som minskar din risk (och var en VPN passar in)

Inget enskilt verktyg stoppar en attack som denna. En skiktad strategi är det kloka svaret.

Håll dina enheter uppdaterade. Spionprogram är beroende av mjukvarubrister, och uppdateringar stänger dem. Vår rapportering om hur Lazarus Group utnyttjade en Windows-kernelbugg före augustipatchen visar hur angripare kan använda en brist innan en fix finns, och varför det fortfarande spelar roll att installera patchar snabbt när den väl finns.

Använd Lockdown-läge om du löper förhöjd risk. Apples Lockdown-läge är utformat för personer som kan utsättas för riktade attacker. Det minskar enhetens attackyta, till priset av vissa funktioner. Om du är journalist, aktivist eller arbetar inom ett känsligt område är det värt att överväga.

Granska dina annonsspårningsinställningar. Att begränsa annonsanpassning och återställa eller begränsa din annonsidentifierare minskar de data som är tillgängliga för riktning. Innehållsblockering på webbläsarnivå kan också minska hur mycket tredjepartsannonsinnehåll som laddas överhuvudtaget.

Förstå vad en VPN gör och inte gör. En VPN krypterar din trafik mellan din enhet och VPN-servern och kan dölja din IP-adress för webbplatser du besöker. Det kan minska vissa spårningssignaler. Det patchar inte din telefon, och det stoppar inte en komprometterad enhet från att bearbeta skadligt innehåll. Behandla det som ett begränsat lager, inte som en sköld mot nollklicks-exploater.

Vad detta innebär för dig

För de flesta läsare är denna forskning en signal, inte en anledning till panik. Den dokumenterade användningen av legosoldatsspionprogram riktar sig mot ett litet antal personer, och fyndet innebär inte att vanligt annonssurfande sannolikt komprometterar din telefon i dag. Vad det däremot visar är att annonsinfrastruktur kan förvandlas till en attackkanal, vilket stärker argumenten för grundläggande hygien: aktuell mjukvara, färre trackers och minskad exponering för onödigt tredjepartsinnehåll.

Om du hanterar känslig information eller har anledning att tro att du kan vara ett mål är ribban högre. Kombinera uppdateringar, Lockdown-läge och striktare annonskontroller, och överväg att söka vägledning från digitala säkerhetsorganisationer som stödjer utsatta grupper.

Viktiga slutsatser

  • Uppdatera din telefon och dina appar så snart patchar finns tillgängliga.
  • Aktivera Lockdown-läge om du löper förhöjd risk.
  • Begränsa annonsanpassning och återställ eller begränsa din annons-ID.
  • Överväg en innehållsblockerare för att minska laddning av tredjepartsannonser.
  • Använd en VPN för integritet, men förlita dig inte på den för att stoppa nollklicks-spionprogram via riktade annonser.
  • För bredare patchkontext, se vår rapportering om en nionde Windows-nolldagssläppt av forskaren Nightmare Eclipse.

Citizen Labs fynd är en påminnelse om att annonsekosystemet är en del av din attackyta. Du kan inte kontrollera alla annonsnätverk, men du kan minska öppningen med några medvetna inställningar och konsekventa uppdateringar.