Citizen Lab พบโฆษณาแบบ Zero-Click ติดมัลแวร์ในอุปกรณ์ของนักข่าว

รายงานใหม่จาก Citizen Lab ซึ่งรายงานโดย The Globe and Mail อธิบายถึงสิ่งที่อาจเป็นหนึ่งในการใช้ประโยชน์จากระบบเศรษฐกิจโฆษณาที่น่ากังวลที่สุดเท่าที่เคยมีมา นั่นคือสปายแวร์ผ่านโฆษณาแบบ zero-click ที่นักข่าวไม่จำเป็นต้องมีปฏิสัมพันธ์ด้วยเลย ตามรายงานระบุว่าบริษัทอิสราเอลได้จัดการ "โจมตีที่ส่งผ่านโฆษณาแบบเจาะจงเป้าหมาย" เพื่อติดตั้งสปายแวร์ในอุปกรณ์ของนักข่าว กล่าวอีกนัยหนึ่ง เครื่องจักรเดียวกันที่สร้างขึ้นเพื่อแสดงรองเท้าและบริการสตรีมมิ่งให้คุณเห็น สามารถถูกนำไปใช้ใหม่เพื่อเข้าถึงโทรศัพท์ของบุคคลใดบุคคลหนึ่งโดยเฉพาะได้

สรุปที่เรามีนั้นสั้น ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ได้รับการรายงานและอธิบายแนวคิด broader ที่เกี่ยวข้อง ในส่วนที่ไม่มีรายละเอียด เราจะระบุไว้เช่นนั้น

สิ่งที่ Citizen Lab ค้นพบในการโจมตีที่ส่งผ่านโฆษณา

Citizen Lab กลุ่มวิจัยที่รู้จักกันดีในการสืบสวนภัยคุกคามดิจิทัลต่อภาคประชาสังคม สรุปว่าบริษัทอิสราเอลได้ดำเนินการโจมตีที่ส่งผ่านโฆษณาแบบเจาะจงเป้าหมาย เป้าหมายคือนักข่าว และผลลัพธ์คือสปายแวร์ในอุปกรณ์ของพวกเขา รายงานระบุลักษณะวิธีการว่าเป็น zero-click หมายความว่าเหยื่อไม่ต้องแตะ ดาวน์โหลด หรืออนุมัติสิ่งใดเลย

การรายงานที่เรามีไม่มีรายละเอียดทางเทคนิคทุกอย่าง เช่น อุปกรณ์ใด เครือข่ายโฆษณาใด หรือมีผู้ได้รับผลกระทบกี่คน ดังนั้นเราจะไม่คาดเดา สิ่งสำคัญคือช่องทางในการส่งมอบ นั่นคือโฆษณา ไม่ใช่อีเมลอันตรายหรือข้อความที่น่าสงสัย

สปายแวร์ผ่านโฆษณาแบบ zero-click เข้าถึงอุปกรณ์ของนักข่าวได้อย่างไร

การโจมตีแบบ zero-click ทำงานได้โดยที่เหยื่อไม่ต้องทำอะไรเลย แทนที่จะชักจูงให้ใครบางคนเปิดลิงก์อันตราย ผู้โจมตีอาศัยซอฟต์แวร์ที่ประมวลผลเนื้อหาโดยอัตโนมัติ เมื่อหน้าเว็บหรือแอปโหลดโฆษณา อุปกรณ์จะดึงและแสดงเนื้อหานั้นด้วยตัวเอง หากผู้โจมตีสามารถวางเนื้อหาอันตรายเข้าไปในกระบวนการนั้นได้ และอุปกรณ์มีช่องโหว่ที่ยังไม่ได้แพตช์ การติดเชื้อก็สามารถเกิดขึ้นได้ขณะที่เนื้อหาโหลด

นั่นเป็นคำอธิบายทั่วไปว่าการโจมตีที่มากับโฆษณาสามารถทำงานได้อย่างไร ไม่ใช่คำอธิบายของช่องโหว่เฉพาะในการโจมตีในรายงาน Citizen Lab สิ่งที่สำคัญสำหรับผู้อ่านคือหลักการ นั่นคือ ทุกสิ่งที่อุปกรณ์ของคุณโหลดโดยอัตโนมัติอาจเป็นจุดเข้าถึงได้ และรวมถึงเนื้อหาที่คุณไม่เคยเลือกที่จะเห็นด้วย

เทคนิค zero-click ไม่ใช่เรื่องใหม่ในโลกของสปายแวร์ การรายงานของเราเกี่ยวกับ หนอน zero-click ของ WeChat อธิบายว่าการโทรที่ไม่ได้รับเพียงครั้งเดียวอาจเพียงพอที่จะเจาะแอปส่งข้อความที่ใช้กันอย่างแพร่หลาย วิธีผ่านโฆษณาเพิ่มมิติที่แตกต่างออกไป ผู้โจมตีไม่จำเป็นต้องมีหมายเลขโทรศัพท์หรือบัญชีของคุณ เพียงแค่วิธีทำให้เนื้อหาปรากฏต่อหน้าคุณ

ทำไมโฆษณาแบบเจาะจงเป้าหมายจึงทำให้นักข่าวเข้าถึงได้ง่าย

โฆษณาแบบเจาะจงเป้าหมายมีไว้เพื่อให้ผู้ซื้อเลือกได้ว่าใครจะเห็นข้อความ กลุ่มเป้าหมายสามารถจำกัดได้ตามความสนใจ ตำแหน่ง ประเภทอุปกรณ์ และสัญญาณอื่นๆ ความแม่นยำนั้นเป็นคุณสมบัติสำหรับนักการตลาดที่ถูกต้องตามกฎหมาย สำหรับผู้ขายระบบเฝ้าระวัง มันเป็นวิธีเล็งการโจมตีไปที่บุคคลใดบุคคลหนึ่งหรือกลุ่มเล็กๆ โดยไม่ต้องประกาศให้แพร่หลาย ซึ่งยังลดโอกาสในการตรวจจับได้ด้วย

นักข่าวเป็นกลุ่มที่เหมาะอย่างชัดเจนสำหรับการเล็งแบบนี้ งาน ความสนใจ และตำแหน่งของพวกเขามักเป็นข้อมูลสาธารณะ และอุปกรณ์ของพวกเขาอาจมีแหล่งข่าวและเนื้อหาที่ยังไม่ได้เผยแพร่ การค้นพบของ Citizen Lab ชี้ให้เห็นว่าโครงสร้างพื้นฐานการติดตามที่อยู่เบื้องหลังโฆษณาในชีวิตประจำวันสามารถทำหน้าที่เป็นระบบส่งมอบสปายแวร์ได้เช่นกัน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ไม่ใช่เป้าหมายที่ตั้งใจของการปฏิบัติการสปายแวร์แบบนี้ การโจมตีแบบเจาะจงเป้าหมายประเภทนี้มักมีค่าใช้จ่ายสูงและมุ่งเป้าไปที่บุคคลเฉพาะ แต่การค้นพบนี้ยังคงสำคัญสำหรับทุกคน ด้วยเหตุผลสองประการ

ประการแรก มันแสดงให้เห็นว่าเนื้อหาโฆษณาไม่ใช่แค่เรื่องน่ารำคาญหรือปัญหาความเป็นส่วนตัว มันเป็นส่วนหนึ่งของพื้นผิวการโจมตีของอุปกรณ์ของคุณ ประการที่สอง การป้องกันที่ช่วยรับมือกับการโจมตีที่ซับซ้อนยังปกป้องคุณจากภัยคุกคามทั่วไปด้วย การอัปเดตอย่างรวดเร็ว การโหลดเนื้อหาอัตโนมัติน้อยลง และการควบคุมสิ่งที่อุปกรณ์ของคุณยอมรับอย่างเข้มงวดขึ้น

หากคุณทำงานด้านวารสารศาสตร์ สิทธิมนุษยชน การเมือง หรือสาขาใดก็ตามที่คุณอาจดึงดูดฝ่ายตรงข้ามที่มีเงินทุนหนา ให้ถือว่าความเสี่ยงของคุณสูงขึ้นและดำเนินการตามนั้น

ขั้นตอนปฏิบัติเพื่อลดการเปิดเผยของคุณ

ไม่มีขั้นตอนใดขั้นตอนเดียวที่ทำให้คุณปลอดภัยจากการโจมตีแบบ zero-click แต่มาตรการเหล่านี้ลดโอกาสลง:

• อัปเดตระบบปฏิบัติการและแอปทันที การโจมตีแบบ zero-click มักอาศัยช่องโหว่ที่ยังไม่ได้แพตช์ การแก้ไขฉุกเฉินของ Google สำหรับ ช่องโหว่ zero-day ของ Chrome ที่ถูกโจมตีในโลกจริง เป็นตัวอย่างที่ดีว่าทำไมการรอสองสามวันจึงสำคัญ
• ให้เบราว์เซอร์เป็นเวอร์ชันล่าสุด เบราว์เซอร์ประมวลผลเนื้อหาโฆษณาตลอดเวลา ดังนั้นเปิดการอัปเดตอัตโนมัติและรีสตาร์ทเมื่อได้รับแจ้ง
• บล็อกโฆษณาและตัวติดตามเท่าที่ทำได้ ตัวบล็อกเนื้อหาที่เชื่อถือได้หรือการป้องกันระดับเบราว์เซอร์ลดปริมาณเนื้อหาโฆษณาบุคคลที่สามที่อุปกรณ์ของคุณโหลด นี่คือการลดความเสี่ยง ไม่ใช่การรับประกัน
• เปิดโหมด Lockdown หากคุณมีความเสี่ยงสูงขึ้น บนอุปกรณ์ Apple ที่รองรับ โหมด Lockdown จะจำกัดคุณสมบัติที่ผู้โจมตีมักใช้ในทางที่ผิด มันแลกความสะดวกบางอย่างเพื่อพื้นผิวการโจมตีที่เล็กกว่า
• จำกัดการปรับแต่งโฆษณา ปิดตัวระบุการติดตามโฆษณาในการตั้งค่าอุปกรณ์และเลือกไม่รับโฆษณาแบบปรับแต่งส่วนบุคคล สิ่งนี้ทำให้คุณถูกแยกออกได้ยากขึ้น แม้จะไม่หยุดวิธีการเล็งเป้าหมายทุกวิธี
• รีบูตเป็นระยะและลบแอปที่คุณไม่ได้ใช้ แอปน้อยลงและการรีสตาร์ทเป็นประจำเหลือพื้นที่น้อยลงสำหรับภัยคุกคามที่คงอยู่

สรุปสุดท้าย

รายงานเกี่ยวกับสปายแวร์ผ่านโฆษณาแบบ zero-click ที่นักข่าวเผชิญเป็นเครื่องเตือนใจว่าเส้นแบ่งระหว่างเทคโนโลยีโฆษณากับเทคโนโลยีเฝ้าระวังอาจบางมาก คุณไม่สามารถควบคุมสิ่งที่เครือข่ายโฆษณาทำได้ แต่คุณสามารถควบคุมได้ว่าอุปกรณ์ของคุณได้รับการแพตช์เร็วแค่ไหนและโหลดเนื้อหาที่ไม่น่าเชื่อถือมากน้อยเพียงใด

รายการสิ่งที่ต้องทำวันนี้สั้นมาก ติดตั้งการอัปเดตที่ค้างอยู่บนโทรศัพท์และเบราว์เซอร์ของคุณตอนนี้เลย เปิดการอัปเดตอัตโนมัติ และหากคุณมีความเสี่ยงสูงขึ้น ให้เปิดโหมด Lockdown ความพยายามเพียงไม่กี่นาทีนั้นปิดช่องโหว่ที่การโจมตีแบบนี้อาศัยอยู่