นักวิจัยจาก The Citizen Lab ได้เปิดเผยหลักฐานทางเทคนิคเป็นครั้งแรกว่า สปายแวร์รับจ้างขั้นสูงถูกเผยแพร่ผ่านโฆษณาออนไลน์ บทความของ WIRED เรียกสิ่งนี้ว่า "ฝันร้าย" และคำอธิบายนั้นก็ตรงเผง สปายแวร์แบบ zero-click ที่ส่งผ่านโฆษณาเจาะจงเป้าหมายอาจเปลี่ยนระบบนิเวศโฆษณาธรรมดาให้กลายเป็นช่องทางส่งเครื่องมือสอดส่อง บทความนี้อธิบายสิ่งที่ถูกรายงาน กลไกการโจมตีประเภทนี้โดยทั่วไป และมาตรการป้องกันที่คุ้มค่ากับเวลาของคุณ

หมายเหตุเกี่ยวกับขอบเขต: แหล่งข่าวที่เรามีนั้นกระชับ ดังนั้นเราจึงจำกัดรายละเอียดเฉพาะสิ่งที่ได้รับการเผยแพร่แล้ว ในส่วนที่เราอธิบายว่าการโจมตีผ่านโฆษณาทำงานอย่างไรโดยทั่วไป เรากำลังอธิบายแนวคิด ไม่ได้เพิ่มรายละเอียดเกี่ยวกับกรณีนี้โดยเฉพาะ

Citizen Lab พบอะไร

Citizen Lab เป็นกลุ่มวิจัยที่รู้จักกันดีในการสืบสวนภัยคุกคามดิจิทัลที่มุ่งเป้าไปที่นักข่าว นักกิจกรรม และเป้าหมายอื่นๆ ในภาคประชาสังคม ตามรายงาน นักวิจัยของกลุ่มได้เผยแพร่หลักฐานทางเทคนิคที่แสดงให้เห็นว่าสปายแวร์รับจ้าง ซึ่งหมายถึงเครื่องมือสอดส่องเชิงพาณิชย์ที่ขายให้ลูกค้าที่จ่ายเงิน สามารถถูกส่งผ่านโฆษณาออนไลน์ได้

คำสำคัญคือ "ครั้งแรก" นักวิจัยด้านความปลอดภัยเตือนมานานแล้วว่าเครือข่ายโฆษณาอาจถูกใช้ในทางที่ผิดแบบนี้ แต่หลักฐานทางเทคนิคที่เผยแพร่ต่อสาธารณะคือสิ่งที่เปลี่ยนข้อกังวลจากทฤษฎีเป็นเอกสารยืนยัน นั่นคือเหตุผลที่การค้นพบนี้สำคัญ แม้คุณจะไม่ใช่เป้าหมายที่เป็นไปได้ก็ตาม

สปายแวร์แบบ zero-click แพร่ผ่านโฆษณาได้อย่างไร

การโจมตีแบบ zero-click ไม่ต้องให้เหยื่อทำอะไรเลย ไม่มีลิงก์น่าสงสัยให้แตะ และไม่มีไฟล์แนบให้เปิด อุปกรณ์ถูกบุกรุกเพียงเพราะประมวลผลสิ่งที่ถูกส่งมา

โฆษณาออนไลน์เป็นพาหะที่เป็นไปได้ด้วยเหตุผลหลายประการ:

  • โฆษณาโหลดโดยอัตโนมัติ หน้าเว็บและแอปดึงและแสดงเนื้อหาโฆษณาเบื้องหลัง โดยไม่ต้องมีการเลือกใดๆ จากคุณ
  • โฆษณาถูกเจาะจงเป้าหมาย ระบบโฆษณาถูกสร้างมาเพื่อเข้าถึงกลุ่มเป้าหมายเฉพาะ ซึ่งหมายความว่าผู้โจมตีอาจเล็งเนื้อหาไปที่กลุ่มแคบๆ แทนที่จะเป็นสาธารณชนทั่วไป
  • ห่วงโซ่โฆษณาซับซ้อน เนื้อหามักผ่านตัวกลางหลายรายก่อนจะถึงหน้าจอ ซึ่งทำให้ยากที่ฝ่ายใดฝ่ายหนึ่งจะตรวจสอบทุกอย่างได้

ในทางปฏิบัติ หมายความว่าโครงสร้างพื้นฐานเดียวกันที่ทำให้นักโฆษณาค้นหาผู้ใช้ประเภทหนึ่งได้ อาจช่วยให้ผู้โจมตีค้นหาบุคคลหนึ่งได้ เราไม่มีรายละเอียดทางเทคนิคเพิ่มเติมเกี่ยวกับกลไกที่แน่ชัดจากแหล่งข่าว ดังนั้นผู้อ่านที่ต้องการการวิเคราะห์ฉบับเต็มควรศึกษางานวิจัยที่เผยแพร่ของ Citizen Lab โดยตรง

ทำไมโทรศัพท์และการเจาะจงเป้าหมายโฆษณาจึงทำให้ผู้ใช้เสี่ยง

โทรศัพท์เป็นเป้าหมายที่น่าสนใจเพราะเก็บข้อความ ประวัติตำแหน่ง รูปภาพ และข้อมูลรับรอง และเชื่อมต่ออยู่เกือบตลอดเวลา อีกทั้งยังแสดงเนื้อหาจากบุคคลที่สามภายในเบราว์เซอร์และแอปอยู่ตลอดเวลา

การเจาะจงเป้าหมายโฆษณาเพิ่มความเสี่ยงอีกชั้นหนึ่ง นายหน้าข้อมูลและแพลตฟอร์มโฆษณาเก็บสัญญาณเกี่ยวกับตัวคุณและสถานที่ที่คุณไป และสัญญาณเหล่านั้นคือสิ่งที่ทำให้การเจาะจงเป้าหมายแม่นยำเป็นไปได้ ยิ่งข้อมูลนั้นหมุนเวียนมากเท่าไร ผู้ซื้อสปายแวร์รับจ้างที่มีแรงจูงใจก็ยิ่งเลือกบุคคลใดบุคคลหนึ่งได้ง่ายขึ้นเท่านั้น

นี่ก็เป็นเหตุผลที่ความเสี่ยงที่แท้จริงนั้นไม่เท่ากัน สปายแวร์รับจ้างมีราคาแพงและในอดีตเกี่ยวข้องกับเป้าหมายมูลค่าสูง เช่น นักข่าว ผู้เห็นต่าง และเจ้าหน้าที่ ไม่ใช่ผู้ใช้ทั่วไป คนส่วนใหญ่ไม่น่าจะเป็นเหยื่อที่ถูกตั้งใจ แต่ช่องทางส่งที่อาศัยโครงสร้างพื้นฐานโฆษณามวลชนนั้นควรค่าแก่การทำความเข้าใจ เพราะมาตรการป้องกันที่ช่วยรับมือกับมันก็ช่วยรับมือกับภัยคุกคามทั่วไปได้เช่นกัน

อะไรช่วยลดความเสี่ยงของคุณ (และ VPN เข้ามาเกี่ยวข้องตรงไหน)

ไม่มีเครื่องมือใดเพียงอย่างเดียวหยุดการโจมตีแบบนี้ได้ การป้องกันแบบหลายชั้นคือคำตอบที่สมเหตุสมผล

อัปเดตอุปกรณ์ของคุณอยู่เสมอ สปายแวร์อาศัยช่องโหว่ของซอฟต์แวร์ และการอัปเดตคือการปิดช่องโหว่เหล่านั้น บทความของเราเกี่ยวกับวิธีที่ Lazarus Group ใช้ช่องโหว่เคอร์เนล Windows ก่อนแพตช์เดือนสิงหาคม แสดงให้เห็นว่าผู้โจมตีสามารถใช้ช่องโหว่ก่อนที่จะมีวิธีแก้ได้อย่างไร และทำไมการติดตั้งแพตช์ทันทีเมื่อมีออกมาจึงยังคงสำคัญ

ใช้ Lockdown Mode หากคุณมีความเสี่ยงสูง Lockdown Mode ของ Apple ถูกออกแบบสำหรับผู้ที่อาจเผชิญการโจมตีแบบเจาะจงเป้าหมาย มันลดพื้นที่โจมตีของอุปกรณ์ โดยแลกกับฟีเจอร์บางอย่าง หากคุณเป็นนักข่าว นักกิจกรรม หรือทำงานในสาขาที่อ่อนไหว มันคุ้มค่าที่จะพิจารณา

ตรวจสอบการตั้งค่าการติดตามโฆษณาของคุณ การจำกัดการปรับแต่งโฆษณาและการรีเซ็ตหรือจำกัดตัวระบุโฆษณาของคุณจะลดข้อมูลที่มีให้ใช้ในการเจาะจงเป้าหมาย การบล็อกเนื้อหาระดับเบราว์เซอร์ยังช่วยลดปริมาณเนื้อหาโฆษณาจากบุคคลที่สามที่โหลดได้อีกด้วย

เข้าใจว่า VPN ทำอะไรได้และทำอะไรไม่ได้ VPN เข้ารหัสทราฟฟิกของคุณระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN และสามารถซ่อน IP address ของคุณจากไซต์ที่คุณเยี่ยมชมได้ ซึ่งอาจลดสัญญาณการติดตามบางอย่างได้ แต่มันไม่ได้แพตช์โทรศัพท์ของคุณ และไม่ได้หยุดอุปกรณ์ที่ถูกบุกรุกจากการประมวลผลเนื้อหาอันตราย มองมันเป็นชั้นป้องกันหนึ่งชั้นที่มีข้อจำกัด ไม่ใช่โล่ป้องกันการโจมตีแบบ zero-click

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

สำหรับผู้อ่านส่วนใหญ่ งานวิจัยนี้เป็นสัญญาณ ไม่ใช่เหตุให้ตื่นตระหนก การใช้สปายแวร์รับจ้างที่มีเอกสารยืนยันมุ่งเป้าไปที่คนจำนวนน้อย และการค้นพบนี้ไม่ได้หมายความว่าการท่องเว็บโฆษณาทั่วไปมีแนวโน้มจะบุกรุกโทรศัพท์ของคุณในวันนี้ สิ่งที่มันแสดงให้เห็นคือโครงสร้างพื้นฐานโฆษณาสามารถเปลี่ยนเป็นช่องทางโจมตีได้ ซึ่งเสริมกรณีสำหรับสุขอนามัยพื้นฐาน: ซอฟต์แวร์เป็นปัจจุบัน ตัวติดตามน้อยลง และลดการเปิดรับเนื้อหาบุคคลที่สามที่ไม่จำเป็น

หากคุณจัดการข้อมูลที่อ่อนไหวหรือมีเหตุผลที่คิดว่าคุณอาจถูกเจาะจงเป้าหมาย มาตรฐานจะสูงขึ้น รวมการอัปเดต Lockdown Mode และการควบคุมโฆษณาที่เข้มงวดขึ้น และพิจารณาขอคำแนะนำจากองค์กรความปลอดภัยดิจิทัลที่สนับสนุนกลุ่มที่มีความเสี่ยง

ประเด็นสำคัญ

  • อัปเดตโทรศัพท์และแอปของคุณทันทีที่มีแพตช์
  • เปิด Lockdown Mode หากคุณมีความเสี่ยงสูง
  • จำกัดการปรับแต่งโฆษณาและรีเซ็ตหรือจำกัด advertising ID ของคุณ
  • พิจารณาตัวบล็อกเนื้อหาเพื่อลดการโหลดโฆษณาบุคคลที่สาม
  • ใช้ VPN เพื่อความเป็นส่วนตัว แต่อย่าพึ่งพามันในการหยุดสปายแวร์แบบ zero-click ที่ส่งผ่านโฆษณาเจาะจงเป้าหมาย
  • สำหรับบริบทการแพตช์ที่กว้างขึ้น ดูรายงานของเราเกี่ยวกับ Windows zero-day ตัวที่เก้าที่นักวิจัย Nightmare Eclipse เปิดเผย

การค้นพบของ Citizen Lab เป็นเครื่องเตือนใจว่าระบบนิเวศโฆษณาเป็นส่วนหนึ่งของพื้นที่โจมตีของคุณ คุณไม่สามารถควบคุมทุกเครือข่ายโฆษณาได้ แต่คุณสามารถลดช่องเปิดด้วยการตั้งค่าเพียงไม่กี่อย่างและการอัปเดตที่สม่ำเสมอ