Дослідники задокументували випадок шпигунського ПЗ через рекламу без жодного кліку, з яким зіткнулися журналісти у 2024 році, і це змінює наше уявлення про ризики повсякденного перегляду вебсторінок. Al Jazeera та Citizen Lab обидві опублікували результати дослідження кампанії, яку вони називають «AdFection», у межах якої наймане шпигунське ПЗ поширювалося через онлайн-рекламу. Не було потрібно ні торкання, ні завантаження, ні підозрілого посилання.

Питання про те, хто врешті-решт був замовником атаки на журналістів, залишається без відповіді. Дослідники кажуть, що їм відомо, хто сприяв атакам: дві ізраїльські компанії, одна з яких перебуває у чорному списку США близько п'яти років.

Як AdFection доставляла шпигунське ПЗ через рекламу без жодного кліку

Атака без жодного кліку — це атака, яка не потребує жодних дій з боку жертви. Традиційний фішинг залежить від того, чи ви відкриєте вкладення або торкнетеся посилання. Тут каналом доставки була сама рекламна екосистема. Реклама завантажується автоматично щоразу, коли завантажується сторінка, тому шкідлива реклама може дістатися до пристрою просто тому, що хтось відвідав вебсайт.

Саме це робить цю техніку тривожною. Рекламна мережа, про яку більшість читачів ніколи не замислюється, стає дорогою, якою подорожує шпигунське ПЗ. Таргетована реклама створена для вибору конкретних аудиторій, і та сама точність, яка дозволяє бренду охопити певну демографічну групу, теоретично може дозволити зловмиснику охопити конкретну особу.

У публічних звітах про дослідження згадується рекламна компанія під назвою Discover-Tech, а також описується, як виробники шпигунського ПЗ використовували її для доступу до пристроїв. Ці подробиці походять із вторинних матеріалів про звіт Citizen Lab, тому перед тим як покладатися на них, зверніться до першоджерела для точного технічного опису.

Що виявили Citizen Lab та Al Jazeera

Обидві організації оприлюднили власні висновки. Журналісти Al Jazeera були серед постраждалих, а Citizen Lab — дослідницька група Торонтського університету, відома розслідуваннями комерційного шпигунського ПЗ, — проаналізувала кампанію і дала їй назву AdFection. У нашому попередньому матеріалі про висновок Citizen Lab, що реклама без жодного кліку заражає пристрої журналістів звіт розглянуто докладніше.

З матеріалів вирізняються два моменти:

  • Атрибуція неповна. Дослідники встановили посередників, але не замовника, який обрав цілі. Це типово для ринку найманого шпигунського ПЗ, де компанія, що створює інструменти, і сторона, що їх використовує, часто різні.
  • Була задіяна компанія з чорного списку. Одна з двох ізраїльських фірм перебуває у чорному списку США приблизно пів десятиліття. Це порушує складні питання про те, як така компанія залишається підключеною до комерційної інфраструктури та ширшого ланцюга постачання реклами.

У вторинних матеріалах цей випадок також описано як перший публічно підтверджений приклад найманого шпигунського ПЗ без жодного кліку, доставленого через таргетовану рекламу. Сприймайте це формулювання як характеристику роботи Citizen Lab у переказі інших, і зверніться до оригінального звіту щодо його точних тверджень.

Чому журналісти та активісти стають цілями

Наймане шпигунське ПЗ продається як інструмент спостереження, і журналісти є постійною ціллю, бо вони володіють тим, чого хочуть інші: джерелами, неопублікованими матеріалами та приватними комунікаціями. Скомпрометований телефон може розкрити контакти, повідомлення, місцезнаходження та доступ до мікрофона. Для репортера, який працює над чутливими історіями, одне зараження може наразити на ризик джерела, а не лише самого репортера.

Випадок AdFection також показує, чому загроза не обмежується виключно журналістами. Метод доставки покладається на інфраструктуру, яку використовують усі. Навіть якщо конкретну особу було обрано ціллю, та сама рекламна система обслуговує широку публіку. Більшість читачів навряд чи є пріоритетною ціллю для такого інструментарію, але цей випадок показує, що механізм існує.

Що це означає для вас

Для більшості людей практичний ризик стати обраною ціллю найманого шпигунського ПЗ низький. Та все ж висновки нагадують, що відсутність кліків не означає безпеки, і що звичайна вебреклама може бути поверхнею атаки. Якщо ви журналіст, активіст, юрист або хтось, хто працює з чутливою інформацією, ставтеся до цього серйозніше.

Також варто бути чесними щодо VPN. VPN шифрує ваш трафік між пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Він не зупиняє завантаження шкідливої реклами у вашому браузері й не усуває вразливість на вашому телефоні. Лише VPN не захищає від цього типу атаки. Він залишається корисним для інших цілей приватності, але тут він не є захистом.

Що можуть зробити читачі

Жоден окремий крок не усуває ризик, але багаторівневі заходи значно його знижують:

  • Своєчасно оновлюйте операційну систему та браузер. Шпигунське ПЗ, як це, зазвичай покладається на програмні недоліки, а оновлення їх закривають.
  • Увімкніть Lockdown Mode, якщо ви в зоні підвищеного ризику. Lockdown Mode від Apple розроблений, щоб зменшити поверхню атаки для людей, які можуть стати цілями. Користувачі Android можуть шукати порівнянні налаштування розширеного захисту.
  • Використовуйте блокувальник реклами. Якщо канал доставки — реклама, блокування реклами на рівні браузера або DNS прибирає значну частину впливу.
  • Регулярно перезавантажуйте пристрій. Деякі зараження не переживають перезавантаження, що може змусити зловмисників почати спочатку.
  • Зменште те, що працює в браузері. Менше розширень і мінімальний набір застосунків зменшують кількість місць, які може використати зловмисник.
  • Зверніться по допомогу фахівців, якщо підозрюєте зараження. Організації, що підтримують групи в зоні ризику, можуть допомогти з криміналістичними перевірками.

Ключові висновки

Випадок AdFection показує, що шпигунське ПЗ через рекламу без жодного кліку, з яким зіткнулися журналісти у 2024 році, доставлялося через ту саму рекламну систему, що обслуговує всіх інших. Нападник досі не ідентифікований, але дві ізраїльські компанії пов'язані зі сприянням цьому. Тримайте пристрої оновленими, розгляньте Lockdown Mode, якщо стикаєтеся з підвищеним ризиком, і блокуйте рекламу, де можете. Для повних подробиць прочитайте наш виклад звіту Citizen Lab про рекламу без жодного кліку та журналістів, а потім ознайомтеся з первинними висновками Citizen Lab та Al Jazeera. І пам'ятайте, що VPN, хоч і корисний, не є щитом проти цього типу атаки.