Дослідники з The Citizen Lab вперше оприлюднили технічні докази того, що складне наймане шпигунське програмне забезпечення поширюється через онлайн-рекламу. Публікація WIRED описала це як «сценарій жаху», і це визначення цілком влучне: шпигунське ПЗ без жодного кліку, що доставляється через таргетовану рекламу, може перетворити звичайну рекламну екосистему на канал доставки засобів стеження. У цій статті пояснюється, що саме було повідомлено, як зазвичай працює цей клас атак і які засоби захисту варті вашої уваги.

Одне зауваження щодо обсягу: доступне нам джерело досить коротке, тому ми обмежуємо конкретику лише опублікованими даними. Там, де ми описуємо, як загалом працюють атаки через рекламу, ми пояснюємо саму концепцію, а не додаємо подробиці про цей конкретний випадок.

Що виявив Citizen Lab

Citizen Lab — це дослідницька група, відома розслідуваннями цифрових загроз проти журналістів, активістів та інших представників громадянського суспільства. Згідно з повідомленням, його дослідники тепер опублікували технічні докази того, що наймане шпигунське програмне забезпечення, тобто комерційні інструменти стеження, що продаються платоспроможним клієнтам, може доставлятися через онлайн-рекламу.

Ключове слово — «вперше». Дослідники з питань безпеки давно попереджали, що рекламні мережі можна використовувати в такий спосіб, але саме публічно оприлюднений технічний доказ переводить занепокоєння з теоретичної площини в задокументовану. Ось чому це відкриття має значення, навіть якщо ви навряд чи є ймовірною ціллю.

Як шпигунське ПЗ без жодного кліку поширюється через рекламу

Атака без жодного кліку не потребує жодних дій від жертви. Немає підозрілого посилання, на яке треба натиснути, і немає вкладення, яке треба відкрити. Пристрій зламують просто в процесі обробки того, що йому надіслали.

Онлайн-реклама є ймовірним носієм із кількох причин:

  • Реклама завантажується автоматично. Вебсторінки та застосунки отримують і відображають рекламний вміст у фоновому режимі, без будь-якого усвідомленого вибору з вашого боку.
  • Реклама є таргетованою. Рекламні системи створені для охоплення конкретних аудиторій, а отже, зловмисник у принципі міг би націлити вміст на вузьку групу, а не на широку публіку.
  • Рекламні ланцюжки є складними. Вміст часто проходить через кілька посередників, перш ніж потрапити на екран, що ускладнює для будь-якої окремої сторони перевірку всього.

На практиці це означає, що та сама інфраструктура, яка дозволяє рекламодавцям знаходити певний тип користувача, могла б допомогти зловмиснику знайти конкретну людину. У нас немає додаткових технічних подробиць щодо точного механізму з джерела, тому читачам, які хочуть повний аналіз, слід звернутися безпосередньо до опублікованого дослідження Citizen Lab.

Чому телефони та таргетування реклами залишають користувачів уразливими

Телефони є привабливими цілями, оскільки вони зберігають повідомлення, історію місцезнаходження, фотографії та облікові дані, і вони майже завжди підключені до мережі. Вони також постійно відображають сторонній вміст у браузерах і застосунках.

Таргетування реклами додає другий рівень уразливості. Брокери даних і рекламні платформи збирають сигнали про те, ким ви є і куди ходите, і саме ці сигнали уможливлюють точне націлювання. Що більше таких даних циркулює, то легше мотивованому покупцеві найманого шпигунського ПЗ виокремити конкретну особу.

Саме тому реальний ризик є нерівномірним. Наймане шпигунське ПЗ є дорогим і історично пов'язувалося з високоцінними цілями, такими як журналісти, дисиденти та посадовці, а не з пересічними користувачами. Більшість людей навряд чи стануть навмисною жертвою. Але метод доставки, що використовує інфраструктуру масової реклами, вартий розуміння, адже засоби захисту, які допомагають проти нього, допомагають і проти поширеніших загроз.

Що зменшує ваш ризик (і де місце VPN)

Жоден окремий інструмент не зупиняє таку атаку. Розумною відповіддю є багаторівневий підхід.

Оновлюйте свої пристрої. Шпигунське ПЗ покладається на програмні вразливості, а оновлення їх закривають. Наша публікація про те, як Lazarus Group використала вразливість ядра Windows до серпневого патча, показує, як зловмисники можуть використати вразливість до появи виправлення, і чому своєчасне встановлення патчів усе одно має значення, коли воно з'являється.

Використовуйте режим блокування, якщо ваш ризик підвищений. Режим блокування Apple розроблений для людей, які можуть зазнавати цілеспрямованих атак. Він зменшує поверхню атаки пристрою ціною деяких функцій. Якщо ви журналіст, активіст або працюєте в чутливій сфері, варто його розглянути.

Перегляньте свої налаштування відстеження реклами. Обмеження персоналізації реклами та скидання або обмеження вашого рекламного ідентифікатора зменшує обсяг даних, доступних для таргетування. Блокування вмісту на рівні браузера також може скоротити обсяг стороннього рекламного вмісту, що взагалі завантажується.

Розумійте, що VPN робить, а що ні. VPN шифрує ваш трафік між пристроєм і VPN-сервером і може приховати вашу IP-адресу від сайтів, які ви відвідуєте. Це може зменшити деякі сигнали відстеження. Він не патчить ваш телефон і не зупиняє скомпрометований пристрій від обробки шкідливого вмісту. Ставтеся до нього як до одного обмеженого рівня, а не як до щита проти експлойтів без жодного кліку.

Що це означає для вас

Для більшості читачів це дослідження є сигналом, а не приводом для паніки. Задокументоване використання найманого шпигунського ПЗ націлене на невелику кількість людей, і це відкриття не означає, що звичайний перегляд реклами сьогодні ймовірно скомпрометує ваш телефон. Але воно показує, що рекламну інфраструктуру можна перетворити на канал атаки, що посилює аргументи на користь базової гігієни: актуальне програмне забезпечення, менше трекерів і зменшений вплив непотрібного стороннього вмісту.

Якщо ви працюєте з конфіденційною інформацією або маєте підстави вважати, що можете стати ціллю, планка вища. Поєднуйте оновлення, режим блокування та суворіший контроль реклами, а також розгляньте можливість звернутися за рекомендаціями до організацій з цифрової безпеки, які підтримують групи підвищеного ризику.

Ключові висновки

  • Оновлюйте свій телефон і застосунки, щойно з'являються патчі.
  • Увімкніть режим блокування, якщо ваш ризик підвищений.
  • Обмежте персоналізацію реклами та скиньте або обмежте свій рекламний ідентифікатор.
  • Розгляньте блокувальник вмісту, щоб зменшити завантаження сторонньої реклами.
  • Використовуйте VPN для приватності, але не покладайтеся на нього для зупинки шпигунського ПЗ без жодного кліку через таргетовану рекламу.
  • Для ширшого контексту патчингу дивіться нашу публікацію про дев'ятий нульовий день Windows, оприлюднений дослідником Nightmare Eclipse.

Відкриття Citizen Lab нагадує, що рекламна екосистема є частиною вашої поверхні атаки. Ви не можете контролювати кожну рекламну мережу, але можете звузити цю прогалину кількома продуманими налаштуваннями та послідовними оновленнями.