Знайома порада з безпеки починає виглядати неповною: не переходьте за підозрілими посиланнями. Нова серія репортажів стверджує, що шпигунське ПЗ заражало пристрої журналістів через рекламу, на яку вони ніколи не клацали. Той самий новинний дайджест також повідомив про використану вразливість нульового дня в міжмережевих екранах Palo Alto, критичну вразливість Drupal та кримінальні звинувачення проти інженера OpenAI, якого звинувачують у прослуховуванні кімнати керівництва. Перший пункт найважливіший для всіх, хто працює з конфіденційними джерелами, оскільки шпигунське ПЗ без кліків, що доставляється через шкідливу рекламу, з якою журналісти стикаються під час перегляду веб-сторінок, змінює те, як виглядає особистий захист.

Як шпигунське ПЗ без кліків через рекламу потрапляє до журналістів

Ключове слово — «без кліків». Традиційний фішинг вимагає, щоб людина відкрила файл або натиснула посилання. Атака без кліків не потребує жодної дії від цілі. Тут каналом доставки є онлайн-реклама: оголошення показують цільовій особі, і цього достатньо, щоб розпочати компрометацію.

Згідно з висвітленням дослідження The Citizen Lab — підрозділу дослідження цифрових прав при Університеті Торонто — це перший випадок публічного оприлюднення технічних доказів, що демонструють розповсюдження складного найманого шпигунського ПЗ через цільову рекламу. Деякі репортажі також описують ізраїльське рекламне агентство, яке розміщувало оголошення, що залишали людей, які їх бачили, відкритими для атак шпигунського ПЗ. Ми маємо лише деталі на рівні резюме щодо технічних механізмів, тому ставтеся до конкретних деталей обережно, доки не буде прочитано повне дослідження.

Однак загальна картина зрозуміла. Рекламні мережі створені для того, щоб виокремлювати конкретні аудиторії та доставляти їм контент без їхньої участі. Ця сама точність приваблює постачальників засобів спостереження, які хочуть дістатися до конкретної людини, наприклад репортера, без жодних дій з її боку. Раніший випадок стосувався десятків пристроїв у медіаорганізації: наш звіт про висновки Citizen Lab щодо пристроїв Al Jazeera, зламаних через шкідливу рекламу описує, як там було задокументовано ту саму категорію атаки.

Чому одного VPN недостатньо для зупинки цієї атаки

Це сайт про приватність, тому питання про VPN варто відповісти прямо. VPN шифрує трафік між вашим пристроєм і сервером VPN та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Це реальні переваги, але вони стосуються іншої проблеми.

Шкідлива реклама доставляється через звичайний веб, і контент все одно потрапляє до вашого браузера або застосунку, незалежно від того, чи ваш з'єднання проходить через тунель. Якщо в базовому пристрої є невиправлена вразливість, яку може використати рекламний контент, VPN цього не змінює. Деякі VPN-продукти включають блокування реклами або трекерів на рівні DNS, що може зменшити вплив, але це окрема функція, а не гарантія. VPN — це один рівень, і його не слід помилково вважати захистом від шпигунського ПЗ, що доставляється через контент, який ви завантажуєте.

Захист, що зменшує вплив: оновлення, блокувальники реклами та режими блокування

Жоден окремий крок не робить людину несприйнятливою до добре фінансованого нападника, але кілька заходів звужують можливості.

  • Встановлюйте оновлення своєчасно. Шпигунське ПЗ такого типу залежить від програмних вразливостей. Оновлення операційної системи та браузера закривають ці вразливості, тому їхнє відкладання залишає двері відчиненими довше.
  • Використовуйте блокувальник реклами. Якщо шлях зараження — це реклама, то не завантажуючи рекламу, ви усуваєте шлях доставки. Блокувальники в браузері та фільтрація на рівні мережі — обидва варіанти.
  • Увімкніть посилені режими. Основні мобільні платформи пропонують налаштування високої безпеки, призначені для людей з підвищеним ризиком цільових атак. Вони обмінюють частину зручності на меншу поверхню атаки, що є розумною ціною для журналістів, активістів та подібних користувачів.
  • Зменште те, що працює у фоновому режимі. Видаліть застосунки, якими не користуєтеся, обмежте застосунки з великою кількістю реклами та підтримуйте браузери й застосунки оновленими разом з операційною системою.
  • Перезавантажуйте та спостерігайте. Регулярні перезавантаження та увага до незвичайного розряджання батареї, нагрівання чи збоїв не є доказом чогось, але це дешеві звички. Редакції з IT- або безпековим персоналом повинні попросити їх перевірити пристрої співробітників, які висвітлюють чутливі теми.

Організації також відіграють свою роль. Медіаорганізація може встановити базову політику, що вимагає оновлень, обов'язкових посилених режимів для репортерів високого ризику та затвердженого блокування реклами на робочих пристроях, замість того щоб залишати кожного репортера самостійно розбиратися з цим.

Нульовий день Palo Alto: нагадування про необхідність патчити граничні пристрої

Той самий дайджест зазначив, що вразливість нульового дня в міжмережевих екранах Palo Alto використовується. Ми не маємо деталей із резюме, окрім цього, тому перевіряйте власні рекомендації постачальника щодо уражених версій і виправлень. Урок перетинається з історією про шпигунське ПЗ: нападники атакують програмне забезпечення, яке люди вважають своїм захистом. Міжмережеві екрани та інші граничні пристрої розташовані між мережею та інтернетом, що робить їх цінними цілями, а використана вразливість нульового дня означає, що атаки відбуваються до або під час появи виправлення.

Якщо ви керуєте таким обладнанням, ставтеся до рекомендацій постачальника як до нагальних, обмежуйте інтерфейси управління від публічного доступу, де це можливо, та переглядайте журнали на предмет незвичайної активності. Дайджест також згадав критичну вразливість Drupal, яку власники сайтів на цій платформі повинні перевірити за офіційними повідомленнями про безпеку.

Що це означає для вас

Якщо ви журналіст, дослідник, активіст або будь-хто, хто може зацікавити уряд чи підрядника зі спостереження, «я не клацаю на дивні посилання» вже недостатньо. Ризик може прийти через звичайний перегляд веб-сторінок. Для більшості інших читачів практичний ризик нижчий, але кроки, що допомагають користувачам високого ризику, також приносять користь усім: оновлення, блокування реклами та розумний підхід до того, які застосунки залишати.

Звинувачення у прослуховуванні OpenAI — це окрема історія, але вона вписується в тему: загрози спостереження варіюються від віддаленого програмного забезпечення до фізичних пристроїв, і конфіденційні розмови заслуговують на обережність в обох світах.

Ключові висновки

  • Шпигунське ПЗ без кліків через шкідливу рекламу, яку можуть побачити журналісти, може скомпрометувати пристрій без жодного кліку, тому обережність із посиланнями сама по собі не є захистом.
  • VPN захищає ваше з'єднання, а не ваш пристрій від експлойт-контенту, тому не покладайтеся на нього для цієї загрози.
  • Застосовуйте оновлення операційної системи та браузера щойно вони стають доступними.
  • Увімкніть режими блокування або посилені режими на телефоні та використовуйте блокування реклами.
  • Швидко патчіть граничні пристрої, такі як міжмережеві екрани Palo Alto, та дотримуйтесь рекомендацій постачальника.

Щоб ознайомитися з задокументованим прикладом компрометації через шкідливу рекламу, прочитайте наше висвітлення розслідування Citizen Lab щодо Al Jazeera, а потім витратьте десять хвилин сьогодні на оновлення своїх пристроїв і ввімкнення найсильнішого захисту, який вони пропонують.