AdFection là tên do Citizen Lab đặt cho một chiến dịch trong đó phần mềm gián điệp đánh thuê được phát tán đến các nhà báo qua quảng cáo trực tuyến, không yêu cầu chạm, tải xuống hay liên kết đáng ngờ nào.

Điều gì làm cho một cuộc tấn công zero-click khác với lừa đảo truyền thống?

Một cuộc tấn công zero-click không yêu cầu bất kỳ hành động nào từ nạn nhân, trong khi lừa đảo truyền thống phụ thuộc vào việc nạn nhân mở tệp đính kèm hoặc nhấp vào liên kết.

Phần mềm gián điệp được phát tán đến thiết bị của các nhà báo như thế nào?

Kênh phát tán chính là hệ sinh thái quảng cáo, vì quảng cáo tự động tải mỗi khi một trang tải, nên một quảng cáo độc hại có thể tiếp cận thiết bị chỉ đơn giản vì ai đó đã truy cập một trang web.

AdFection: Phần mềm gián điệp quảng cáo zero-click mà các nhà báo phải đối mặt năm 2024

Q: Các nhà nghiên cứu có biết ai đã nhắm mục tiêu vào các nhà báo không?

Không. Các nhà nghiên cứu đã xác định được những người tạo điều kiện—hai công ty Israel, một trong số đó đã nằm trong danh sách đen của Mỹ khoảng năm năm—nhưng không xác định được khách hàng đã chọn mục tiêu.

Q: Những công ty nào được xác định là đã tạo điều kiện cho các cuộc tấn công?

Các nhà nghiên cứu nói rằng hai công ty Israel đã tạo điều kiện cho các cuộc tấn công, một trong số đó đã nằm trong danh sách đen của Mỹ khoảng nửa thập kỷ; các bài báo thứ cấp cũng nêu tên một công ty quảng cáo có tên Discover-Tech.

Các nhà nghiên cứu đã ghi nhận một trường hợp phần mềm gián điệp quảng cáo zero-click mà các nhà báo gặp phải vào năm 2024, và nó thay đổi cách chúng ta nghĩ về những rủi ro của việc duyệt web hàng ngày. Al Jazeera và Citizen Lab đều đã công bố các phát hiện về một chiến dịch mà họ gọi là "AdFection," trong đó phần mềm gián điệp đánh thuê được phát tán qua quảng cáo trực tuyến. Không cần chạm, không cần tải xuống và không cần liên kết đáng ngờ nào.

Câu hỏi về việc ai cuối cùng đã nhắm mục tiêu vào các nhà báo vẫn chưa có lời giải đáp. Điều mà các nhà nghiên cứu nói rằng họ biết là ai đã tạo điều kiện cho các cuộc tấn công: hai công ty Israel, một trong số đó đã nằm trong danh sách đen của Mỹ khoảng năm năm.

Cách AdFection phát tán phần mềm gián điệp quảng cáo zero-click đến các nhà báo

Tấn công zero-click là cuộc tấn công không yêu cầu bất kỳ hành động nào từ nạn nhân. Lừa đảo truyền thống phụ thuộc vào việc bạn mở tệp đính kèm hoặc nhấp vào liên kết. Ở đây, kênh phát tán chính là hệ sinh thái quảng cáo. Quảng cáo tự động tải mỗi khi một trang tải, vì vậy một quảng cáo độc hại có thể tiếp cận thiết bị chỉ đơn giản vì ai đó đã truy cập một trang web.

Đó là điều khiến kỹ thuật này gây bất an. Mạng lưới quảng cáo, thứ mà hầu hết độc giả không bao giờ nghĩ đến, trở thành con đường mà phần mềm gián điệp di chuyển. Quảng cáo nhắm mục tiêu được xây dựng để chọn ra những đối tượng cụ thể, và chính sự chính xác cho phép một thương hiệu tiếp cận một nhóm nhân khẩu học cụ thể, về lý thuyết, cũng có thể cho phép kẻ tấn công tiếp cận một người cụ thể.

Các báo cáo công khai về nghiên cứu này nêu tên một công ty quảng cáo có tên Discover-Tech và mô tả các nhà sản xuất phần mềm gián điệp sử dụng nó để tiếp cận thiết bị. Những chi tiết đó đến từ các bài báo thứ cấp về báo cáo của Citizen Lab, vì vậy hãy kiểm tra các phát hiện gốc để có mô tả kỹ thuật chính xác trước khi dựa vào chúng.

Những gì Citizen Lab và Al Jazeera phát hiện

Cả hai tổ chức đều công bố phát hiện của riêng mình. Các nhà báo của Al Jazeera nằm trong số những người bị ảnh hưởng, và Citizen Lab, nhóm nghiên cứu tại Đại học Toronto nổi tiếng với việc điều tra phần mềm gián điệp thương mại, đã phân tích chiến dịch và đặt tên cho nó là AdFection. Bài đưa tin trước đây của chúng tôi về phát hiện của Citizen Lab rằng quảng cáo zero-click đang lây nhiễm thiết bị của các nhà báo trình bày chi tiết hơn về báo cáo.

Hai điểm nổi bật từ các báo cáo:

Việc quy trách nhiệm chưa đầy đủ. Các nhà nghiên cứu đã xác định được những người tạo điều kiện, nhưng không xác định được khách hàng đã chọn mục tiêu. Đó là điều điển hình của thị trường phần mềm gián điệp đánh thuê, nơi công ty xây dựng công cụ và bên sử dụng chúng thường là khác nhau.
Một công ty nằm trong danh sách đen có liên quan. Một trong hai công ty Israel đã nằm trong danh sách đen của Mỹ khoảng nửa thập kỷ. Điều đó đặt ra những câu hỏi khó về cách một công ty như vậy vẫn kết nối được với cơ sở hạ tầng thương mại và chuỗi cung ứng quảng cáo rộng lớn hơn.

Các bài báo thứ cấp cũng mô tả trường hợp này là ví dụ được xác nhận công khai đầu tiên về phần mềm gián điệp đánh thuê zero-click được phát tán qua quảng cáo nhắm mục tiêu. Hãy coi cách diễn đạt đó là đặc điểm của công trình nghiên cứu của Citizen Lab như được người khác đưa tin, và tham khảo báo cáo gốc để biết các tuyên bố chính xác của nó.

Tại sao các nhà báo và nhà hoạt động bị nhắm mục tiêu

Phần mềm gián điệp đánh thuê được bán như một công cụ giám sát, và các nhà báo là mục tiêu thường xuyên vì họ nắm giữ những gì người khác muốn: nguồn tin, tài liệu chưa công bố và thông tin liên lạc riêng tư. Một chiếc điện thoại bị xâm nhập có thể làm lộ danh bạ, tin nhắn, vị trí và quyền truy cập micrô. Đối với một phóng viên đang làm việc với những câu chuyện nhạy cảm, một lần lây nhiễm có thể đặt nguồn tin vào vòng nguy hiểm, chứ không chỉ riêng phóng viên.

Trường hợp AdFection cũng cho thấy tại sao mối đe dọa không strictly giới hạn ở các nhà báo. Phương thức phát tán dựa vào cơ sở hạ tầng mà mọi người đều sử dụng. Ngay cả khi một người cụ thể được chọn làm mục tiêu, cùng một hệ thống quảng cáo vẫn phục vụ công chúng nói chung. Hầu hết độc giả khó có khả năng là mục tiêu ưu tiên cho loại công cụ này, nhưng trường hợp này cho thấy cơ chế đó tồn tại.

Điều này có ý nghĩa gì với bạn

Đối với hầu hết mọi người, rủi ro thực tế bị nhắm mục tiêu riêng bởi phần mềm gián điệp đánh thuê là thấp. Tuy nhiên, các phát hiện là lời nhắc nhở rằng không nhấp vào gì cả không có nghĩa là bạn an toàn, và quảng cáo web thông thường có thể là một bề mặt tấn công. Nếu bạn là nhà báo, nhà hoạt động, luật sư hoặc người xử lý thông tin nhạy cảm, hãy coi trọng điều này hơn.

Cũng nên thẳng thắn về VPN. VPN mã hóa lưu lượng truy cập của bạn giữa thiết bị và máy chủ VPN và ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Nó không ngăn một quảng cáo độc hại tải trong trình duyệt của bạn, và nó không vá một lỗ hổng trên điện thoại của bạn. Chỉ riêng VPN không bảo vệ chống lại loại tấn công này. Nó vẫn hữu ích cho các mục tiêu quyền riêng tư khác, nhưng nó không phải là biện pháp phòng thủ ở đây.

Những gì độc giả có thể làm

Không có bước đơn lẻ nào loại bỏ được rủi ro, nhưng các biện pháp phân lớp giảm thiểu nó đáng kể:

Cập nhật hệ điều hành và trình duyệt của bạn kịp thời. Phần mềm gián điệp như thế này thường phụ thuộc vào các lỗ hổng phần mềm, và các bản cập nhật đóng chúng lại.
Bật Lockdown Mode nếu bạn có rủi ro cao hơn. Lockdown Mode của Apple được thiết kế để thu hẹp bề mặt tấn công cho những người có thể bị nhắm mục tiêu. Người dùng Android có thể tìm các cài đặt bảo vệ nâng cao tương tự.
Sử dụng trình chặn quảng cáo. Nếu kênh phát tán là quảng cáo, chặn quảng cáo ở cấp trình duyệt hoặc DNS sẽ loại bỏ phần lớn phơi nhiễm.
Khởi động lại thiết bị thường xuyên. Một số lây nhiễm không tồn tại qua lần khởi động lại, điều này có thể buộc kẻ tấn công phải bắt đầu lại.
Giảm những gì chạy trong trình duyệt. Ít tiện ích mở rộng hơn và một bộ ứng dụng tối thiểu làm giảm số nơi kẻ tấn công có thể khai thác.
Tìm trợ giúp chuyên gia nếu bạn nghi ngờ bị lây nhiễm. Các tổ chức hỗ trợ nhóm có rủi ro có thể hỗ trợ kiểm tra pháp y.

Những điểm chính cần nắm

Trường hợp AdFection cho thấy phần mềm gián điệp quảng cáo zero-click mà các nhà báo phải đối mặt năm 2024 được phát tán qua chính hệ thống quảng cáo phục vụ mọi người khác. Kẻ tấn công vẫn chưa được xác định, nhưng hai công ty Israel đã bị liên kết với việc tạo điều kiện cho nó. Hãy cập nhật thiết bị của bạn, cân nhắc Lockdown Mode nếu bạn đối mặt với rủi ro cao, và chặn quảng cáo ở nơi có thể. Để biết chi tiết đầy đủ, hãy đọc bản tóm tắt của chúng tôi về báo cáo của Citizen Lab về quảng cáo zero-click và các nhà báo, sau đó theo dõi các phát hiện gốc từ Citizen Lab và Al Jazeera. Và hãy nhớ rằng VPN, dù hữu ích, không phải là lá chắn chống lại loại tấn công này.