上周，Citizen Lab的研究人员披露了一场他们命名为“AdFection”的新型恶意软件行动。根据电子前沿基金会（EFF）对该发现的撰文，该行动利用广告网络向记者设备投放间谍软件，在目标无需点击任何内容的情况下即完成感染。AdFection零点击间谍软件恶意广告提醒我们，日常浏览和应用后台悄然加载的广告可能成为攻击路径。
我们可获取的原始材料较为简短，因此本文仅围绕已报道的内容展开，并聚焦于读者可能提出的实际问题。
AdFection如何通过广告网络投放间谍软件
据EFF描述，该行动的核心在于投递方式。攻击者没有向目标发送可疑链接或附件，而是利用广告网络将间谍软件推送到记者设备上。目标无需点击、打开或批准任何内容。
这就是“零点击”的含义：入侵在无需用户交互的情况下发生。恶意广告——即滥用广告系统投递恶意内容——作为一种概念并不新鲜。此次引人注目之处在于，它将可信的日常投递渠道与受害者无需任何操作相结合，且针对的是一个本就长期处于高风险中的群体。
EFF将此类针对记者的攻击描述为危险的，其理由显而易见。记者处理机密消息来源和敏感通信，一部被入侵的手机可能将这一切暴露无遗。
为什么零点击恶意广告的影响不止于记者
AdFection被报道为一场针对记者的行动，但其机制并非记者所独有。广告网络通过网站和应用触达海量人群。任何依赖这一基础设施的投递路径都引发了一个更广泛的问题：普通用户暴露于他们从未选择加载的内容的程度有多大。
此类威胁也往往与其他零点击间谍软件案例一同被讨论。近期的例子可参见我们的报道：半岛电视台称与Candiru相关的间谍软件入侵了45台员工设备，据报数据在用户毫无操作的情况下从记者和员工设备中被窃取。
大多数读者不太可能成为此类行动的预定目标。尽管如此，降低高风险用户风险的防御措施往往是免费的、内置于设备中的，值得广泛采用。
VPN能防什么、不能防什么
人们很容易想当然地认为VPN能解决这类问题。更准确的做法是具体说明VPN的作用。
VPN加密你的设备与VPN服务器之间的流量，并向你访问的网站隐藏你的IP地址。这有助于在不可信网络上保护隐私，并限制某些基于IP的追踪形式。
VPN本身并不能阻止通过连接投递的恶意内容在到达你的设备后造成危害。如果间谍软件通过浏览器或应用加载的广告到达，VPN隧道只是像承载其他流量一样承载该内容。标准VPN不会修补软件漏洞，也不会让你的设备免于被利用。
部分VPN产品包含可选的广告或域名拦截功能。这些可能减少对广告内容的暴露，但它们是一层过滤而非保证，且质量参差不齐。应将VPN视为众多隐私工具之一，而非抵御间谍软件的防线。
实用防御措施：更新、广告拦截器和锁定模式
面对零点击威胁，以下几项措施最为重要。
- 及时安装更新。 零点击攻击通常依赖软件漏洞。操作系统和浏览器更新是封堵漏洞最直接的方式。
- 使用广告拦截器。 如果投递路径是广告网络，拦截广告就能消除相当一部分暴露面。使用信誉良好的拦截器，在浏览器上启用，并在可能的情况下在设备或网络层面启用。
- 如果你属于较高风险人群，请启用锁定模式。 在受支持的Apple设备上，锁定模式是一项可选设置，可减少可能被 sophisticated 间谍软件针对的人群的攻击面。它会限制部分功能，这是需要权衡的代价。
- 减少设备上运行的内容。 卸载不使用的应用，因为每个应用都可能携带自己的广告组件。
这对你意味着什么
如果你是记者、活动人士或其他可能被针对的人，请将AdFection视为一个提醒：现在就加固你的设备，而不是等到事件发生之后。如果你是普通用户，被单独盯上的风险较低，但同样的习惯成本很低，也能抵御许多其他威胁。
保持现实的预期。VPN在其设计用途上是有用的，但它本身无法阻止广告投递的间谍软件。更新、广告拦截以及在适当情况下启用锁定模式，是与这类攻击关联最明确的步骤。
要点
AdFection零点击间谍软件恶意广告表明，一场行动可以通过普通广告基础设施触达目标，且无需任何点击。今天，你可以：
- 安装待处理的操作系统、浏览器和应用更新。
- 开启信誉良好的广告拦截器。
- 如果你属于较高风险人群，启用锁定模式。
- 阅读据报在半岛电视台设备上发现的与Candiru相关的间谍软件，了解同类零点击威胁的另一个近期案例。
这些步骤都不复杂，合在一起能切实抬高攻击者的门槛。
