研究人员记录了一起2024年记者遭遇的零点击广告间谍软件案例，这改变了我们对日常浏览风险的认识。半岛电视台和Citizen Lab均已发表了一项他们称之为“AdFection”的行动的调查结果，该行动通过在线广告投递雇佣间谍软件。无需点击、无需下载，也无需可疑链接。

究竟是谁最终 targeting 了这些记者，目前仍无答案。研究人员表示，他们确知的是谁促成了这些攻击：两家以色列公司，其中一家已被列入美国黑名单约五年之久。

AdFection如何向记者投递零点击广告间谍软件

零点击攻击是一种无需受害者采取任何行动的攻击。传统钓鱼依赖于你打开附件或点击链接。而在这一案例中，投递渠道是广告生态系统本身。广告会在页面加载时自动加载，因此恶意广告可以仅仅因为有人访问了某个网站就到达其设备。

这正是该技术令人不安之处。大多数读者从不关注的广告网络，成了间谍软件传播的通道。定向广告本身就是为筛选特定受众而构建的，而让品牌触达特定人群的精确性，理论上也可以让攻击者触达特定个人。

关于该研究的公开报道提到了一家名为Discover-Tech的广告公司，并描述间谍软件制造商利用它来触达设备。这些细节来自对Citizen Lab报告的二手报道，因此在依赖这些信息之前，请查阅原始调查结果以获取准确的技术描述。

Citizen Lab和半岛电视台发现了什么

两家机构均发布了各自的调查结果。半岛电视台的记者也在受影响者之列，而多伦多大学以调查商业间谍软件而闻名的研究团队Citizen Lab分析了该行动，并为其命名为AdFection。我们此前关于Citizen Lab发现零点击广告感染记者设备的报道对该报告有更详细的梳理。

报道中有两点尤为突出：

  • 归因不完整。 研究人员确认了促成者，但未确认选择目标的客户。这在雇佣间谍软件市场中是典型情况，构建工具的公司和使用工具的一方往往是不同的。
  • 涉及一家被列入黑名单的公司。 两家以色列公司中的一家已被列入美国黑名单约五年。这引发了关于此类公司如何保持与商业基础设施及更广泛广告供应链联系的严峻问题。

二手报道还将此案描述为首个公开确认的通过定向广告投递零点击雇佣间谍软件的案例。请将该表述视为他人对Citizen Lab工作的定性描述，并查阅原始报告以了解其确切主张。

记者和活动人士为何成为目标

雇佣间谍软件作为监控工具出售，而记者是反复出现的目标，因为他们掌握着他人想要的东西：消息来源、未发表的材料和私人通信。一部被入侵的手机可以暴露联系人、消息、位置和麦克风访问权限。对于从事敏感报道的记者而言，一次感染就可能使消息来源面临风险，而不仅仅是记者本人。

AdFection案例还表明，为何这一威胁并不严格局限于记者。投递方法依赖于所有人都在使用的基础设施。即使特定个人被选为目标，同一广告系统也服务于普通公众。大多数读者不太可能成为此类工具的重点目标，但该案例表明这一机制确实存在。

这对你意味着什么

对大多数人而言，被雇佣间谍软件单独针对的实际风险很低。尽管如此，这些发现提醒我们：什么都不点击并不意味着你安全，普通网络广告也可能成为攻击面。如果你是记者、活动人士、律师或处理敏感信息的人，请更严肃地对待此事。

关于VPN，也值得坦诚相待。VPN加密你设备与VPN服务器之间的流量，并对你访问的网站隐藏你的IP地址。它不能阻止恶意广告在你的浏览器中加载，也不能修补你手机上的漏洞。仅靠VPN无法防御此类攻击。它对其他隐私目标仍然有用，但在此处不是防御手段。

读者可以做什么

没有任何单一措施能消除风险，但分层措施可以大幅降低风险：

  • 及时更新操作系统和浏览器。 此类间谍软件通常依赖软件漏洞，而更新可以修补这些漏洞。
  • 如果你面临较高风险，请开启锁定模式。 Apple的锁定模式旨在为可能被针对的人群缩小攻击面。Android用户可以寻找类似的高级保护设置。
  • 使用广告拦截器。 如果投递渠道是广告，在浏览器或DNS层面拦截广告可以消除大部分暴露风险。
  • 定期重启设备。 某些感染在重启后无法存活，这可以迫使攻击者从头开始。
  • 减少浏览器中运行的内容。 更少的扩展和最小化的应用集合可以降低攻击者可利用的入口数量。
  • 如果你怀疑被感染，请寻求专家帮助。 为高风险群体提供支持的组织可以协助进行取证检查。

关键要点

AdFection案例表明，2024年记者面临的零点击广告间谍软件是通过服务于其他所有人的同一广告系统投递的。攻击者身份仍未确定，但两家以色列公司被认定协助了该行动。保持设备更新，如果你面临较高风险，考虑启用锁定模式，并尽可能拦截广告。如需完整细节，请阅读我们对Citizen Lab关于零点击广告与记者的报告的摘要，然后查阅Citizen Lab和半岛电视台的原始调查结果。并请记住，VPN虽然有用，但并非抵御此类攻击的盾牌。