Ισχυρό zero-click spyware διαφημίσεις χρησιμοποιούν ως μέσο διανομής, σύμφωνα με νέα έρευνα που δείχνει ότι κακόβουλο λογισμικό παρακολούθησης μπορεί να φτάσει σε συσκευές απλώς μέσω στοχευμένων διαδικτυακών αγγελιών. Οι παράλληλες έρευνες του Citizen Lab και της εταιρείας ασφάλειας Confiant κατέγραψαν πώς η ισραηλινή εταιρεία Discover-Tech μόλυνε τις συσκευές τουλάχιστον 45 δημοσιογράφων του Al Jazeera.
Zero-click spyware διαφημίσεις: τι αποκαλύπτει η έρευνα
Η Discover-Tech εμφανίζεται ως διαφημιστική εταιρεία, όμως οι ερευνητές την περιγράφουν ως «γέφυρα» ανάμεσα στους παρόχους διαφημίσεων και στο οικοσύστημα του μισθοφορικού spyware. Κατά το Citizen Lab, αυτός φαίνεται να είναι ο κύριος λόγος ύπαρξής της.
Σύμφωνα με την έρευνα, η ισραηλινή Candiru, της οποίας το προϊόν χρησιμοποιείται εδώ και χρόνια για την παρακολούθηση μελών της κοινωνίας των πολιτών και είχε μπει στη μαύρη λίστα του αμερικανικού υπουργείου Εμπορίου το 2021, φέρεται να προσέλαβε τη Discover-Tech για την αποστολή των διαφημίσεων. Οι αγγελίες «κατεύθυναν κρυφά εκατομμύρια συσκευές να επικοινωνήσουν με τους διακομιστές της Candiru», πιθανώς για μαζική παρακολούθηση και αναγνώριση.
Πώς λειτουργεί μια επίθεση μέσω διαφήμισης
Η πλατφόρμα της Discover-Tech, με το όνομα Controlium, επιτρέπει στους πελάτες της να αποανωνυμοποιούν, να καταγράφουν το «αποτύπωμα» (fingerprint) και να μολύνουν αυτόματα συσκευές τη στιγμή που εμφανίζεται μια διαφήμιση. Πρόκειται για επίθεση zero-click: το θύμα δεν χρειάζεται να πατήσει τίποτα.
Όταν ένας στόχος που έχει εντοπιστεί επισκέπτεται σελίδα με διαφήμιση της εταιρείας, εκτελείται αυτόματα κακόβουλος κώδικας JavaScript. Η εταιρεία αποφεύγει να μοιράζεται κακόβουλο κώδικα ή ακόμη και παραπομπές προς αυτόν με τις εταιρείες που διανέμουν τις διαφημίσεις, γεγονός που δυσκολεύει τον εντοπισμό.
Η κλίμακα των zero-click spyware διαφημίσεων
Το Citizen Lab εξέτασε τέσσερα δισεκατομμύρια εγγραφές τοποθέτησης διαφημίσεων της Discover-Tech. Μέσα σε μόλις τέσσερις μήνες, οι κακόβουλες αγγελίες φέρεται να εμφανίστηκαν σε εφαρμογές Android και iOS και σε σχεδόν 200.000 μοναδικούς ιστότοπους. Το λογισμικό μπορεί να καταγράφει κλήσεις, να ενεργοποιεί μικρόφωνα και να αντλεί μηνύματα και email.
Ποιοι επηρεάστηκαν
Εκτός από τους δημοσιογράφους του Al Jazeera, οι κακόβουλες υποδομές σέρβιραν διαφημίσεις σε εσωτερικά δίκτυα δεκάδων κυβερνητικών υπηρεσιών και διεθνών οργανισμών. Το Citizen Lab βρήκε ενδείξεις εμφάνισης σε «ευαίσθητα για την εθνική ασφάλεια δίκτυα» σε όλο τον κόσμο, μεταξύ αυτών το ΝΑΤΟ. Η έκθεση δεν διευκρινίζει πόσες συσκευές αξιωματούχων παραβιάστηκαν.
Η Confiant ανέλυσε χωριστά δεδομένα στόχευσης και εντόπισε ενδείξεις ότι οι διαφημίσεις εμφανίστηκαν σε δίκτυα του αμερικανικού υπουργείου Άμυνας, της εσθονικής Αρχής Πληροφοριακών Συστημάτων (RIA), του Διεθνούς Οργανισμού Ατομικής Ενέργειας (IAEA) και του Διεθνούς Ποινικού Δικαστηρίου. Το Controlium φέρεται να έχει χρησιμοποιηθεί και κατά δημοσιογράφων, αντιφρονούντων και προσωπικού πρεσβειών.
Η Discover-Tech φέρεται να έχει συνεργαστεί και με άλλες ισραηλινές εταιρείες spyware, δίνοντάς τους πρόσβαση σε διαφημιστικές πλατφόρμες της Google και της ρωσικής Yandex. Μετά την έρευνα, η Google και άλλες μεγάλες πλατφόρμες έχουν μπλοκάρει την εταιρεία. Επιπλέον, ένας δεύτερος παράγοντας απειλής, που οι ερευνητές ονόμασαν Dark Cartographer, χρησιμοποιεί το ίδιο λογισμικό για να εκμεταλλεύεται αδυναμίες σε δίκτυα κινητής τηλεφωνίας και να συνδέει τα διαφημιστικά αναγνωριστικά συσκευών με αριθμούς τηλεφώνου, διευκολύνοντας τη μαζική αποανωνυμοποίηση.
Γιατί έχει σημασία
Η χρήση ad tech για κατασκοπεία είχε ήδη συζητηθεί, όμως αυτή είναι η πρώτη φορά που ερευνητές συλλέγουν τεχνικά στοιχεία που τεκμηριώνουν τις υποψίες. Για τους φορείς spyware το πλεονέκτημα είναι σαφές: μπορούν να εντοπίζουν και να μολύνουν συσκευές χωρίς τους παραδοσιακούς περιορισμούς, όπως η πώληση του λογισμικού μόνο σε κυβερνητικούς πελάτες και η ανάγκη για τεχνικές κοινωνικής μηχανικής.
Το Citizen Lab ζητά να αλλάξει η έλλειψη ρύθμισης στη διαφήμιση. Οι πάροχοι διαφημίσεων πρέπει, κατά την έκθεση, να ενισχύσουν σημαντικά την ασφάλεια και τον εντοπισμό απειλών και να ελέγχουν και να ελέγχονται τακτικά οι συνεργάτες τους και οι αλυσίδες εφοδιασμού τους.
Τι πρέπει να κάνετε
- Διατηρείτε λειτουργικά συστήματα, προγράμματα περιήγησης και εφαρμογές πάντα ενημερωμένα με τα τελευταία patches.
- Οργανισμοί και ευάλωτες ομάδες, όπως δημοσιογράφοι και ακτιβιστές, μπορούν να εξετάσουν τη χρήση αποκλεισμού διαφημίσεων σε επίπεδο δικτύου ή προγράμματος περιήγησης.
- Περιορίστε το διαφημιστικό αναγνωριστικό της συσκευής σας από τις ρυθμίσεις απορρήτου, ώστε να μειωθεί η δυνατότητα στόχευσης.
- Οι ομάδες ασφαλείας (SOC) καλό είναι να παρακολουθούν την κίνηση προς άγνωστους διακομιστές που προκύπτει από διαφημιστικό περιεχόμενο σε εσωτερικά δίκτυα.
- Οι εταιρείες που διαχειρίζονται διαφημιστικές πλατφόρμες πρέπει να ελέγχουν αυστηρά τους συνεργάτες τους και την αλυσίδα εφοδιασμού τους.