Ein neuer Bericht von Citizen Lab hat eine als AdFection bezeichnete Spionagesoftware aufgedeckt, die Smartphones und Computer allein durch das Anzeigen einer schädlichen Werbung infizieren kann, ohne dass das Opfer auf einen Link klicken oder eine Datei öffnen muss. Die Forscher bezeichnen dies als die erste Bestätigung staatlich unterstützter Spionageangriffe, die über Online-Werbung zugestellt werden und nach dem Prinzip „ohne Klick“ funktionieren.
Dem Bericht zufolge wurde die Technologie vom israelischen Unternehmen Discover-Tech entwickelt, das sich selbst als legitimes Werbeunternehmen präsentiert. Das System wurde eingesetzt, um Journalisten und Mitarbeiter des Senders Al Jazeera sowie Verantwortliche und Beschäftigte von Einrichtungen und Organisationen ins Visier zu nehmen, darunter die NATO, die Europäische Kommission sowie NVIDIA und Arm.
Wie wurde Werbung zu einem Spionagekanal?
Discover-Tech nutzte das bei zielgerichteter Werbung eingesetzte Echtzeitbietsystem, über das Werbetreibende um die Ausspielung von Anzeigen an bestimmte Nutzer konkurrieren können. Laut Citizen Lab wurde diese Infrastruktur stattdessen dazu verwendet, Nutzer zu identifizieren oder ihre Anonymität aufzuheben und anschließend bestimmte Ziele auszuwählen, bevor Schadcode in scheinbar gewöhnliche Anzeigen eingebettet wurde.
Die Gefahr dieser Methode liegt in der enormen Reichweite des Werbenetzwerks. Die Organisation erklärte, mit dem System verbundene Anzeigen seien 442 Millionen Mal auf mehr als 120.000 Websites ausgespielt worden, darunter BBC und The New York Times, sowie in Apps wie Duolingo, Badoo und Grindr. Die Anzeigen erschienen außerdem auf Geräten, die von Armeen, Regierungen, kritischen Infrastrukturen und nationalen Cybersicherheitsbehörden genutzt werden.
Maßnahme von Google und offene Fragen
Google gehörte zu den Werbeplattformen, auf die diese Technologie abzielte. Das Unternehmen entfernte Discover-Tech jedoch nach einer gemeinsamen Untersuchung mit Citizen Lab und dem Unternehmen Confiant aus seiner weltweiten Lieferantenliste. Google erklärte, Discover-Tech sei wegen systematischer Verstöße gegen seine Richtlinien von seinen Plattformen ausgeschlossen worden.
Die Forscher fanden außerdem Anmeldeprotokolle auf der Website von Discover-Tech, die Daten über Mitarbeiter des Spionageunternehmens Candiru enthielten. Discover-Tech und die anderen in dem Schema genannten Stellen äußerten sich bis zur Veröffentlichung des Artikels nicht dazu.
Warum ist diese Nachricht wichtig?
Die Enthüllung zeigt, dass das digitale Werbemodell, das Nutzer über eine enorme Zahl von Websites und Anwendungen erreicht, zu einem Infektionskanal werden kann, der kein erkennbares Verhalten des Opfers erfordert. Dadurch erweitert sich das Risikospektrum im Vergleich zu Angriffen, die auf Phishing oder dem Herunterladen einer Datei beruhen. Der Bericht belegt jedoch nicht, dass jede Werbung oder jede Werbeplattform auf dieselbe Weise gefährdet ist; er konzentriert sich auf ein bestimmtes System und ein bestimmtes Unternehmen, während die vollständigen Details der Untersuchungen weiterhin nicht veröffentlicht sind.
Bill Marczak, Forscher bei Citizen Lab, erklärte, das Aufgedeckte könne „nur die Spitze des Eisbergs“ sein. Er rief Personen, die aufgrund ihrer Identität oder ihrer Arbeit Ziel eines Angriffs werden könnten, dazu auf, Werbetracking zu deaktivieren oder Werbung zu blockieren. Fragen zum Verbreitungsgrad der Technologie, zur tatsächlichen Zahl infizierter Geräte und zu den Akteuren hinter ihrem Einsatz bleiben in dem verfügbaren Material vollständig unbeantwortet.