В новом отчёте Citizen Lab сообщается о шпионском ПО под названием AdFection, способном заражать телефоны и компьютеры сразу после показа вредоносной рекламы, без необходимости перехода жертвы по ссылке или открытия файла. Исследователи называют это первым подтверждением поддерживаемых государством шпионских атак, доставляемых через онлайн-рекламу и работающих по принципу «без клика».
Согласно отчёту, технологию разработала израильская компания Discover-Tech, позиционирующая себя как легитимная рекламная компания. Система использовалась для слежки за журналистами и сотрудниками сети «Аль-Джазира», а также за должностными лицами и сотрудниками таких организаций и учреждений, как НАТО, Европейская комиссия, NVIDIA и Arm.
Как реклама превратилась в канал шпионажа?
Discover-Tech использовала систему мгновенных торгов, применяемую в таргетированной рекламе и позволяющую рекламодателям конкурировать за показ объявлений определённым пользователям. Согласно Citizen Lab, вместо этого эта инфраструктура применялась для установления личности пользователей или снятия их анонимности, а затем выбора конкретных целей, после чего вредоносный код встраивался в рекламу, выглядевшую обычной.
Опасность этого метода заключается в огромном охвате рекламной сети: организация заявила, что связанная с системой реклама была показана 442 миллиона раз на более чем 120 тысячах сайтов, включая BBC и The New York Times, а также в таких приложениях, как Duolingo, Badoo и Grindr. Реклама также появлялась на устройствах, используемых армиями и правительствами, объектами критической инфраструктуры и национальными агентствами по кибербезопасности.
Действия Google и открытые вопросы
Google была одной из рекламных платформ, против которых применялась эта технология, однако после совместного расследования с Citizen Lab и компанией Confiant исключила Discover-Tech из своего глобального списка поставщиков. В Google заявили, что компания была заблокирована на их платформах за систематическое нарушение правил.
Исследователи также обнаружили журналы входа на сайте Discover-Tech, содержащие данные о сотрудниках шпионской компании Candiru. Discover-Tech и другие упомянутые в схеме стороны не прокомментировали ситуацию к моменту публикации материала.
Почему эта новость важна?
Раскрытие показывает, что модель цифровой рекламы, достигающая пользователей через огромное количество сайтов и приложений, может превратиться в канал заражения, не требующий от жертвы каких-либо заметных действий. Это расширяет масштаб рисков по сравнению с атаками, основанными на фишинге или скачивании файла, однако не доказывает, что каждая реклама или рекламная платформа уязвима таким же образом: отчёт посвящён конкретной системе и конкретной компании, а расследования по-прежнему не раскрыты полностью.
Исследователь Citizen Lab Билл Марчак заявил, что обнаруженное может быть «лишь верхушкой айсберга», и призвал людей, которые могут стать объектами атак из-за своей личности или работы, отключить отслеживание рекламы или блокировать рекламу. В доступном материале по-прежнему нет полных ответов на вопросы о масштабах распространения технологии, фактическом количестве заражённых устройств и стоящих за её использованием организациях.