Реклама што се појавува на екранот може да биде доволна за инсталирање на шпионски софтвер. Нема сомнителна врска за кликнување, нема прилог за отворање.
Тоа е откритието на истрагата на Ситизен Лаб (Citizen Lab) на Универзитетот во Торонто, која откри како инфраструктурата за онлајн рекламирање се користела за следење на уредите и инсталирање на шпионски софтвер, вклучително и во напади врз новинари.
Ситизен Лаб ја нарекува техниката АдФекшн (AdFection) и вели дека нејзината истрага дава прва јавна техничка потврда за инсталирање на платенички шпионски софтвер преку целни реклами без никаква интеракција од жртвата.
Истрагата се фокусира на Дисковер Тек (Discover-Tech) израелска компанија за рекламна технологија, и Цандиру (Candiru), израелски производител на платенички шпионски софтвер ребрендиран во Интегрити Лабс (Integrity Labs).
Министерството за трговија на САД го стави Цандиру на својата црна листа за трговија во ноември 2021 година, велејќи дека снабдувал со шпионски софтвер странски влади, кои го користеле за злонамерно целење на новинари, активисти, службени лица и други.
Порано истата година, Мајкрософт, во соработка со Ситизен Лаб, идентификуваше повеќе од 100 жртви на шпионски софтвер поврзан со компанијата.
Според Ситизен Лаб, Дисковер Тек им овозможил на операторите на шпионски софтвер пристап до систем изграден за пронаоѓање на одредена публика низ интернет. Истите алатки што се користат за поставување реклама пред потенцијален клиент би можеле да стават злонамерен код пред целта за надзор.
Досегот бил широк. Истражувачите испитале речиси 4 милијарди записи за рекламирање од март до јуни 2026 година и откриле дека рекламите на Дисковер Тек се појавуваат на повеќе од 120.000 веб-страници и над 70.000 мобилни апликации низ целиот свет.
Еве што откри истрагата, како функционирале нападите и зошто наодите се протегаат подалеку од една редакција.
Што се случило во Ал Џезира?
Cитизен Лаб идентификувал најмалку 45 уреди во Ал Џезира кои биле цел на напади во текот на 2024 и 2025 година, поврзувајќи ја операцијата со шпионскиот софтвер на Цандиру инсталиран преку рекламите на Дисковер Тек.
Истражувачите потврдиле инфекции, но бројката од 45 се однесува на целните уреди, а не на потврден вкупен број на успешни компромитирани напади.
Мрежните записници доставени од Ал Џезира им овозможија на истражувачите да реконструираат како се одвивале нападите.
Прво, уред вчитал веб-страница или апликација што содржела реклама на Дисковер Тек. Рекламата можела да се појави на екранот или да се вчита во позадина, без корисникот да кликне на неа.
Онлајн рекламите можат да содржат софтверски код покрај нивните видливи слики или видеа. Во овој случај, тој код ги контактирал серверите на Дисковер Тек, доставувајќи информации што би можеле да помогнат во идентификувањето на уредот, вклучувајќи идентификатори на рекламирање и неговата јавна ИП адреса.
Потоа серверот проценувал дали уредот одговара на критериумите на напаѓачот. За повеќето гледачи, не вратил дополнителен код. Но за избраните цели, вратил дополнителен код што го поврзал уредот со инфраструктурата на Цандиру.
Ситизен Лаб не се потпирал само на рекламната инфраструктура кога го поврзувал нападот со Цандиру.
Истражувачите идентификувале технички отпечатоци поврзани со инфраструктурата на Цандиру и пронашле стотици домени и ИП адреси што одговараат на тие карактеристики.
Тие, исто така, испитале датотека со малициозен софтвер пронајдена од еден компромитиран Виндоус уред. Таа содржела адреси на сервери што одговарале на инфраструктурата на Цандиру што ја идентификувале, заедно со технички сличности со нападот на Цандиру документиран во 2021 година.
Заедно, тие докази ѝ овозможиле на Ситизен Лаб со голема мерка на сигурност да ги поврзе нападите со Цандиру.
Потенцијалниот упад оди многу подалеку од следењето на нечие прелистување. Во својата претходна истрага, Ситизен Лаб го опиша шпионскиот софтвер на Цандиру што се продава како способен за кражба на лозинки и пораки, снимање снимки на екранот и активирање на микрофонот и веб-камерата на уредот.
За новинарите, тоа би можело да открие доверливи извори и разговори, како и документи складирани на нивните уреди.
Ал Џезира ги осуди нападите врз својот персонал, нарекувајќи го целењето на новинарите „напад врз слободата на печатот“ и барајќи одговорност.
Колку далеку стигнале рекламите?
Рекламната операција на Дисковер Тек стигнала до мрежи низ целиот свет.
Ситизен Лаб откри дека рекламите насочиле милиони уреди кон сервери поврзани со Цандиру, потенцијално овозможувајќи следење и извидување од големи размери.
Тоа не значи дека милиони уреди биле заразени. Профилирањето на уредот, неговиот избор за напад и успешното инсталирање на шпионски софтвер се различни фази.
Ситизен откри реклами од Дисковер Тек кои допирале до уреди на мрежи управувани од влади во 24 земји, вклучувајќи ги Италија, Данска, Норвешка, Австралија, Русија, Мексико и Израел, како и американската територија Американска Самоа.
Рекламите се појавувале и на популарни веб-страници и апликации, вклучувајќи ги и оние на новински организации како што се Би-Би-Си и Њујорк тајмс, платформата за учење јазици Дуолинго (Duolingo) и веб-страницата за временска прогноза АкјуВедер (AccuWeather).
Одделно, фирмата за безбедност на рекламите Конфиант (Confiant) пронашла знаци на реклами што се појавуваат на мрежи поврзани со Министерството за одбрана на САД, Меѓународната агенција за атомска енергија и Меѓународниот кривичен суд.
Овие наоди го покажуваат досегот на операцијата со рекламите, но не утврдуваат дека корисниците на тие мрежи биле избрани за напади со шпионски софтвер или успешно биле инфицирани.
Зошто Дисковер Тек можел да работи на ова ниво?
Ситизен Лаб го опишува екосистемот за онлајн рекламирање како „зрел за злоупотреба“.
Голем дел од онлајн рекламирањето зависи од огромен, меѓусебно поврзан систем што вклучува лицитирање во реално време, идентификатори на рекламирање, скрипти од трети страни, таргетирање на публиката и автоматизирано донесување одлуки.
Овој систем овозможува прецизно целење, додека самите реклами им дозволуваат на надворешните компании да покренуваат код во веб-страниците и апликациите.
Дисковер Тек ги користел обете можности, според истрагата.
Неговата селективна испорака, исто така, ја отежнувала детекцијата на активноста.
Рекламната платформа Ескими му кажа на Ситизен лаб дека рекламите вчитувале различен код во зависност од гледачот, вклучувајќи го нивниот уред, IИП адреса и локација, помагајќи им да избегнат автоматски проверки.
Ситизен лаб исто така рече дека Дисковер Тек се појавила на „сертифицирани“ или „одобрени“ листи на добавувачи што ги водат Гугл и здружението на рекламната индустрија ИАБ Европа помеѓу 2020 и 2026 година.
Исто така, користела големи рекламни платформи и мрежи, вклучувајќи ги Гугл, Јандекс (Yandex), Вунгл (Vungle), Ескими (Eskimi) и Бисвакс (Beeswax) кој е во сопственост на Комкаст (Comcast).
Според Ситизен лаб, ова му дало на Дисковер Тек“ пристап до инфраструктурата што вообичаено се користи за дистрибуција на легитимно онлајн рекламирање.
Затоа компанијата може да изгледа како уште еден продавач на рекламна технологија, додека управува со инфраструктура за која истражувачите велат дека се користи и за олеснување на нападите со шпионски софтвер.
Откако Ситизен лаб ги откри своите наоди на неколку рекламни компании и индустриски организации, Гугл и ИАБ Европа го отстраниле Дискавер Тек од нивните релевантни регистри на добавувачи, според извештајот.
Гугл исто така го прекина пристапот на Дисковер Тек до своите платформи за размена на реклами. Бисвакс ја отстрани компанијата од својата платформа за купување реклами, додека Вунгл го паузираше нејзиниот пристап до преглед. Eскимиi ги блокираше сметките и домените на Дисковер Тек.
Што значи ова за дигиталната безбедност?
Избегнувањето на сомнителни линкови и прилози останува важно, но нуди мала заштита од напад што започнува кога ќе се вчита реклама.
„Во моментот кога (рекламата) ќе се прикаже, нивниот уред може да биде хакиран, така што навистина нема одбрана од ова, освен да не се користи паметен телефон или да не се поврзува на интернет“, изјави Рон Дајберт, директор на Цитизен Лаб.
Наодите, исто така, откриваат ризици надвор од инфекцијата со шпионски софтвер.
Ситизен Лаб идентификувал уште еден актер, кој го нарекува Дарк Картографер (Dark Cartographer), кој ја користел инфраструктура на Дисковер Тек и ранливостите во системите на мобилни оператори за да ги поврзе идентификаторите на рекламирање со телефонски броеви.
Таа активност би можела да овозможи масовно деанонимизирање на интернет корисниците, создавајќи уште едно средство за идентификување и следење на поединци. Ситизен Лаб соопшти дека ќе ја детализира операцијата во посебен извештај.
Истражувачите повикаа на построг регулаторен надзор на рекламните компании и препорачаа организациите да блокираат насочени реклами на нивните мрежни портали.
Дајберт ги опиша наодите како „најлошо сценарио за кошмар“, кое ги спојува насоченото рекламирање и платеничкиот шпионски софтвер, кои ги нарече „две слабо регулирани и многу злоупотребени индустрии“.
„Тоа е рецепт за катастрофа“, рече тој. „Тоа е глобална шпионажа што ја откривме во огромни размери“.
Извор: АА
