AdFection: шпионское ПО доставили журналистам через рекламную сеть — без единого клика

На прошлой неделе исследователи Citizen Lab раскрыли новую вредоносную кампанию под названием «AdFection». Её организаторы использовали рекламную сеть, чтобы доставлять шпионское ПО на устройства журналистов — заражение происходило без единого клика со стороны жертвы. Фонд электронных рубежей (EFF) подчёркивает: особенно тревожно, что атака опирается на технологию, против которой организация давно выступает, — поведенческую рекламу.

Сама по себе ни вредоносная реклама (malvertising), ни «zero-click»-заражение не новы. Новизна AdFection в их сочетании: получается прицельная, крайне опасная и трудно обнаружимая атака. Для заражения достаточно, чтобы реклама была показана, а вложенный в неё код автоматически исполнился.

Как это работало

EFF разбирает цепочку на примере одного из Windows-устройств, предоставленных исследователям телеканалом «Аль-Джазира».

Пользователь просматривает сайт или пользуется приложением и получает рекламу, созданную компанией Discover-Tech. В отчёте её называют конторой, которая «выдаёт себя за легальное рекламное агентство, но, судя по всему, служит прикрытием для масштабного рекламного шпионажа».

Реклама содержит небольшой фрагмент JavaScript, который автоматически исполняется при отображении. Код обращается к серверу Discover-Tech (так называемому NOAS-серверу) и передаёт подробные сведения об устройстве: рекламный идентификатор из cookie, IP-адрес и прочее. Пока ничего необычного — так устроена вся индустрия таргетированной рекламы.

Дальше интереснее. По этим данным сервер определяет, что запрос пришёл с машины «Аль-Джазиры». Вместо пустого ответа, который он выдаёт в большинстве случаев, сервер возвращает вредоносную «zero-click»-нагрузку. Её создал партнёр Discover-Tech — компания Candiru/Integrity Labs, ранее уже уличённая в сложных атаках. Нагрузка исполняется и заражает устройство.

Сюжет про прицельные атаки на журналистов звучит как шпионский триллер, но держится он на будничных практиках ad-tech. Используя идентификаторы слежки и собранные данные, наёмные разработчики шпионского ПО способны точно настраивать, кого именно заражать, и скрывать это от всех остальных.

Большинство объявлений доставляют не сами рекламодатели, а посредники через аукционы Real-Time Bidding. Тем не менее победитель торгов получает право исполнять JavaScript в браузере адресата — это нужно для интерактивных объявлений, но, как видно, годится и для компрометации устройства.

Что можно сделать

По мнению EFF, фундаментальное решение — запрет поведенческой рекламы, ведь именно она служит идеальным каналом для подобных угроз. Пока же защита ложится на самих пользователей, и это особенно важно для журналистов в странах с плотным надзором. Citizen Lab и EFF советуют: выстроить надёжные основы безопасности, использовать расширения против трекинга (например, Privacy Badger) или сетевые блокировщики рекламы, на телефонах отключить или сбросить рекламный идентификатор, рассмотреть более приватные браузеры.

Источник: EFF Deeplinks