Kanadyjska organizacja Citizen Lab opisała kampanię, w której reklamy internetowe miały służyć nie tylko do promocji produktów, lecz także do identyfikowania, profilowania i infekowania wybranych urządzeń. Działania nazwane AdFection doprowadziły do wykorzystania spyware Candiru przeciwko urządzeniom należącym do międzynarodowej sieci informacyjnej Al Jazeera. Reklamy kupowała izraelska firma Discover-Tech, która według analizy pełniła rolę pośrednika między dostawcami reklam a podmiotami oferującymi komercyjne narzędzia inwigilacyjne.
Citizen Lab ustalił, że między 2024 a 2025 rokiem co najmniej 45 urządzeń w Al Jazeerze zostało objętych atakami AdFection prowadzącymi do instalacji spyware Candiru. Istotną cechą kampanii był model zero-click. Oznacza to, że potencjalna ofiara nie musiała kliknąć reklamy, otworzyć załącznika ani wykonać innej wyraźnej czynności. Samo wyświetlenie odpowiednio przygotowanej reklamy mogło uruchomić dalszą komunikację z infrastrukturą atakujących.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Zaawansowane narzędzia służące do atakowania konkretnych osób i ich urządzeń. Są trudniejsze do wykrycia niż typowa działalność cyberprzestępcza.
Atak, który może zainfekować urządzenie bez kliknięcia lub innej świadomej czynności użytkownika. W opisanym przypadku wystarczyło wyrenderowanie złośliwej reklamy.
System automatycznych aukcji reklamowych, w których firmy konkurują o możliwość wyświetlenia reklamy konkretnemu użytkownikowi.
Technika rozpoznawania odwiedzającego na podstawie cech przeglądarki, urządzenia lub sesji. Może służyć do odróżniania użytkowników, botów i badaczy bezpieczeństwa.
Aby zrozumieć skalę problemu, trzeba uwzględnić sposób działania współczesnego rynku reklamowego. W modelu Real-Time Bidding, określanym skrótem RTB, firmy uczestniczą w miliardach aukcji organizowanych każdego dnia przez giełdy reklamowe. Zwycięzca otrzymuje możliwość wyświetlenia reklamy konkretnej osobie na stronie internetowej albo w aplikacji. Do przeprowadzenia aukcji wykorzystywane są liczne informacje o urządzeniu i użytkowniku, a cały proces odbywa się automatycznie podczas ładowania treści.
Reklamy mogą zawierać kod uruchamiany w aplikacji lub przeglądarce. Zazwyczaj ma on służyć do pomiaru wyświetleń, kliknięć i skuteczności kampanii, jednak ten sam kanał może zostać wykorzystany w sposób złośliwy. Według Citizen Lab wiele reklam Discover-Tech zawierało skrypt, który po wyświetleniu łączył się z infrastrukturą firmy i przekazywał identyfikator reklamowy urządzenia. Następnie serwer dobierał kod JavaScript na podstawie kombinacji adresu IP oraz innych identyfikatorów. Pozwalało to rozpoznawać urządzenia, tworzyć ich profile i wybierać cele dalszych działań.
Discover-Tech przedstawiała się jako legalnie działająca firma reklamowa, ale Citizen Lab ocenia, że mogła być przykrywką dla większej kampanii szpiegowskiej. Jej platforma Controlium miała umożliwiać deanonimizację milionów użytkowników, fingerprinting urządzeń oraz ataki zero-click po wyświetleniu reklamy. Organizacja potwierdziła wykorzystanie tej infrastruktury do profilowania użytkowników i infekowania ich na rzecz Candiru, izraelskiego dostawcy spyware. Jednocześnie wskazała, że Discover-Tech mogła współpracować z więcej niż jednym dostawcą komercyjnych narzędzi inwigilacyjnych.
Citizen Lab zidentyfikował serwer Discover-Tech, na którym dostępne było cztery miliardy rekordów ofert reklamowych. Dane wskazywały, że reklamy firmy pojawiały się na niemal 200 tysiącach unikalnych stron internetowych oraz w aplikacjach na Androida i iOS używanych na całym świecie. Nie oznacza to, że każde urządzenie odwiedzające te miejsca zostało zainfekowane. Pokazuje jednak, że infrastruktura reklamowa miała zasięg wystarczający do obserwowania bardzo dużej liczby urządzeń i do prowadzenia selektywnego targetowania.
Organizacja analizowała także powiązania Discover-Tech z innymi podmiotami zajmującymi się nadzorem. Jednym z nich był Dark Cartographer. Według Citizen Lab ten aktor budował bazy łączące mobilne identyfikatory reklamowe z numerami telefonów, wykorzystując podatności w różnych sieciach operatorów komórkowych. Taki model prowadził do masowej deanonimizacji użytkowników internetu, ponieważ identyfikator używany w ekosystemie reklamowym mógł zostać powiązany z bardziej bezpośrednią informacją o osobie.
Na początku października Google oraz IAB Europe usunęły Discover-Tech ze swoich rejestrów dostawców reklam. Google zablokował też firmie dostęp do swoich platform giełd reklamowych. Podobne działania podjęły Beeswax i Eskimi. Decyzje te ograniczają możliwość korzystania z części legalnego ekosystemu reklamowego, ale sama sprawa pokazuje, że kontrola nad dostawcami reklam musi uwzględniać nie tylko zgodność kampanii z zasadami marketingowymi, lecz także ryzyko wykorzystania treści reklamowej jako nośnika kodu.
Citizen Lab zaleca, aby do czasu wykazania przez branżę, że potrafi skutecznie blokować wszystkie wektory podobne do AdFection, obrońcy blokowali ukierunkowane reklamy na poziomie bramy sieciowej. Jest to zalecenie skierowane przede wszystkim do administratorów i zespołów bezpieczeństwa, ponieważ atak może rozpocząć się w zaufanym kanale dostarczania treści, bez klasycznego pobrania pliku przez użytkownika. Wnioski z raportu dotyczą więc nie tylko Candiru i Discover-Tech, ale również całego rynku reklamy cyfrowej, który przechowuje i przetwarza dane pozwalające śledzić urządzenia na dużą skalę.
Brak komentarzy. Bądź pierwszy!