Реклама, которую вы только что пролистали на своем телефоне, едва удостоив взглядом или кликом? Она может отслеживать ваши перемещения и собирать ваши данные, не требуя от вас никаких действий.
Этот «шпионский вирус, работающий без клика» под названием «AdFection» все чаще использует обширную экосистему онлайн-рекламы, уязвимую для злоупотреблений, согласно исследователям из The Citizen Lab. Один из ведущих игроков в этой сфере, Discover-Tech, управляет платформой Controlium, которая позволяет киберпреступникам «точно профилировать и деанонимизировать» миллионы пользователей, создавать их цифровые отпечатки и автоматически заражать их устройства при показе рекламы.
Вызывает тревогу тот факт, что Discover-Tech успешно маскируется под легитимную рекламную компанию в среде онлайн-продаж рекламы, как заявили исследователи, будучи указанной как «сертифицированный» и «одобренный» поставщик такими компаниями, как Google и IAB Europe.
В течение четырех месяцев реклама компании демонстрировалась почти на 200 000 уникальных веб-сайтах и в приложениях для Android/iOS в десятках стран. Кроме того, ее реклама показывалась через крупные сети, такие как Google, Yandex и Beeswax, и даже использовала механизмы согласия в рамках Общего регламента по защите данных (GDPR) в Европе для таргетинга жертв в ЕС.
Исследователи The Citizen Lab сообщили о своих выводах Google, IAB Europe, Beeswax, Vungle (Liftoff) и Eskimi, которые приняли меры для отключения доступа Discover-Tech к экосистеме цифровой рекламы.
«Массовые злоупотребления Discover-Tech, нарушение конфиденциальности и содействие атакам с использованием шпионского ПО для наемников шпионского ПО иллюстрируют структурные недостатки системы онлайн-рекламы, которая не смогла обнаружить или предотвратить злоупотребления», — предупредили исследователи.
Как AdFection использует практически незащищенную систему
Рынок онлайн-рекламы в основном работает через систему реального времени (RTB) — аукционы, проводимые рекламными биржами. По словам исследователей, они проводятся «сотни миллиардов» раз в день компаниями, такими как Google. Когда на устройстве пользователя появляется рекламный блок в приложении или на веб-сайте, немедленно запускается запрос на ставку; затем рекламодатели подают свои предложения, и биржа предоставляет победителю возможность показать свою рекламу пользователю за доли секунды. Эта реклама может содержать изображения, видео и, что наиболее важно для киберпреступников, код.
Платформы спроса (DSPs) и платформы предложения (SSPs) выступают посредниками в этом процессе, а данные о конкретных пользователях и устройствах передаются между биржами, чтобы рекламодатели могли решить, хотят ли они показывать определенную рекламу конкретному человеку, основываясь на идентификаторах устройств и характеристиках, таких как точное местоположение пользователя, идентификатор cookie, мобильный рекламный идентификатор или IP-адрес.
«Система аукционов предназначена для таргетинга отдельных лиц», — пояснили исследователи. «Совокупность информации, полученной с рекламных аукционов, очень ценна». Компании, имеющие доступ к данным аукционов, могут отслеживать пользователей без их ведома через сотовые сети, Wi-Fi и виртуальные частные сети (VPN).
Discover-Tech фактически внедрила и связала индустрию шпионского ПО с этой онлайн-экосистемой, которая включает печально известного израильского поставщика шпионского ПО для наемников Candiru. Ее партнеры могут доставлять рекламу «массово профилированным ничего не подозревающим пользователям телефонов» и незаметно заражать устройства выбранных целей, согласно исследователям.
Когда Discover-Tech выигрывает ставку, одна из ее рекламных объявлений показывается на веб-сайте или в приложении, открытом на устройстве пользователя. Иногда это видит пользователь; в других случаях реклама просто отображается в фоновом режиме.
Многие из этих рекламных объявлений показывались устройствам в сетях, чувствительных к национальной безопасности, в организациях безопасности, включая НАТО, сетях, связанных с критической инфраструктурой, и медиа-организациях по всему миру. Используя AdFection, шпионское ПО Candiru заразило устройства в международной новостной сети Al Jazeera.
Исследователи подчеркнули, что показ рекламы Discover-Tech не означает, что устройство было заражено шпионским ПО. Однако тот факт, что компания смогла делать ставки и показывать рекламу в обширных рекламных сетях, подчеркивает «системный риск», требующий «срочного расследования».
Отсутствие проверки
Реклама Discover-Tech вообще не содержала эксплойтов, отметил Фрэнк Диксон из Dickson Research. «Реклама была чистой; это и пугает. Никто ничего не кликал».
Вместо этого каждое рекламное объявление связывалось с сервером, передавая рекламный идентификатор устройства и IP-адрес. Почти во всех случаях сервер ничего не возвращал, подчеркнул Диксон; только выбранные цели получали вредоносный код.
«Сканеры сторонней верификации видели безобидный баннер, потому что для почти каждого зрителя это и был баннер», — сказал он. Именно так теги проскальзывали мимо проверки.
Также вызывает тревогу охват: реклама Discover-Tech отображалась в 75 373 приложениях и 120 768 веб-сайтах в течение четырех месяцев, и показы были в сетях, принадлежащих НАТО, Intel, Microsoft и Apple. Хотя в отчете подчеркивается, что показ рекламы не означает заражение, таргетинг компании явно достиг корпоративных сетей, сказал Диксон.
Не менее тревожным является и значок: Discover-Tech годами числилась сертифицированным или одобренным поставщиком. В отчете говорится, что проверка часто сводилась к самодекларации, галочке в форме. «Сертификация хороша настолько, насколько хороша проверка, стоящая за ней», — сказал Диксон.
Шаги, которые предприятия должны предпринять сейчас
На управляемых браузерах блокировщики рекламы необходимы, но они не являются полностью достаточными, сказал Диксон. Многие ставки Discover-Tech были сделаны на рекламу внутри мобильных приложений, которую обычно игнорируют расширения браузера. Но очевидно, что настольные компьютеры тоже задействованы; Candiru атаковал программное обеспечение Al Jazeera для Windows.
Диксон посоветовал предприятиям:
- Установить проверенное расширение для блокировки рекламы на управляемые браузеры через политику, а не оставлять это на усмотрение пользователей.
- Отдавать предпочтение браузерам со встроенной защитой от отслеживания.
- Блокировать рекламные домены и домены отслеживания на уровне DNS или безопасного веб-шлюза; это охватывает рекламу в приложениях на управляемых телефонах.
- Отключить рекламные идентификаторы на корпоративных мобильных устройствах с помощью управления мобильными устройствами (MDM) и ограничить использование рекламных приложений на устройствах, содержащих конфиденциальные данные.
- Включить режим блокировки Apple (Lockdown Mode) для высокорисковых руководителей, журналистов и любых пользователей, путешествующих в чувствительные места.
- Поддерживать браузеры и операционные системы в актуальном состоянии. «Реклама — это всего лишь грузовик доставки; для эксплойта все еще нужна уязвимость», — отметил он.
- Отслеживать трафик, связанный с показами рекламы, на предмет необычных последующих запросов.
- Наконец, искать в системных журналах DNS и прокси-серверов домены, опубликованные в отчете.
Особенно стоит внимательно изучить рекламный идентификатор, указал Диксон. В отчете The Citizen Lab говорится, что блокировка только рекламных идентификаторов остановила бы этот метод атаки.
Вызывает тревогу тот факт, что многие предприятия тратят целое состояние на управление идентификаторами своих пользователей, а затем позволяют корпоративным телефонам передавать этот постоянный идентификатор анонимным аукционам, которые проводятся сотни миллиардов раз в день, отметил он.
«Каждая реклама — это чей-то код, выполняющийся на вашем устройстве», — сказал Диксон. «Относитесь к рекламной сети как к любому другому недоверенному поставщику».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
