Реклама, которая мелькнула в поле зрения, когда вы пролистывали экран телефона? Она может отслеживать ваши перемещения и собирать информацию о вас, даже если вы об этом не подозреваете.
Исследователи из The Citizen Lab выявили новый вид вредоносного программного обеспечения, получившего название «AdFection». Эксперты полагают, что это «бесплатное» (zero-click) шпионское ПО активно использует обширную онлайн-экосистему рекламы, которая, по их мнению, легко становится объектом злоупотреблений.
Одним из ключевых игроков в этой сфере является компания Discover-Tech, которая управляет платформой Controlium. Эта платформа позволяет киберпреступникам «точно определять и анонимизировать» миллионы пользователей, идентифицировать их устройства и автоматически заражать их при показе рекламы.
Согласно исследованию, компания Discover-Tech неожиданно смогла создать впечатление легитимной рекламной организации в онлайн-пространстве. Она фигурирует в списках "сертифицированных" и "утвержденных" поставщиков, включая Google и IAB Europe.
В течение четырех месяцев рекламная кампания охватила около 200 000 уникальных веб-сайтов и приложений для Android и iOS в десятках стран. Реклама также транслировалась через крупные рекламные платформы, включая Google, Яндекс и Beeswax. Компания также использовала механизмы, предусмотренные Регламентом Европейского Союза по защите данных (GDPR), для таргетирования пользователей в странах Европейского Союза.
Исследователи из Citizen Lab сообщили о своих результатах компаниям Google, IAB Europe, Beeswax, Vungle (Liftoff) и Eskimi. Все указанные компании предприняли меры для ограничения доступа компании Discover-Tech к цифровой рекламной среде.
«Массовое злоупотребление, нарушение конфиденциальности и содействие в распространении вредоносного программного обеспечения со стороны Discover-Tech свидетельствуют о системных проблемах в сфере онлайн-рекламы, которые не были выявлены и не были предотвращены», — заявили исследователи.
AdFection использует уязвимость в системе, остающейся без должной защиты
Рынок онлайн-рекламы в значительной степени опирается на систему аукционов в реальном времени (Real-Time Bidding, RTB), которые организуются рекламными биржами. Компании, такие как Google, управляют этими аукционами, которые проходят «миллиарды раз в день», как отмечают исследователи. Когда пользователь видит рекламный баннер в приложении или на веб-сайте, это мгновенно запускает процесс размещения рекламы. Рекламодатели, в свою очередь, делают свои ставки, и биржа определяет победителя, который получает возможность показать свою рекламу пользователю в течение доли секунды. Эти объявления могут содержать изображения, видео и, что особенно важно с точки зрения кибербезопасности, вредоносный код.
Платформы для покупателей рекламы (Demand-Side Platforms, DSP) и платформы для продавцов рекламы (Supply-Side Platforms, SSP) выступают в роли посредников в этом процессе. Они обмениваются данными о конкретных пользователях и устройствах, что позволяет рекламодателям принимать решения о том, какую рекламу показывать конкретному человеку, основываясь на идентификаторах устройств и характеристиках, таких как точное местоположение пользователя, идентификатор cookie, идентификатор мобильной рекламы или IP-адрес.
Исследователи объяснили, что разработанная система аукционов предназначена для таргетирования конкретных пользователей. «Объем информации, получаемой в результате аукционов, представляет значительную ценность». Компании, имеющие доступ к данным аукционов, могут отслеживать пользователей без их ведома, используя сотовые сети, Wi-Fi и виртуальные частные сети (VPN).
Компания Discover-Tech фактически вошла в сферу шпионского ПО, связав ее с этой онлайн-экосистемой, которая включает в себя известного израильского поставщика шпионского ПО, компанию Candiru. Ее партнеры могут показывать рекламу «широкой аудитории пользователей мобильных устройств, не осознающих, что их отслеживают», и, по словам исследователей, незаметно заражать устройства выбранных целей.
Когда Discover-Tech выигрывает аукцион, одна из ее рекламных кампаний транслируется на веб-сайт или приложение, открытое на устройстве пользователя. Иногда пользователь видит эту рекламу; в других случаях она просто отображается в фоновом режиме.
Многие из этих рекламных кампаний транслировались на устройствах, подключенных к сетям, имеющим стратегическое значение, в организациях, занимающихся вопросами безопасности, включая НАТО, в сетях, связанных с критической инфраструктурой, и в средствах массовой информации по всему миру. Компания Candiru, используя AdFection, заразила устройства в международном новостном агентстве Al Jazeera.
Исследователи отметили, что появление рекламы от Discover-Tech не свидетельствует о наличии вредоносного ПО на устройстве. Однако, возможность компании размещать рекламу в крупных рекламных сетях указывает на "системную проблему", требующую "немедленного расследования".
Непроверенные данные: риски для пользователей и бизнеса
Рекламные объявления компании Discover-Tech не содержали вредоносного кода, – заявил Фрэнк Диксон из Dickson Research. «Реклама была абсолютно безопасной, что само по себе вызывает беспокойство. Никто ничего не нажимал».
Вместо этого, каждое объявление отправляло информацию об устройстве – его уникальный идентификатор и IP-адрес – на сервер. По словам Диксона, в подавляющем большинстве случаев сервер не отправлял никакой информации; вредоносный код получали лишь отдельные пользователи.
«Аналитики сторонних сервисов обнаружили обычный баннер, поскольку для большинства пользователей он был именно таким», – пояснил он. Именно таким образом вредоносные элементы проникали в систему, минуя стандартные проверки безопасности.
Не менее тревожным является и масштаб распространения: рекламные объявления Discover-Tech отображались в 75 373 приложениях и 120 768 веб-сайтах в течение четырех месяцев, а также на платформах, принадлежащих NATO, Intel, Microsoft и Apple. Хотя отчет подчеркивает, что просмотр не означает заражение, компания, по словам Диксона, явно нацеливалась на корпоративные сети.
Не менее тревожным является и сам факт: Discover-Tech долгое время фигурировала в списках сертифицированных или одобренных поставщиков. Отчет указывает, что процесс проверки часто сводился к самооценке, когда пользователю просто нужно было поставить галочку в форме. «Сертификация имеет смысл только в том случае, если за ней стоит тщательная проверка», – подчеркнул Диксон.
Компании должны немедленно принять следующие меры
При использовании управляемых браузеров, блокировщики рекламы становятся необходимым инструментом, однако, это не единственное решение», – подчеркнул Диксон. Компания Discover-Tech активно использовала размещение рекламы внутри мобильных приложений, что, как правило, не охватывается стандартными расширениями для браузеров. Тем не менее, очевидно, что настольные компьютеры также являются важной целью для рекламы. В частности, компания Candiru пыталась внедрить рекламу в программное обеспечение Al Jazeera для Windows.
Диксон рекомендовал компаниям:
Встраивание проверенного расширения для блокировки рекламы в управляемые браузеры осуществляется не путем самостоятельной установки пользователями, а через определенную политику.
Рекомендуется использовать веб-браузеры, оснащенные встроенными функциями защиты от отслеживания.
Блокировка доменов, используемых для размещения рекламы и отслеживания, осуществляется на уровне DNS или через защищенный веб-шлюз. Это позволяет блокировать рекламу внутри приложений на управляемых устройствах.
Внедрение систем управления мобильными устройствами (MDM) позволяет отключить идентификаторы рекламы на корпоративных мобильных устройствах. Кроме того, рекомендуется ограничить использование приложений, монетизируемых за счет рекламы, на устройствах, где хранится конфиденциальная информация.
Для руководителей высшего звена, журналистов и всех пользователей, находящихся в зонах повышенного риска или путешествующих в чувствительные регионы, доступен режим "Защита" от Apple.
Эксперты акцентируют внимание на необходимости своевременного обновления браузеров и операционных систем. "Реклама, в том числе, может содержать вредоносное ПО, однако основная уязвимость все равно требует наличия ошибки в самой системе", – заявил специалист.
Обратите внимание на трафик, связанный с показом рекламы, и на необычные поисковые запросы, которые следуют за этим.
В заключение, требуется детальный анализ работы системы доменных имен (DNS) и прокси-серверов для доменов, указанных в отчете.
Диксон особо подчеркнул значимость идентификаторов в контексте таргетированной рекламы. По данным исследователей из Citizen Lab, блокировка только идентификаторов, используемых в рекламе, могла бы эффективно остановить подобные атаки.
При этом, как отметил Диксон, многие компании тратят огромные средства на управление идентификацией своих пользователей, а затем позволяют корпоративным устройствам передавать этот постоянный идентификатор в анонимные аукционы, которые проводятся сотни миллиардов раз в день.
«Каждая рекламная активность – это, по сути, информация о другом человеке, которая обрабатывается на вашем устройстве», – заявил Диксон. «Поэтому следует относиться к рекламной сети как к любому другому ненадежному источнику данных».
Статья изначально была опубликована на портале CSOonline.
