Wprowadzenie do problemu / definicja
Ataki zero-click są jedną z najgroźniejszych form cyberataków ukierunkowanych, ponieważ nie wymagają od ofiary żadnego działania. W analizowanym przypadku złośliwy mechanizm miał wykorzystywać infrastrukturę reklamy internetowej do selektywnego dostarczania spyware Candiru, co pokazuje, że ekosystem adtech może pełnić funkcję nie tylko marketingową, ale również operacyjną w zaawansowanych kampaniach szpiegowskich.
Taki model zagrożenia istotnie zmienia perspektywę obrońców. Użytkownik nie musi kliknąć reklamy, otworzyć załącznika ani wejść w interakcję z podejrzaną treścią, aby jego urządzenie zostało poddane profilowaniu lub stało się celem dalszego etapu ataku.
W skrócie
Badacze opisali kampanię, w której złośliwe reklamy były renderowane na urządzeniach ofiar bez potrzeby kliknięcia. Kod osadzony w reklamach miał komunikować się z infrastrukturą operatora i na podstawie cech środowiska decydować, czy dany użytkownik jest właściwym celem.
- atak wykorzystywał reklamy ukierunkowane jako kanał dostarczania kodu,
- infekcja miała charakter zero-click,
- mechanizm selekcjonował tylko wybrane urządzenia,
- ślady techniczne wiązano z infrastrukturą Candiru,
- celem kampanii miały być m.in. podmioty medialne wysokiego ryzyka.
Kontekst / historia
Komercyjne oprogramowanie szpiegujące od lat pozostaje narzędziem wykorzystywanym przeciwko dziennikarzom, aktywistom, politykom i osobom zajmującym się tematami wrażliwymi. Candiru należy do grona najbardziej rozpoznawalnych dostawców spyware, wcześniej łączonych z zaawansowanymi operacjami przeciwko systemom Windows oraz z użyciem luk zero-day.
Nowością w opisywanej kampanii jest wykorzystanie reklamy internetowej jako warstwy dostarczania i selekcji celu. To istotne rozszerzenie dotychczasowego modelu zagrożeń, ponieważ legalna i powszechnie używana infrastruktura reklamowa została użyta jako element łańcucha ataku. W praktyce oznacza to, że nawet zwykłe wyświetlenie treści reklamowej może stać się początkiem zaawansowanej operacji rozpoznawczej lub kompromitacji.
Analiza techniczna
Schemat działania opierał się na osadzeniu kodu JavaScript w reklamach kupowanych przez standardowe sieci i giełdy reklamowe. Po wyrenderowaniu reklamy na urządzeniu użytkownika skrypt nawiązywał komunikację z infrastrukturą operatora kampanii, gdzie następowała ocena, czy urządzenie spełnia kryteria interesującego celu.
Selekcja miała uwzględniać wiele parametrów środowiskowych, takich jak adres IP, identyfikatory reklamowe oraz dane przydatne do fingerprintingu urządzenia. Jeżeli odbiorca został uznany za wartościowy cel, serwer zwracał dodatkowy kod prowadzący do kolejnego etapu operacji. W przeciwnym razie reklama zachowywała się pozornie normalnie, co znacząco utrudniało wykrycie kampanii.
Badacze analizowali również zależności między platformą targetującą, serwerami walidacyjnymi i infrastrukturą command-and-control powiązaną ze spyware Candiru. Według ustaleń prześledzono logi sieciowe oraz odzyskano bibliotekę DLL z jednego z zaatakowanych systemów Windows, co pozwoliło przypisać próbkę do ekosystemu Candiru z wysokim poziomem pewności.
Z technicznego punktu widzenia szczególnie niebezpieczne były trzy elementy tej operacji:
- wykorzystanie legalnej infrastruktury reklamowej, której blokowanie bez skutków ubocznych bywa trudne,
- etapowa selekcja celu ograniczająca liczbę artefaktów u osób niebędących właściwymi ofiarami,
- model zero-click eliminujący konieczność stosowania klasycznej socjotechniki.
Konsekwencje / ryzyko
Ryzyko związane z takimi kampaniami jest szczególnie wysokie dla organizacji medialnych, instytucji publicznych, środowisk politycznych oraz osób pracujących z informacjami wrażliwymi. Spyware klasy Candiru może umożliwiać pozyskanie plików, wiadomości, danych uwierzytelniających, a także długotrwałe monitorowanie aktywności użytkownika.
Dodatkowym problemem jest rozproszony charakter rynku reklamy cyfrowej. Łańcuch dostaw obejmuje wielu pośredników, zewnętrzne skrypty i dynamicznie ładowane komponenty, przez co organizacje często mają ograniczoną widoczność tego, co faktycznie trafia do przeglądarki użytkownika. W rezultacie nawet poprawnie zarządzane środowisko może zostać narażone przez komponent strony trzeciej.
Analiza takich incydentów jest trudna również dlatego, że przekierowania bywają krótkotrwałe, ładunek złośliwy dostarczany jest selektywnie, a zachowanie kampanii silnie zależy od parametrów urządzenia. Bez rozbudowanej telemetrii sieciowej i końcowej wiele śladów może pozostać niewidocznych.
Rekomendacje
Organizacje powinny traktować reklamy i zewnętrzne skrypty jako pełnoprawną powierzchnię ataku. W szczególności dotyczy to użytkowników wysokiego ryzyka oraz zespołów pracujących z materiałami poufnymi.
- ograniczać renderowanie niekontrolowanych treści zewnętrznych na stacjach roboczych użytkowników wysokiego ryzyka,
- rozważyć blokowanie reklam, izolację przeglądarki oraz stosowanie odrębnych profili do pracy wrażliwej,
- wzmacniać monitoring ruchu do domen reklamowych, nietypowych hostów walidacyjnych i nagłych przekierowań JavaScript,
- gromadzić logi DNS, HTTP/S oraz telemetrię EDR z odpowiednio długim okresem retencji,
- utrzymywać aktualność systemów Windows, przeglądarek i komponentów renderujących,
- opracować procedury reagowania na incydenty spyware obejmujące analizę pamięci, DLL, zadań harmonogramu i połączeń wychodzących,
- ocenić ryzyko związane z łańcuchem dostaw adtech, w tym skryptami stron trzecich i partnerami aukcyjnymi.
Podsumowanie
Opisana kampania pokazuje, że reklamy internetowe mogą być wykorzystywane jako precyzyjny kanał operacyjny dla ataków zero-click i dostarczania zaawansowanego spyware. Połączenie targetowania reklamowego, fingerprintingu oraz selektywnego ujawniania ładunku daje atakującym skuteczne narzędzie do kompromitacji wybranych ofiar przy minimalnej widoczności.
Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia modelu zagrożeń o cały ekosystem reklamy cyfrowej. Granica między legalną infrastrukturą internetową a infrastrukturą wykorzystywaną ofensywnie staje się coraz mniej wyraźna, co wymaga bardziej rygorystycznego podejścia do treści zewnętrznych i komponentów stron trzecich.
Źródła
- https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/
- https://citizenlab.ca/
- https://www.microsoft.com/security/blog/