Wprowadzenie do problemu / definicja
Ekosystem reklamy internetowej od lat opiera się na masowym profilowaniu odbiorców, identyfikatorach reklamowych oraz mechanizmach licytacji w czasie rzeczywistym. Te same funkcje, które wspierają precyzyjne targetowanie kampanii marketingowych, mogą jednak zostać wykorzystane do działań ofensywnych. Najnowsze ustalenia badaczy pokazują, że infrastruktura reklamowa mogła posłużyć jako kanał do deanonimizacji użytkowników, fingerprintingu urządzeń oraz dostarczania zaawansowanego oprogramowania szpiegującego typu zero-click.
W skrócie
Badacze opisali kampanię, w której reklamy powiązane z izraelską firmą Discover-Tech miały służyć nie tylko do śledzenia użytkowników, ale również do selekcji i infekowania wybranych celów spyware’em Candiru. Mechanizm miał wykorzystywać kod uruchamiany automatycznie po wyświetleniu reklamy, bez konieczności kliknięcia przez ofiarę.
Według ujawnionych informacji ataki dotknęły między innymi urządzenia związane z siecią Al Jazeera, a skala działania obejmowała setki tysięcy witryn i aplikacji mobilnych. W reakcji na ustalenia część podmiotów z branży reklamowej zablokowała wskazaną firmę w swoich rejestrach i platformach.
Kontekst / historia
Spyware klasy mercenary, oferowany przez komercyjnych dostawców narzędzi inwigilacyjnych, od kilku lat pozostaje jednym z najpoważniejszych zagrożeń dla dziennikarzy, aktywistów, opozycji politycznej i osób o wysokim profilu ryzyka. Candiru jest jednym z najbardziej rozpoznawalnych podmiotów w tym segmencie i był już wcześniej łączony z zaawansowanymi operacjami nadzorczymi.
Nowy element tej historii polega na wykorzystaniu rynku reklamy cyfrowej jako warstwy pośredniej między dostawcą narzędzia szpiegującego a ofiarą. To istotna zmiana jakościowa: tradycyjnie reklamy kojarzone były z trackingiem, nadużyciami prywatności i malvertisingiem, natomiast tutaj mowa o połączeniu hurtowego profilowania z precyzyjną selekcją celu oraz potencjalnym uruchomieniem łańcucha infekcji bez udziału użytkownika.
W opisywanej operacji szczególną rolę miała odgrywać platforma Controlium należąca do Discover-Tech. Z ustaleń wynika, że rozwiązanie to umożliwiało zbieranie identyfikatorów, korelację danych o urządzeniach oraz kierowanie odpowiedniego kodu do konkretnych odbiorców. W praktyce oznacza to przesunięcie granicy między reklamą behawioralną a cyberoperacją ofensywną.
Analiza techniczna
Techniczny rdzeń problemu stanowi mechanizm reklamy programatycznej. W modelu Real-Time Bidding wiele podmiotów uczestniczy w automatycznych aukcjach, w których przekazywane są metadane dotyczące użytkownika, aplikacji, urządzenia, lokalizacji czy identyfikatorów reklamowych. Już sam ten przepływ danych tworzy rozległą powierzchnię do obserwacji i korelacji.
W analizowanym przypadku reklamy miały zawierać skrypt, który po załadowaniu automatycznie łączył się z infrastrukturą operatora. Następnie przekazywany był identyfikator reklamowy użytkownika, a dalszy kod JavaScript był dobierany na podstawie kombinacji takich cech jak adres IP oraz zestaw identyfikatorów i parametrów środowiska.
- rozpoznanie środowiska ofiary,
- fingerprinting urządzenia i aplikacji,
- deanonimizację użytkownika poprzez korelację identyfikatorów,
- selekcję celu o wysokiej wartości,
- dostarczenie komponentu wykorzystywanego w łańcuchu ataku zero-click.
Kluczowe jest to, że użytkownik nie musi klikać reklamy. Wystarczy samo jej wyrenderowanie w aplikacji mobilnej lub przeglądarce, aby uruchomić logikę śledzącą i etap przygotowawczy ataku. Jeżeli po stronie ofiary istnieje podatność w komponentach renderujących treści, silniku przeglądarki, bibliotece multimedialnej lub innym elemencie stosu aplikacyjnego, reklama może stać się nośnikiem exploita.
Z opublikowanych informacji wynika również, że infrastruktura Discover-Tech miała eksponować ogromny zbiór rekordów ofert reklamowych, co dodatkowo pokazuje skalę możliwego monitorowania ruchu. Tego typu dane mogą dostarczać operatorom informacji o obecności użytkownika w określonych aplikacjach, czasie aktywności, lokalizacji czy wzorcach korzystania z urządzenia. W połączeniu z danymi z innych źródeł tworzy to bardzo skuteczny system namierzania.
Konsekwencje / ryzyko
Najpoważniejsze ryzyko dotyczy organizacji i osób narażonych na ukierunkowaną inwigilację. Dziennikarze, redakcje, kancelarie prawne, organizacje pozarządowe, podmioty rządowe i sektor dyplomatyczny mogą stać się celem nie tylko klasycznych phishingów, ale również pasywnych operacji prowadzonych przez kanały reklamowe.
Z perspektywy bezpieczeństwa przedsiębiorstw zagrożenie ma kilka wymiarów. Po pierwsze, standardowe modele ochrony użytkownika końcowego nie zawsze zakładają, że legalnie wyglądająca reklama może być elementem łańcucha APT. Po drugie, ruch reklamowy jest zwykle dopuszczany przez aplikacje mobilne i serwisy internetowe jako część normalnej działalności biznesowej. Po trzecie, dostawcy reklam i pośrednicy ad-tech tworzą złożony łańcuch zaufania, którego pełna walidacja jest trudna operacyjnie.
Ryzyko obejmuje także prywatność masową. Nawet jeśli końcowa infekcja dotyczy tylko wybranych ofiar, sama zdolność do monitorowania milionów urządzeń i łączenia identyfikatorów z konkretnymi osobami stanowi problem bezpieczeństwa i zgodności. W praktyce granica między komercyjnym trackingiem a infrastrukturą nadzoru może być bardzo cienka.
Rekomendacje
Organizacje powinny traktować ekosystem reklamowy jako realną powierzchnię ataku i uwzględnić go w modelowaniu zagrożeń. W praktyce warto wdrożyć kilka warstw zabezpieczeń.
Po stronie sieciowej zasadne jest ograniczanie lub filtrowanie ruchu reklamowego, zwłaszcza w środowiskach wysokiego ryzyka. Dotyczy to redakcji, zespołów śledczych, działów prawnych, administracji publicznej i wszystkich jednostek pracujących na danych wrażliwych. W części przypadków uzasadnione może być blokowanie reklam targetowanych na poziomie bramy sieciowej.
Po stronie endpointów i urządzeń mobilnych kluczowe pozostaje szybkie wdrażanie aktualizacji systemów operacyjnych, przeglądarek, webview, bibliotek renderujących i aplikacji komunikacyjnych. Ataki zero-click najczęściej opierają się na lukach w komponentach szeroko wykorzystywanych do przetwarzania treści.
W obszarze monitoringu warto rozszerzyć telemetrykę o:
- nietypowe połączenia do domen i backendów reklamowych,
- dynamiczne ładowanie skryptów w kontekście aplikacji mobilnych,
- anomalie związane z identyfikatorami reklamowymi,
- korelację ruchu RTB z incydentami na urządzeniach końcowych,
- obserwację procesów odpowiedzialnych za renderowanie treści webowych.
Dodatkowo zalecane jest ograniczanie identyfikatorów reklamowych na urządzeniach służbowych, stosowanie profili MDM z restrykcjami prywatności oraz segmentacja użytkowników wysokiego ryzyka. Organizacje powinny również przeprowadzić przegląd polityk dopuszczania zewnętrznych SDK reklamowych w aplikacjach własnych i partnerskich.
Podsumowanie
Opisana operacja pokazuje, że infrastruktura reklamy cyfrowej może zostać przekształcona z narzędzia marketingowego w skalowalny mechanizm rozpoznania, selekcji i ataku. Połączenie danych z aukcji RTB, identyfikatorów reklamowych, fingerprintingu i logiki wykonywanej automatycznie po wyświetleniu reklamy tworzy wyjątkowo niebezpieczny model operacyjny dla dostawców spyware.
Dla zespołów bezpieczeństwa wniosek jest jednoznaczny: reklamy i komponenty ad-tech nie mogą być analizowane wyłącznie przez pryzmat prywatności lub zgodności. Coraz częściej są one pełnoprawnym elementem krajobrazu zagrożeń, szczególnie tam, gdzie celem są konkretne osoby lub organizacje o wysokiej wartości operacyjnej.