Таргетированная реклама доставляла эксплойты без кликов для установки наёмного шпионского ПО

Исследовательская лаборатория Citizen Lab в четверг опубликовала отчёт о кампании AdFection. По данным отчёта, израильская рекламная компания Discover-Tech показывала таргетированную рекламу, с помощью которой на устройства пользователей устанавливалось наёмное шпионское ПО. Это программы слежения, которые создают коммерческие компании и продают клиентам, желающим скрытно наблюдать за выбранными людьми. В данном случае ПО разработала и распространяла компания Candiru, сменившая название на Integrity Labs.

Как работали атаки

Клиенты Candiru задавали интересующие их профили. Подходящие под них люди получали рекламу с кодом JavaScript или иным кодом, который соединялся с управляющими серверами Candiru. Серверы отвечали эксплойтом, запускавшим вредоносную нагрузку без участия пользователя в момент появления рекламы на устройстве. В отчёте не описаны использованные уязвимости и итоговое вредоносное ПО. Вероятно, это были уязвимости нулевого дня, которые исправлены после обнаружения кампании.

Статус доверенного поставщика и последствия

Google и отраслевая ассоциация рекламщиков IAB Europe указывали Discover-Tech как «сертифицированного» или «проверенного» поставщика. Компания также использовала механизмы согласия по европейскому Общему регламенту по защите данных (GDPR), чтобы нацеливаться на пользователей в Европейском союзе. Реклама шла через сети Google, Yandex и Beeswax. Google и IAB Europe исключили компанию из реестров, а Google закрыл ей доступ к своим рекламным биржам. Beeswax удалил её со своей платформы, Vungle (Liftoff) приостановила доступ на время проверки, а Eskimi заблокировала аккаунты и домены.

Согласно отчёту, показы рекламы Discover-Tech фиксировались в правительственных сетях и сетях, связанных с нацбезопасностью, по всему миру: НАТО, ООН, европейских законодательных органов, поставщиков критической инфраструктуры в Австралии, вооружённых сил и госучреждений Норвегии и Швеции. Citizen Lab считает, что случай показывает структурные недостатки рекламной системы, не сумевшей обнаружить злоупотребление. Discover-Tech и Candiru на сообщения не ответили.

Citizen Lab призвала рекламодателей и чиновников принять конкретные превентивные меры. Пользователям советуют блокировщики рекламы, сброс мобильного рекламного идентификатора в настройках iOS и Android, блокировку рекламы в домашней или офисной сети и своевременную установку обновлений.