Исследование, проведенное организацией Citizen Lab, показало, что глобальные рекламные сети используются для целенаправленных шпионских атак, осуществляемых без взаимодействия с пользователем. Под прицелом также находятся медиакомпании.
Содержание.
Цифровая индустрия рекламы сталкивается с новой серьезной проблемой. Исследователи из известной лаборатории Citizen Lab при Университете Торонто провели масштабное исследование и обнаружили, что инфраструктура, используемая для персонализированной онлайн-рекламы, систематически эксплуатируется для атак с использованием сложного шпионского программного обеспечения. Метод, получивший название AdFection, нарушает привычные схемы кибератак: жертвам не нужно нажимать на ссылки или открывать вложения, чтобы заразить свои устройства ("нулевой клик"). Простое отображение модифицированного рекламного объявления в приложении или на веб-странице может быть достаточно для нанесения серьезного ущерба в фоновом режиме.
Согласно отчету, израильская компания под названием Discover-Tech играла важную роль в связывании рекламной индустрии и поставщиков вредоносного программного обеспечения, используемого государственными структурами. Исследования предоставили подробную картину технических взаимосвязей. Компания Discover-Tech, как следует из отчета, на протяжении многих лет действовала как незаметный участник сложной системы автоматизированной онлайн-рекламы. Компания была официально зарегистрирована в качестве партнера по рекламе в отраслевых ассоциациях, таких как IAB Europe, и в крупных технологических компаниях, таких как Google, и весной предоставляла рекламные объявления сотням тысяч веб-сайтов и приложений. Среди них были популярные приложения, такие как немецкое приложение Wetter Online, Duolingo, Viber, а также различные платформы для знакомств.
Команда исследователей подчеркивает, что не каждое рекламное объявление было автоматически вредоносным. Скорее, компания Discover-Tech изначально использовала обширную систему отслеживания для создания подробных профилей миллионов потенциальных жертв и целенаправленной демонстрации рекламных баннеров на их устройствах.
Controlium и JavaScript работают в фоновом режиме.
Согласно анализу, ключевым элементом технической инфраструктуры была платформа Controlium, принадлежащая компании Discover-Tech. Она служила центральным управляющим узлом для компаний, разрабатывающих шпионское программное обеспечение, таких как Candiru, Bindecy и Intelos. Когда пользователю отображалась, казалось бы, безобидная таргетированная реклама, размещенная компанией Discover-Tech, идентификатор устройства и его IP-адрес передавались на серверы этой компании.
В случае взлома устройств целевых пользователей, система отправляла на них вредоносный JavaScript-код. Этот код выполнялся в фоновом режиме браузером или соответствующим приложением, использовал уязвимости и заражал устройство, при этом пользователям не требовалось совершать никаких действий. Главное для злоумышленников заключалось в том, что сами рекламные объявления не содержали вредоносного кода. Это позволяло им успешно скрывать свои намерения от платформ, создающих рекламу, и от их автоматизированных механизмов защиты.
Массовая слежка и взлом телеканала "Аль-Джазира".
В центре этих атак оказалось печально известное шпионское программное обеспечение израильской компании Candiru, которое уже неоднократно попадало в заголовки новостей из-за продажи инструментов слежки авторитарным правительствам и подверглось санкциям со стороны США в виде ограничений на экспорт. Впервые исследователям удалось получить технические доказательства, подтверждающие эти атаки.
По данным Citizen Lab, особенно сильно пострадал катарский новостной канал Al Jazeera. Внутренние логи медиакомпании показали, что в период с 2024 по 2025 год не менее 45 устройств – в основном компьютеров под управлением Windows – были заражены шпионским программным обеспечением Candiru через модифицированные рекламные объявления. Также, судя по всему, целью кибератаки стало Министерство иностранных дел Саудовской Аравии. Кроме того, эксперты проанализировали данные, указывающие на то, что модифицированные рекламные объявления отображались на устройствах, связанных с международными организациями, такими как НАТО, ООН и ЕС. Также были обнаружены случаи заражения в крупных технологических компаниях и у производителей чипов.
Масштабы этой атаки вызывают обеспокоенность у национальных служб безопасности. Федеральное ведомство по защите конституции, согласно информации телеканала Bayerischer Rundfunk, оценивает эту новую технику как серьезную угрозу для Федеративной Республики Германия. В кругах контрразведки эта технология считается крайне опасной, поскольку она открывает государственным структурам совершенно новые возможности для атак на важные объекты. При этом злоумышленникам не требуется сотрудничество или невнимательность со стороны жертв. Депутат Европейского парламента Даниэль Фройнд, который уже подвергался атакам со стороны компании Candiru, выразил глубокую обеспокоенность в интервью изданию Netzpolitik.org. Представитель партии "Зеленые" говорит о качественно новом, чрезвычайно "подлом" уровне слежки.
Рекламная экосистема как фактор риска для безопасности.
Реакция крупных технологических компаний не заставила себя долго ждать после публикации исследования. Компания Google и организация IAB Europe заявили о немедленном удалении компании Discover-Tech из своих платформ и списков партнеров. Было установлено, что компания нарушила ряд системных правил.
Тем не менее, у экспертов в области безопасности сохраняется чувство тревоги. Вольфи Кристалл, исследователь Citizen Lab и один из авторов отчета, точно сформулировал суть проблемы: то, как работает онлайн-реклама во всем мире сегодня, представляет собой серьезный риск для безопасности государств, частного сектора и всего общества. Пока гигантские, непрозрачные потоки данных рекламной индустрии не будут кардинально реформированы, эта цифровая экосистема останется уязвимой для подобных скрытых и масштабных операций по шпионажу.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале