Tyrėjai teigia, kad samdomi įsilaužėliai į reklamas įterpė nulinio paspaudimo (angl. zero-click) išnaudojimo priemones, kurios į atrinktų asmenų įrenginius įdiegdavo sudėtingas kenkėjiškas programas, vos jiems įkėlus svetainę ar atidarius įdiegtą programėlę – daugiau nieko daryti nereikėjo.
Apie šį atradimą ketvirtadienį paskelbė Toronto universiteto organizacija „Citizen Lab“. Joje teigiama, kad tai greičiausiai pirmas patvirtintas atvejis, kai samdomų įsilaužėlių šnipinėjimo programa nulinio paspaudimo būdu platinama per tikslinę reklamą. Atakos veikė ir „iOS“, ir „Android“ įrenginiuose. Jos ypač klastingos, nes nereikalauja jokių aukos veiksmų, o be specialios kriminalistinės įrangos ar programinės įrangos jų neįmanoma pastebėti. „Citizen Lab“ teigė galėjusi patvirtinti, kad kampanija, kurią ji pavadino „AdFection“, 2024 ir 2025 metais užkrėtė 45 tarptautinės žiniasklaidos organizacijos „Al Jazeera“ įrenginius.
Paaiškinimas: Nulinio paspaudimo ataka – tai ataka, kuriai sėkmingai įvykdyti nereikia, kad auka spustelėtų nuorodą ar atidarytų failą. „Citizen Lab“ – tyrėjų grupė, kuri nagrinėja skaitmeninį šnipinėjimą prieš žurnalistus ir visuomenės aktyvistus.
Aiškus įspėjamasis signalas
„Šis tyrimas turėtų… būti aiškus įspėjamasis signalas visame pasaulyje veikiančioms naujienų organizacijoms, kad jos gali būti aktyviai atakuojamos naudojant šią naują grėsmę“, – rašė „Citizen Lab“ tyrėjai. „Tokios atakos gali būti nukreiptos ir prieš redakcijas, ir prieš atskirus žurnalistus, redaktorius bei kitus darbuotojus.“ Ataskaitoje toliau teigiama: „Šnipinėjimo programų platinimas per tikslinę reklamą kelia pavojų ne tik galimoms aukoms, bet ir valstybėms bei visai pilietinei visuomenei.“
Reklamą teikė Izraelio bendrovė „Discover-Tech“, save pristatanti kaip teisėtą reklamos įmonę, tačiau, pasak „Citizen Lab“, iš tikrųjų ji veikia kaip tarpininkė keliems samdomų šnipinėjimo programų kūrėjams. Bendrovė veikia kaip tarpininkas tarp šalių, norinčių rodyti savo reklamą, ir leidėjų ar programėlių kūrėjų, kurie už tokios reklamos rodymą siekia gauti pajamų. Šiuo vaidmeniu „Discover-Tech“ yra „tiltas tarp reklamos pardavėjų ir samdomų šnipinėjimo programų ekosistemos“, o tai, pasak „Citizen Lab“, atrodo esąs „pagrindinis „Discover-Tech“ tikslas“.
Tarpininkavimas vyksta per aukcioną, kuriame daugybė reklamdavių siūlo mokestį už tai, kad jų reklama būtų rodoma tam tikrų demografinių grupių asmenų įrenginiuose. Naudodami unikalų vartotojų mobiliojo įrenginio ID, buvimo vietą, IP adresą ir kitus pėdsakus, tarpininkai gali sudaryti išsamius milijonų žmonių profilius. „Citizen Lab“ teigė gavusi daugiau nei 4 milijardus „Discover-Tech“ tvarkytų pasiūlymų įrašų. Iš jų paaiškėjo, kad nuo 2026 m. kovo iki birželio „Discover-Tech“ reklama buvo rodoma daugiau nei 70 000 mobiliųjų programėlių ir daugiau nei 120 000 svetainių.
Paaiškinimas: Internetinė reklama dažnai parduodama realiuoju laiku vykstančiuose aukcionuose: kai žmogus atidaro svetainę ar programėlę, reklamdaviai per kelias akimirkas varžosi dėl teisės parodyti jam savo skelbimą, remdamiesi surinktais duomenimis apie jį.
Tarp stambių platformų, kurios „Discover-Tech“ nurodė kaip „sertifikuotą“ arba „patikrintą“ tiekėją, buvo „Google“ ir reklamos pramonės asociacija IAB Europe. Izraelio įmonė taip pat naudojo Europos Sąjungos Bendrojo duomenų apsaugos reglamento (BDAR, angl. GDPR) sutikimo sistemas, kad galėtų nukreipti reklamą Europos Sąjungos vartotojams. „Discover-Tech“ rodė reklamą per stambius tinklus, tokius kaip „Google“, „Yandex“ ir „Beeswax“.
„Google“ ir IAB Europe nuo to laiko pašalino „Discover-Tech“ iš savo reklamos tiekėjų registrų, o „Google“ be to nutraukė „Discover-Tech“ prieigą prie savo reklamos biržų platformų. „Beeswax“ pašalino „Discover-Tech“ iš savo reklamos pirkimo platformos. Reklamos platforma „Vungle“ („Liftoff“) sustabdė „Discover-Tech“ prieigą, kol atliekama peržiūra, o „Eskimi“ užblokavo „Discover-Tech“ paskyras ir domenus.
Ketvirtadienį paskelbtoje ataskaitoje teigiama, kad „Discover-Tech“ reklamos parodymų užfiksuota vyriausybių ir nacionaliniam saugumui svarbiuose tinkluose visame pasaulyje: NATO, Jungtinių Tautų tinkluose, Europos teisėkūros institucijose, Australijos kritinės infrastruktūros paslaugų teikėjuose, taip pat Norvegijos ir Švedijos ginkluotosiose pajėgose bei valdžios institucijose.
„Masinis „Discover-Tech“ piktnaudžiavimas, privatumo pažeidimai ir pagalba vykdant samdomų šnipinėjimo programų atakas rodo struktūrines internetinės reklamos sistemos spragas – ji nesugebėjo aptikti ar užkirsti kelio šioje ataskaitoje dokumentuotam piktnaudžiavimui“, – teigė „Citizen Lab“.
Žinutės, išsiųstos „Discover-Tech“ ir „Candiru“, liko be atsakymo.
Tyrimų laboratorija teigė, kad per „AdFection“ įdiegtą samdomų įsilaužėlių kenkėjišką programą sukūrė ir platino „Candiru“ (pakeitusi prekės ženklą į „Integrity Labs“). Pagal susitarimą su „Discover-Tech“ tam tikrų „Candiru“ klientams įdomių profilių taikiniai gaudavo reklamą su „JavaScript“ ar kitu kodu, jungiančiu prie „Candiru“ valdymo serverių. Atsakydami tie serveriai pateikdavo išnaudojimo priemonę, kuri, reklamai pasirodžius asmens įrenginyje, įvykdydavo nulinio paspaudimo kenksmingąjį veiksmą.
Tyrime neaprašomos nulinio paspaudimo atakose išnaudotos pažeidžiamumo spragos ar galutinė įdiegta kenkėjiška programa. Greičiausiai tai buvo nulinės dienos spragos (angl. zero-days), kurios buvo ištaisytos po to, kai „Citizen Lab“ aptiko kampaniją. „Citizen Lab“ į klausimus iš karto neatsakė.
Paaiškinimas: Nulinės dienos spraga – tai programinės įrangos trūkumas, apie kurį gamintojas dar nežino arba kurio dar nespėjo ištaisyti, todėl nuo tokios atakos nėra paruoštos apsaugos.
„Citizen Lab“ paragino reklamdavius ir valdžios pareigūnus imtis konkrečių veiksmų, kad tokių kampanijų kaip „AdFection“ būtų užkirstas kelias iš anksto. Be to, užkrėtimo riziką vartotojai gali mažinti įsidiegdami reklamos blokatorius, iš naujo nustatydami mobiliojo reklamos ID „iOS“ ir „Android“ nustatymuose (neaišku, kodėl tyrėjai nepatarė visiškai išjungti personalizuotos reklamos) ir įdiegdami reklamą blokuojančią programinę įrangą namų ar biuro tinkluose. Kaip visada, būtina laiku diegti ir atnaujinimus.
