Онлайн-реклама использована как оружие для доставки «ноль-кликовых» шпионских программ, заявляют исследователи.
ПО Controlium от Discover‑Tech позволяет клиентам массово профилировать пользователей сети, а затем скрытно взламывать цели, утверждают исследователи из Университета Торонто.
Израильское рекламное агентство демонстрировало миллионы интернет‑объявлений, которые позволяли использовать «ноль‑кликовые» шпионские программы против целей, заявили исследователи из канадского университета.
Citizen Lab, исследовательское подразделение по цифровым расследованиям при Университете Торонто, сообщает, что, по их оценке, десятки устройств в катарском вещательном предприятии Al Jazeera были скомпрометированы шпионским ПО, доставленным через рекламу, размещённую Discover‑Tech, которая позиционирует себя как специализированное цифровое рекламное агентство.
По данным Citizen Lab, Discover‑Tech эксплуатирует программную платформу под названием Controlium, которая позволяет её клиентам «массово профилировать и деанонимизировать» пользователей интернета, а затем скрытно взламывать выбранные цели с помощью сторонних шпионских продуктов. В отличие от инфекций, требующих от людей взаимодействия с ссылками или файлами, это шпионское ПО не требует никакого взаимодействия жертвы для установки, что, по словам Citizen Lab, представляет собой новую технику доставки.
Инфекции происходят без ведома пользователя и в течение нескольких секунд, сообщили в Citizen Lab.
«Экосистема [онлайн‑рекламы] используется в военных целях в масштабах, позволяющих профилировать миллионы пользователей, после чего тихо инфицировать цели ноль‑кликовым наёмным шпионским ПО», — говорится в докладе.
Согласно отчёту, Controlium способен собирать личность пользователя и его IP‑адрес, когда пользователю показывают на первый взгляд безобидное специально созданное объявление — например, о цифровой игре или телекоммуникационной услуге. Если пользователь выбран для взлома, фирма, занимающаяся наёмным шпионским ПО, может затем отправить на его устройство вредоносный код, содержащий шпионскую программу, заявляют исследователи.
Они утверждают, что с 2024 года миллионы пользователей по всему миру видели объявления Discover‑Tech, в том числе в Йемене, Бразилии, Мексике и Чехии.
Связанные исследования группы Confiant также предполагают, что объявления Discover‑Tech показывались пользователям сетей государственных учреждений в Европе и США, а также ООН, НАТО, Международному уголовному суду и Международному агентству по атомной энергии.
«Катастрофически, что крупные поставщики рекламы и организации, похоже, в течение лет не могли ни обнаружить, ни предотвратить вредоносные рекламные операции этой компании», — сказал Вольфи Кристль (Wolfie Christl), исследователь Citizen Lab. «То, как сегодня устроена экосистема онлайн‑рекламы, представляет собой угрозу безопасности государств, частного сектора, гражданского общества и всех остальных».
По данным Citizen Lab, Controlium действует как «посредник» для сторонних фирм, производящих шпионское ПО, которые нацеливались на «государственных чиновников, журналистов, бизнесменов, активистов, учёных и сотрудников посольств». Citizen Lab утверждает, что такое ПО может получить доступ ко всему на устройстве цели: извлекать сообщения, фотографии и электронные письма, записывать звонки и скрытно активировать микрофоны.
Полный масштаб нацеливания, якобы обеспечиваемого Discover‑Tech, неизвестен. Выводы Citizen Lab добавляют к растущим свидетельствам того, что непрозрачные механизмы, лежащие в основе мира онлайн‑рекламы, могут быть использованы для наблюдения.
«Долго ходили разговоры о том, что онлайн‑объявления можно использовать для идентификации и автоматического взлома целей с высокой точностью, но теперь впервые у нас есть конкретные технические доказательства, показывающие этот процесс в действии», — сказал Билл Марчак (Bill Marczak), исследователь Citizen Lab.
Discover‑Tech была запрошена с просьбой прокомментировать.
Когда пользователь заходит на веб‑сайт, на котором показываются объявления, его данные становятся частью мгновенного программного аукциона с участием десятков или сотен компаний. Эти компании автоматически делают ставки, чтобы показать объявление этому пользователю.
Ставки основаны на профиле пользователя, который может включать информацию об устройстве и данные, собранные путём отслеживания его активности в сети. Например, компаниям, имеющим профиль 35‑летнего человека с интересом к ставкам на спорт и криптовалютам, может быть выгодно показать этому пользователю рекламу энергетического напитка.
Регулирование этого автоматизированного онлайн‑рынка минимально, и всё больше данных свидетельствует о том, что он эксплуатируется злоумышленниками.
Ранее сообщалось, что миллиарды долларов доходов Meta от рекламы приходится на объявления, связанные с мошенничеством, нелегальными азартными играми, порнографией и другим запрещённым контентом. В США такие организации, как ICE, и другие государственные агентства покупали программное обеспечение, использующее данные рекламных технологий для отслеживания перемещений людей.
«Агентства кибербезопасности, регуляторы и законодатели в США, Европе и других регионах должны срочно вмешаться. Они должны расследовать вовлечённые компании и исправить системные риски, которые позволяют осуществлять вредоносное таргетирование рекламы», — сказал Кристль.
(Далее в материалах новостей: расследования владельцев Hobbs and Whistles по взлому, который мог скомпрометировать данные клиентов; Asos сообщает о краже имён, контактных данных и истории поиска клиентов; хакеры похищают конфиденциальные данные из Министерства образования Великобритании и полиции; приговоры хакерам, получившим доступ к ключевым системам лондонского транспорта; предупреждение британцам о российских хакерах, нацеленных на интернет‑роутеры для шпионажа; предупреждение Google о том, что квантовые компьютеры могут взломать зашифрованные системы к 2029 году; бывшие преступные хакеры призывают школьников Манчестера использовать веб‑навыки во благо; муниципалитеты Лондона приводят в действие аварийные планы после кибератаки на три совета.)
