Не менее 45 устройств сотрудников Al Jazeera, по данным исследователей Citizen Lab, могли быть заражены без клика по ссылке — через обычный рекламный показ. Схема AdFection превращает шпионское ПО в рекламе из экзотической угрозы в проблему всей цепочки AdTech: для атаки достаточно, чтобы на устройстве открылась страница или приложение с нужным рекламным слотом.
Как сообщает Dark Reading, в центре расследования оказалась израильская компания Discover-Tech, позиционирующая себя как поставщик рекламных технологий. Исследователи считают, что её инфраструктура помогала разработчику коммерческого шпионского ПО Candiru, ныне работающему под названием Integrity Labs, доставлять вредоносный код выбранным целям.
Как реклама становится атакой без клика
AdFection использует стандартный механизм программатик-рекламы — аукцион в реальном времени, или RTB. Когда пользователь открывает сайт либо мобильное приложение, рекламные системы за миллисекунды выбирают, кому показать баннер. В этом процессе участникам доступны технические идентификаторы: IP-адрес, рекламный идентификатор мобильного устройства, cookies и другие параметры, достаточные для профилирования устройства.
По версии Citizen Lab, Discover-Tech выигрывала рекламный аукцион и отдавала креатив на площадку, открытую у потенциальной цели. Встроенный в объявление тег связывался с сервером под контролем компании и передавал сведения об устройстве. Если оно подходило под заданные параметры, сервер возвращал JavaScript; если нет — пустой ответ. Сам полезный код исследователи не получили, однако логи, переданные Al Jazeera, показали последовательность соединений: инфраструктура Discover-Tech, затем серверы проверки Candiru и, наконец, сервер управления шпионским ПО.
Ключевой нюанс здесь не в самом JavaScript: рекламные креативы и так регулярно выполняют код в браузере или приложении. Проблема в том, что тот же механизм можно совместить с точным таргетингом. Платформа Controlium, связанная с Discover-Tech, по данным Citizen Lab, позволяла задавать аудиторию по IP-адресам, cookies и мобильным рекламным идентификаторам. Пользователь не нажимает баннер, не скачивает файл и может вообще не заметить, что получил рекламу.
Не уязвимость браузера, а уязвимость рекламного рынка
За четыре месяца Discover-Tech показывала таргетированную рекламу почти на 200 тысячах уникальных сайтов и Android/iOS-приложений в десятках стран, утверждают исследователи. Следы показов обнаружили на устройствах, связанных с государственными структурами, военными, объектами критической инфраструктуры, медиа и международными организациями. Сам факт показа не доказывает ни слежку, ни заражение конкретного устройства, но масштаб распространения рекламной инфраструктуры делает такую возможность особенно тревожной.
Citizen Lab связывает Discover-Tech и с другими игроками рынка наблюдения, включая компанию Bindecy и фирму рекламной разведки Intelos. Наиболее сильные технические доказательства доставки шпионского ПО исследователи получили именно в эпизодах с Candiru. Отдельно они готовят отчёт о группе Dark Cartographer: она, как утверждается, использует инфраструктуру Discover-Tech для сопоставления рекламных идентификаторов с телефонными номерами. Среди методов названы утечки IP через WebRTC, добавление HTTP-заголовков операторами связи и механизмы входа без взаимодействия пользователя.
Для рынка это неприятный сдвиг фокуса. Обычно безопасность рекламы обсуждают через malvertising — вредоносные лендинги, фишинг или подмену объявлений. AdFection описывает другой сценарий: рекламная экосистема выступает системой поиска и доставки для точечной операции. Разработчикам мобильных приложений и владельцам сайтов стоит внимательнее проверять SDK, рекламных посредников и цепочку поставки креативов. Компаниям с высокорисковыми сотрудниками — журналистами, топ-менеджерами, инженерами критической инфраструктуры — полезно учитывать рекламные идентификаторы и мобильный трафик в модели угроз, а не списывать их на безобидную аналитику.
После раскрытия Citizen Lab Google прекратила доступ Discover-Tech к своим рекламным биржам. IAB Europe исключила компанию из реестров поставщиков, Beeswax отключила её от платформы закупки рекламы, Eskimi заблокировала аккаунты и домены, а Vungle, работающая под брендом Liftoff, приостановила доступ на время проверки. Эти меры ограничивают конкретного участника, но не меняют базовую механику: RTB по-прежнему передаёт множеству посредников достаточно данных, чтобы выделить одно устройство из миллионов.
История AdFection ставит неудобный вопрос перед рекламной индустрией: может ли модель, построенная на мгновенном обмене идентификаторами и кодом, надёжно отделить легитимный таргетинг от инфраструктуры наблюдения. Пока ответ зависит не столько от встроенных барьеров рынка, сколько от внешних расследований и последующих блокировок. Подробнее о технических выводах и реакции платформ можно прочитать в материале .