Zero-click атаки через рекламные баннеры: Citizen Lab вскрыла глобальную сеть шпионажа без клика

Параллельные расследования лаборатории Citizen Lab и компании Confiant раскрыли механизм, который превращает цифровую рекламу в канал для бесшумного взлома. Инфраструктура принадлежит израильской фирме Discover-Tech, позиционировавшей себя как рекламный посредник. Именно через её платформу под названием Controlium заказчики получали возможность деанонимизировать, снимать отпечатки устройств и автоматически заражать их в момент отрисовки объявления — классическая атака нулевого клика.

Главным получателем услуги стала печально известная компания Candiru, чьё шпионское ПО давно используется против гражданского общества и в 2021 году попало в чёрный список Министерства торговли США. Отчёт утверждает, что Candiru наняла Discover-Tech для доставки вредоносной рекламы и с её помощью следила как минимум за 45 журналистами Al Jazeera. Объявления скрыто перенаправляли миллионы устройств на серверы Candiru, вероятно, для массового отслеживания и разведки.

Зона поражения оказалась пугающе широкой. Вредоносные баннеры отображались во внутренних сетях десятков государственных учреждений и международных организаций. Среди затронутых структур в отчёте названы НАТО, Министерство обороны США, Управление информационных систем Эстонии, Международное агентство по атомной энергии и Международный уголовный суд.

Точное число скомпрометированных чиновников исследователи не раскрывают. География атаки подтверждается детальным анализом. Citizen Lab изучила четыре миллиарда записей о размещении рекламы Discover-Tech и выяснила, что всего за четыре месяца вредоносные объявления были показаны в приложениях для Android и iOS, а также почти на 200 тысячах уникальных веб-сайтов.

Платформа Controlium позволяла клиентам при заражении активировать запись звонков, включать микрофоны и извлекать сообщения с электронной почтой. Техническая изощрённость метода поражает. В отличие от тривиальных фишинговых схем, здесь вредоносный JavaScript-код исполнялся автоматически при посещении страницы с рекламой, при этом создатели избегали прямой передачи вредоносного кода или даже указателей на него рекламным площадкам.

Такой подход позволял обходить традиционные фильтры безопасности и процедуры модерации. Изнанкой атаки стала глубокая деанонимизация жертв. Controlium сопоставлял зашифрованные или псевдонимные рекламные идентификаторы с открытыми данными, раскрывая реальные личности пользователей.

К слову, инфицирование происходило на самых разных ресурсах — от новостных порталов до сайтов для просмотра видео, таких как gotube, если те участвовали в программатических рекламных цепочках. Помимо Candiru, услугами Discover-Tech пользовалась группировка, названная исследователями Dark Cartographer. Эти злоумышленники использовали уязвимости мобильных операторов, чтобы привязать рекламные ID к телефонным номерам, фактически обеспечивая массовое раскрытие анонимности людей в интернете без их ведома.

В публикации подчёркнуто, что Discover-Tech служила мостом между легальными рекламными вендорами и теневым рынком шпионского софта, и, судя по всему, это было её основное предназначение. Это позволяло операторам вроде Candiru обходить многолетние барьеры: формальный запрет на продажу софта негосударственным клиентам и необходимость применять социальную инженерию. Исследователи прямо заявляют, что предыдущие подозрения о возможности использования рекламных технологий для слежки впервые получили столь детальное техническое подтверждение.

Реагируя на отчёт, Google и другие крупные платформы заблокировали Discover-Tech, однако проблема вряд ли снимется точечным решением. Citizen Lab настаивает на срочном изменении регулирования рынка цифровой рекламы. Рекламным площадкам рекомендуют кардинально усилить кибербезопасность и возможности обнаружения угроз, а также ужесточить аудит партнёров по всей цепочке поставок.

Предотвратить следующую атаку такого рода можно только жёсткой проверкой каждого участника рекламного аукциона.