Η αόρατη δημοπρασία διαφημίσεων εγκαθιστά λογισμικό κατασκοπείας στο τηλέφωνό σας χωρίς κλικ

Πολύ πριν δείτε μια στοχευμένη διαφήμιση για ένα νέο ζευγάρι παπούτσια τρεξίματος, το ψηφιακό σας προφίλ δημοπρατήθηκε σε δεκάδες εταιρείες σε κλάσματα δευτερολέπτου. Αυτή η διαδικασία είναι η μηχανή του σύγχρονου διαδικτύου. Καθορίζει ποια banner εμφανίζονται στην οθόνη σας και ποια βίντεο παίζουν πριν από το περιεχόμενό σας. Ωστόσο, μια νέα έκθεση από το Citizen Lab αποκαλύπτει ότι αυτό το ίδιο αυτοματοποιημένο σύστημα παρέχει τώρα εξελιγμένο λογισμικό κατασκοπείας (spyware) σε ανυποψίαστους στόχους. Οι ερευνητές εντόπισαν μια νέα εκστρατεία με το όνομα AdFection. Αυτή η επίθεση είναι μοναδική επειδή δεν απαιτεί καμία αλληλεπίδραση από το θύμα. Δεν χρειάζεται να κάνετε κλικ σε έναν ύποπτο σύνδεσμο ή να κατεβάσετε ένα κακόβουλο αρχείο. Η απλή πράξη της φόρτωσης μιας διαφήμισης σε έναν ιστότοπο ή μέσα σε μια εφαρμογή για κινητά είναι αρκετή για να παραβιάσει μια συσκευή.

Αυτή η ανακάλυψη σηματοδοτεί την πρώτη επιβεβαιωμένη περίπτωση κρατικά υποστηριζόμενου spyware «μηδενικού κλικ» (zero-click) που παραδίδεται μέσω του παγκόσμιου οικοσυστήματος διαδικτυακής διαφήμισης. Η τεχνολογία προήλθε από μια ισραηλινή εταιρεία με το όνομα Discover-Tech. Ενώ η εταιρεία παρουσιάζεται ως νόμιμος πωλητής διαφημίσεων, το Citizen Lab την περιγράφει ως γέφυρα μεταξύ του διαφημιστικού κόσμου και της αγοράς μισθοφορικού spyware. Η κλίμακα της επιχείρησης είναι τεράστια. Η Discover-Tech φέρεται να σέρβιρε 442 εκατομμύρια διαφημίσεις σε περισσότερους από 120.000 ιστότοπους και εφαρμογές. Αυτοί περιλάμβαναν μεγάλα ειδησεογραφικά μέσα όπως το BBC και οι The New York Times, μαζί με δημοφιλείς εφαρμογές για κινητά όπως το Duolingo και το Grindr.

Οι μηχανισμοί των μολύνσεων μέσω διαφημίσεων zero-click

Το διαφημιστικό οικοσύστημα είναι ένα ορθάνοιχτο παράθυρο σε ένα κατά τα άλλα κλειδωμένο σπίτι. Η περισσότερη σύγχρονη ασφάλεια επικεντρώνεται στη θωράκιση του λειτουργικού συστήματος ή του προγράμματος περιήγησης έναντι άμεσων επιθέσεων. Οι δημιουργοί spyware βρήκαν έναν τρόπο να παρακάμψουν αυτές τις άμυνες χρησιμοποιώντας το σύστημα Real-Time Bidding (RTB). Το RTB είναι μια αυτοματοποιημένη δημοπρασία όπου οι διαφημιστές πλειοδοτούν για να προβάλουν μια διαφήμιση σε έναν συγκεκριμένο χρήστη με βάση τα δεδομένα του. Όταν επισκέπτεστε έναν ιστότοπο, ο ιστότοπος στέλνει ένα αίτημα που περιέχει την τοποθεσία σας, τον τύπο της συσκευής και το ιστορικό περιήγησής σας. Οι διαφημιστές χρησιμοποιούν αυτά τα δεδομένα για να αποφασίσουν αν θέλουν να σας στοχεύσουν.

Η Discover-Tech χρησιμοποίησε αυτό το σύστημα για να σκιαγραφήσει το προφίλ και να αποκαλύψει την ταυτότητα συγκεκριμένων ατόμων. Μόλις το σύστημα αναγνώριζε έναν στόχο υψηλής αξίας, παρέδιδε μια διαφήμιση που περιείχε κακόβουλο κώδικα. Αυτός ο κώδικας εκτελείται μόλις η διαφήμιση εμφανιστεί στην οθόνη. Αυτό είναι που οι ερευνητές ασφαλείας ονομάζουν exploit «μηδενικού κλικ». Καταργεί την ανάγκη για ανθρώπινο σφάλμα. Στο παρελθόν, οι επιτιθέμενοι έπρεπε να εξαπατήσουν έναν δημοσιογράφο ή έναν διπλωμάτη ώστε να κάνει κλικ σε έναν σύνδεσμο σε ένα μήνυμα κειμένου. Με το AdFection, η επίθεση επιτυγχάνει επειδή το θύμα απλώς περιηγήθηκε σε έναν αξιόπιστο ιστότοπο ή άνοιξε μια οικεία εφαρμογή. Ο κακόβουλος κώδικας είναι θαμμένος μέσα στα οπτικά στοιχεία της διαφήμισης. Κατά συνέπεια, το θύμα παραμένει ανίδεο ότι το τηλέφωνο ή ο υπολογιστής του έχει μολυνθεί.

Στοχεύοντας τον πυρήνα των παγκόσμιων θεσμών

Η λίστα των στόχων υποδηλώνει μια εξαιρετικά συντονισμένη προσπάθεια συλλογής πληροφοριών για διεθνείς οργανισμούς και ηγέτες της τεχνολογίας. Το Citizen Lab βρήκε στοιχεία ότι το spyware στόχευσε προσωπικό του ειδησεογραφικού δικτύου Al Jazeera. Έφτασε επίσης σε υπαλλήλους του ΝΑΤΟ και της Ευρωπαϊκής Επιτροπής. Η εμβέλεια επεκτάθηκε στον ιδιωτικό τομέα, επηρεάζοντας προσωπικό σε μεγάλες εταιρείες ημιαγωγών όπως η NVIDIA και η Arm. Οι επιτιθέμενοι στόχευσαν ακόμη και συσκευές που χρησιμοποιούνται από εθνικές υπηρεσίες κυβερνοασφάλειας και παρόχους κρίσιμων υποδομών.

Αυτή η ευρεία στόχευση είναι δυνατή λόγω της εμβέλειας της διαδικτυακής διαφήμισης. Επειδή οι διαφημίσεις βρίσκονται παντού, η επιφάνεια επίθεσης είναι ουσιαστικά ολόκληρο το διαδίκτυο. Η Discover-Tech εκμεταλλεύτηκε την εμπιστοσύνη που δείχνουν οι χρήστες σε δημοφιλείς εφαρμογές και ιστότοπους. Όταν ένας χρήστης βλέπει μια διαφήμιση σε έναν αξιόπιστο ειδησεογραφικό ιστότοπο, υποθέτει ότι ο ιστότοπος έχει ελέγξει το περιεχόμενο. Στην πραγματικότητα, ο ιδιοκτήτης του ιστότοπου έχει πολύ μικρό έλεγχο στο ποιες συγκεκριμένες διαφημίσεις εμφανίζονται. Οι αυτοματοποιημένοι οίκοι δημοπρασιών αποφασίζουν το περιεχόμενο σε πραγματικό χρόνο. Αυτή η έλλειψη εποπτείας επιτρέπει σε κακόβουλους παράγοντες να κρύβονται σε κοινή θέα ανάμεσα σε εκατομμύρια νόμιμες καμπάνιες μάρκετινγκ.

Η κατάρρευση της ανωνυμίας στη διαδικασία υποβολής προσφορών

Μία από τις πιο ανησυχητικές πτυχές της έκθεσης είναι ο τρόπος με τον οποίο οι επιτιθέμενοι χρησιμοποίησαν το διαφημιστικό σύστημα για να αφαιρέσουν την ιδιωτικότητα των χρηστών. Η διαδικασία RTB βασίζεται σε ψευδώνυμα αναγνωριστικά. Αυτά είναι σειρές αριθμών και γραμμάτων που αντιπροσωπεύουν έναν χρήστη χωρίς να χρησιμοποιούν το νόμιμο όνομά του. Σε ένα ρυθμιστικό πλαίσιο, αυτό θεωρείται συχνά ένα μέτρο προστασίας της ιδιωτικότητας. Ωστόσο, αυτά τα αναγνωριστικά δεν είναι πραγματικά ανώνυμα. Όταν συνδυάζονται με δεδομένα τοποθεσίας και μεταδεδομένα συσκευής, γίνονται ένα ψηφιακό αποτύπωμα.

Η Discover-Tech χρησιμοποίησε αυτά τα αποτυπώματα για να παρακολουθεί στόχους σε διαφορετικές εφαρμογές και ιστότοπους. Αυτό τους επέτρεψε να περιμένουν την τέλεια στιγμή για να παραδώσουν το ωφέλιμο φορτίο του spyware. Οι ερευνητές βρήκαν επίσης αρχεία σύνδεσης στις υποδομές της ίδιας της Discover-Tech που τις συνέδεαν με άλλους γνωστούς κατασκευαστές spyware, συμπεριλαμβανομένης μιας εταιρείας με το όνομα Candiru. Αυτό υποδηλώνει ένα συνεργατικό οικοσύστημα όπου διαφορετικές μισθοφορικές ομάδες μοιράζονται εργαλεία και μεθόδους πρόσβασης. Το διαφημιστικό σύστημα παρέχει το τέλειο όχημα παράδοσης για αυτά τα εργαλεία, επειδή είναι κατασκευασμένο να παρακάμπτει τα παραδοσιακά τείχη προστασίας και τα φίλτρα ασφαλείας.

Η Google και η ανταπόκριση του διαφημιστικού οικοσυστήματος

Η Google είναι ένας από τους μεγαλύτερους παίκτες στην παγκόσμια διαφημιστική αγορά. Η έκθεση αναφέρει ότι η Discover-Tech χρησιμοποίησε τις πλατφόρμες της Google για να διανείμει τις διαφημίσεις της. Μετά από μια κοινή έρευνα με το Citizen Lab και την εταιρεία ασφαλείας Confiant, η Google έλαβε μέτρα. Η εταιρεία απέκλεισε την Discover-Tech από τη λίστα των παγκόσμιων προμηθευτών της και την απέκλεισε από τις διαφημιστικές της πλατφόρμες. Η Google δήλωσε ότι η εταιρεία παραβίαζε συστηματικά τις πολιτικές σχετικά με παραπλανητικές πρακτικές και διανομή κακόβουλου λογισμικού.

Αν και αυτή η αναστολή είναι ένα απαραίτητο βήμα, υπογραμμίζει μια συστημική ευπάθεια. Η διαφημιστική βιομηχανία λειτουργεί σε ένα μοντέλο τεράστιας κλίμακας και υψηλής ταχύτητας. Η επαλήθευση κάθε διαφημιστή είναι δύσκολη όταν εκατομμύρια δημοπρασίες συμβαίνουν κάθε δευτερόλεπτο. Από την άποψη της συμμόρφωσης, αυτό δημιουργεί σημαντικό κίνδυνο για τις πλατφόρμες. Εάν μια πλατφόρμα επιτρέπει στην υποδομή της να χρησιμοποιείται για κρατικά υποστηριζόμενη επιτήρηση, αντιμετωπίζει πιθανό νομικό έλεγχο βάσει των νόμων περί προστασίας δεδομένων, όπως ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) στην Ευρώπη. Σύμφωνα με τον GDPR, οι εταιρείες έχουν καθήκον να διασφαλίζουν ότι η επεξεργασία δεδομένων είναι ασφαλής και ότι διαθέτουν έγκυρη νομική βάση για κάθε συναλλαγή.

Νομική λογοδοσία στην αγορά μισθοφορικού spyware

Η χρήση της διαφήμισης για επιτήρηση εγείρει περίπλοκα νομικά ερωτήματα. Τα περισσότερα διαφημιστικά δεδομένα υποβάλλονται σε επεξεργασία βάσει της νομικής βάσης του Έννομου Συμφέροντος. Πρόκειται για μια διάταξη της νομοθεσίας περί ιδιωτικότητας που επιτρέπει στις εταιρείες να επεξεργάζονται δεδομένα εάν έχουν έναν έγκυρο λόγο που δεν υπερτερεί των δικαιωμάτων του χρήστη. Η χρήση αυτών των δεδομένων για την εγκατάσταση spyware αποτελεί σαφή παραβίαση αυτής της αρχής. Αποτελεί επίσης παραβίαση της οδηγίας ePrivacy, η οποία απαιτεί συγκατάθεση για την πρόσβαση σε πληροφορίες που είναι αποθηκευμένες στη συσκευή ενός χρήστη.

Υπάρχει επίσης το ζήτημα της εξωεδαφικής δικαιοδοσίας. Η Discover-Tech είναι μια ισραηλινή εταιρεία, αλλά τα θύματά της βρίσκονται σε όλο τον κόσμο. Πολλές από τις διαφημίσεις προβλήθηκαν σε χρήστες στην Ευρωπαϊκή Ένωση και τις Ηνωμένες Πολιτείες. Αυτό σημαίνει ότι οι ρυθμιστικές αρχές σε αυτές τις δικαιοδοσίες έχουν την εξουσία να ερευνήσουν την παραβίαση της ιδιωτικότητας. Ωστόσο, η απόδοση ευθυνών σε μισθοφορικές εταιρείες spyware είναι ιστορικά δύσκολη. Αυτές οι εταιρείες συχνά λειτουργούν μέσω στρωμάτων εικονικών εταιρειών και χρησιμοποιούν περίπλοκες τεχνικές μεθόδους για να κρύψουν τις δραστηριότητές τους. Τελικά, η ευθύνη συχνά πέφτει στους παρόχους πλατφορμών να αστυνομεύουν τα δικά τους δίκτυα πιο αποτελεσματικά.

Πρακτικά βήματα για την ασφάλεια του ψηφιακού σας αποτυπώματος

Η ανακάλυψη του AdFection αποδεικνύει ότι η τυπική ψηφιακή υγιεινή δεν είναι πλέον αρκετή για άτομα υψηλού κινδύνου. Εάν είστε δημοσιογράφος, κυβερνητικός αξιωματούχος ή ερευνητής, πρέπει να υποθέσετε ότι οι συνήθειες περιήγησής σας αποτελούν φορέα επίθεσης. Ο πιο αποτελεσματικός τρόπος για να μετριάσετε αυτή τη συγκεκριμένη απειλή είναι να μειώσετε την έκθεσή σας στο διαφημιστικό οικοσύστημα. Δεν πρόκειται για το να κρυφτείτε από μία εταιρεία. Πρόκειται για το κλείσιμο του παραθύρου που αφήνει ανοιχτό το σύστημα RTB.

Πρώτον, εξετάστε το ενδεχόμενο χρήσης ενός ισχυρού ad blocker. Εργαλεία όπως το uBlock Origin εμποδίζουν το πρόγραμμα περιήγησης ακόμη και από το να ζητήσει το περιεχόμενο της διαφήμισης από τους διακομιστές δημοπρασιών. Εάν η διαφήμιση δεν φορτωθεί ποτέ, το exploit μηδενικού κλικ δεν μπορεί να εκτελεστεί. Δεύτερον, απενεργοποιήστε την παρακολούθηση διαφημίσεων στις κινητές συσκευές σας. Στις συσκευές Apple, χρησιμοποιήστε τη λειτουργία «Απαίτηση από την εφαρμογή να μην παρακολουθεί». Στο Android, επαναφέρετε το αναγνωριστικό διαφήμισής σας και εξαιρεθείτε από τις εξατομικευμένες διαφημίσεις. Αυτά τα βήματα καθιστούν δυσκολότερο για εταιρείες όπως η Discover-Tech να σκιαγραφήσουν το προφίλ σας και να σας επιλέξουν ως στόχο.

Τέλος, για όσους διατρέχουν υψηλό κίνδυνο, εξετάστε το ενδεχόμενο χρήσης εξειδικευμένων λειτουργιών ασφαλείας. Η Λειτουργία Αποκλεισμού (Lockdown Mode) της Apple, για παράδειγμα, απενεργοποιεί ορισμένες περίπλοκες λειτουργίες ιστού που χρησιμοποιούνται συχνά σε επιθέσεις μηδενικού κλικ. Παρόλο που αυτά τα μέτρα μπορούν να κάνουν το διαδίκτυο λιγότερο βολικό, είναι απαραίτητα σε έναν κόσμο όπου μια απλή διαφήμιση banner είναι όπλο. Η ανακάλυψη από το Citizen Lab είναι πιθανότατα μόνο ένα μέρος μιας πολύ μεγαλύτερης τάσης. Όσο το διαφημιστικό οικοσύστημα παραμένει αδιαφανές και αυτοματοποιημένο, θα συνεχίσει να αποτελεί στόχο για όσους επιδιώκουν να παρακάμψουν την ψηφιακή ασφάλεια.

Πηγές

• Citizen Lab Report: AdFection: A New Zero-Click Spyware Delivery Platform
• General Data Protection Regulation (GDPR), Article 5 (Principles relating to processing of personal data)
• General Data Protection Regulation (GDPR), Article 32 (Security of processing)
• ePrivacy Directive 2002/58/EC (Directive on privacy and electronic communications)
• Google Policy Statement on Discover-Tech Suspension

Αποποίηση ευθύνης: Αυτό το άρθρο προορίζεται αποκλειστικά για ενημερωτικούς και δημοσιογραφικούς σκοπούς και δεν αποτελεί επίσημη νομική συμβουλή. Εάν πιστεύετε ότι η συσκευή σας έχει παραβιαστεί από spyware, συμβουλευτείτε έναν εξειδικευμένο επαγγελματία κυβερνοασφάλειας ή νομικό σύμβουλο που ειδικεύεται στα ψηφιακά δικαιώματα.