Kohdennetut mainokset hyödyntävät nollaklikkauksen haavoittuvuuksia palkkasoturi-vakoiluohjelman levittämiseen

Kuva: Ars Technica · Lähde

Citizen Lab paljastaa, että israelilainen Discover-Tech helpotti kohdennettujen mainosten kautta nollaklikkauksen hyökkäyksiä, joilla asennettiin Candiru-vakoiluohjelmisto iOS- ja Android-laitteisiin Al Jazheeralla ja muualla.

Toronto-yliopiston Citizen Labin yksityiskohtainen tutkimus on paljastanut kehittyneen vakoiluohjelmakampanjan, joka hyödyntää kohdennettua mainontaa toimittaakseen nollaklikkauksen hyökkäyksiä mobiililaitteille. Kampanja, nimeltään AdFection, on raportoitu saastuttaneen vähintään 45 laitetta, jotka kuuluvat Al Jazheeran henkilöstölle vuosina 2024 ja 2025, ja se on ensimmäinen vahvistettu tapaus palkkasoturien vakoiluohjelmien käyttöönotosta kohdennettujen mainosten kautta.

Citizen Labin raportin mukaan vakoiluohjelmisto levitettiin Discover-Techin, israelilaisen yrityksen, toimittamien mainosten kautta. Discover-Tech toimii välittäjänä mainostajien, jotka etsivät tiettyjä käyttäjäprofiileja, sekä julkaisijoiden tai sovelluskehittäjien välillä. Tämä järjestely mahdollisti Discover-Techin julkaista haitallisia mainoksia, jotka upottivat nollaklikkauksen hyökkäyskoodin, tartuttaen iOS- ja Android-laitteita, kun käyttäjät vain lataavat verkkosivun tai sovelluksen ilman suoraa vuorovaikutusta.

Laajan yli 4 miljardin Discover-Techin hallinnoiman tarjousdatan analyysin avulla tutkimuksessa paljastettiin, että yrityksen mainoksia näkyi yli 70 000 mobiilisovelluksessa ja 120 000 verkkosivustolla maailmanlaajuisesti maaliskuusta kesäkuuhun 2026. Kampanja kohdistui käyttäjiin hyödyntämällä yksityiskohtaisia profiileja, jotka rakennettiin ainutlaatuisten mobiilitunnisteiden, sijaintitietojen, IP-osoitteiden ja muiden tunnisteiden avulla. Merkittävästi Discover-Tech hyödynsi myös GDPR:n mekanismeja kohdistamaan hyökkäyksiä Euroopan unionin sisällä.

Lisää huolta aiheuttaa se, että Discover-Techin mainosnäyttöjä havaittiin verkostoissa, jotka liittyvät hallituksen, kansallisen turvallisuuden ja kriittisen infrastruktuurin yksiköihin, mukaan lukien Naton, Yhdistyneiden Kansakuntien, Euroopan lainsäädäntöelinten ja eri asevoimien verkostot. Tämä laaja altistuminen korostaa verkkomainontaekosysteemin perusheikkouksia, jotka epäonnistuivat tunnistamaan tai estämään väärinkäytön.

Paljastuksen jälkeen alan merkittävät toimijat, kuten Google, IAB Europe, Beeswax, Vungle ja Eskimi, toimivat nopeasti poistaen tai keskeyttäen Discover-Techin alustaltaan, rajoittaen yrityksen mainosjakelukykyjä.

Citizen Lab liittää taustalla olevan vakoiluohjelmiston Candiru-yhtiölle (tunnetaan myös nimellä Integrity Labs), palkkasoturihakkeriyritykselle. Candiru toimitti nollaklikkauksen hyökkäykset ja vakoiluohjelmiston kuormat, jotka toimitettiin Discover-Techin mainosinfra­struktuurin kautta.

Tutkimus ei erittele tarkasti käytettyjä haavoittuvuuksia, mutta ehdottaa, että kyseessä olivat todennäköisesti nollapäivän hyökkäykset, jotka korjattiin kampanjan paljastumisen jälkeen. Discover-Techin ja Candirun kommenttipyyntöihin ei saatu vastauksia.

Näihin löydöksiin vastaten Citizen Lab kehottaa mainostajia ja hallituksen virastoja ottamaan käyttöön vahvat suojaukset tällaisten uhkien varalta. He suosittelevat yksittäisiä käyttäjiä käyttämään mainosten esto-ohjelmia, nollaamaan mobiilimainonnan tunnisteet säännöllisesti ja varmistamaan ohjelmistopäivitysten oikea-aikaisuuden infektoitumisriskin pienentämiseksi. Tutkimus korostaa kriittistä tarvetta järjestelmänlaajuisiin uudistuksiin digitaalisessa mainonnassa, jotta palkkasoturin vakoiluohjelmakampanjat eivät leviäisi luotettavien kaupallisten kanavien kautta.