Citizen Lab: spiegprogrammatūra caur mērķētām reklāmām inficējusi Al Jazeera ierīces

Toronto universitātes pētniecības grupa Citizen Lab 15. oktobrī publicēja ziņojumu, kurā pirmo reizi tehniski pierāda, ka algotņu spiegprogrammatūra var nonākt ierīcēs caur parastām mērķētām tiešsaistes reklāmām. Uzbrukumam nevajag nekādu lietotāja darbību: pietiek, ka reklāma tiek ielādēta lietotnē vai tīmekļa vietnē. Pētnieki šo metodi nosaukuši par AdFection.

Ziņojuma centrā ir Izraēlā reģistrētais uzņēmums Discover-Tech, kas sevi pozicionē kā reklāmas tehnoloģiju firmu. Pēc Citizen Lab datiem, tā platforma Controlium ļāva klientiem atpazīt konkrētus lietotājus pēc reklāmas identifikatoriem un IP adresēm un tieši viņiem nosūtīt reklāmu ar kodu, kas ierīcē uzstāda spiegprogrammatūru. Vienīgais apstiprinātais upuris pagaidām ir Kataras raidorganizācija Al Jazeera: 2024. un 2025. gadā šādi uzbrukts vismaz 45 tās ierīcēm, un izmantota Izraēlas firmas Candiru, tagad Integrity Labs, programmatūra. ASV valdība Candiru sankcijas piemēroja jau 2021. gadā. Al Jazeera izmeklētājiem nodeva savus tīkla žurnālus.

Darbības apmērs ir plašs. Citizen Lab analizēja gandrīz četrus miljardus publiski pieejamu Discover-Tech solīšanas ierakstu un konstatēja, ka no šā gada marta līdz jūnijam reklāmas ar uzbrucēju skriptiem rādītas vairāk nekā 75 000 mobilajās lietotnēs un vairāk nekā 120 000 vietnēs. Pēc pētnieku aplēsēm, miljoniem ierīču tika novirzītas uz Candiru serveriem, visticamāk, profilēšanai. Paralēli izmeklēšanu veica Ņujorkas reklāmas drošības uzņēmums Confiant, kas, kā ziņo Reuters, uzsvēra, ka ar Candiru saistītās reklāmas bija tikai neliela daļa no kopējā apjoma.

Reklāmu parādījumi fiksēti arī jutīgos tīklos, tostarp NATO, ANO, Eiropas Parlamenta un Eiropas Komisijas tīklos, kā arī Norvēģijas un Zviedrijas valsts iestādēs. Confiant atradusi pazīmes, ka reklāmas rādītas arī Igaunijas Informācijas sistēmu iestādes tīklā. Citizen Lab tabulā par solījumiem uz iedzīvotāju skaitu Latvija ierindota ceturtajā vietā aiz Melnkalnes, Jemenas un Armēnijas. Pētnieki gan norāda, ka IP ģeolokācija var būt neprecīza un reklāmas parādīšana pati par sevi nenozīmē inficēšanu.

Google, kas piedalījās izmeklēšanā, izslēdza Discover-Tech no savām reklāmas platformām par sistemātiskiem noteikumu pārkāpumiem un pievienoja Safe Browsing brīdinājumus ar grupu saistītām vietnēm. Nozares asociācija IAB Europe uzņēmumu apturēja savā piegādātāju sarakstā, bet Comcast piederošā Beeswax to izņēma no savas platformas. Discover-Tech uz žurnālistu jautājumiem neatbildēja.

Citizen Lab vecākais pētnieks Bils Marčaks izdevumam WIRED skaidroja, ka parastam lietotājam pret šādiem uzbrukumiem ir maz aizsardzības līdzekļu, izņemot pēc iespējas pilnīgu reklāmu bloķēšanu. Citizen Lab aicina regulatorus izmeklēt Discover-Tech un Candiru darbību un sola atsevišķu ziņojumu par vēl vienu uzbrucēju, kas caur to pašu infrastruktūru noskaidrojis mobilo lietotāju tālruņa numurus.