Στοχευμένες διαφημίσεις και κατασκοπευτικό λογισμικό κινητών: Τι δείχνουν πραγματικά πρόσφατες αναφορές

Τι συνέβη

Εξειδικευμένες τεχνολογικές εκδόσεις, μεταξύ των οποίων το Hacker και το wtftime, έχουν αναδείξει ρεπορτάζ για την εκμετάλλευση εμπορικών δικτύων ψηφιακού μάρκετινγκ για επιθετικές κυβερνοεπιχειρήσεις. Σύμφωνα με αυτές τις αναφορές, δρώντες απειλών λειτούργησαν μέσω συστημάτων πλειστηριασμών σε πραγματικό χρόνο και ενδιάμεσων διαφημιστικών μεσιτών για να δρομολογήσουν κακόβουλα δημιουργικά σενάρια απευθείας σε υποψήφιους στόχους. Αντί να εκτελούν ευρείες εκστρατείες κακόβουλης διαφήμισης με στόχο μαζική απάτη ή συλλογή διαπιστευτηρίων, ο μηχανισμός παράδοσης ήταν βαθμονομημένος ώστε να προσεγγίζει στενά δημογραφικά τμήματα ή συγκεκριμένες κινητές συσκευές. Η δραστηριότητα φέρεται να βασίζεται σε παραμέτρους στόχευσης ενσωματωμένες σε συνηθισμένα πλαίσια προγραμματιστικής προβολής. Αγοράζοντας διαφημιστικό απόθεμα σε δίκτυα που προβάλλουν εντυπώσεις σε mainstream ιστότοπους και εφαρμογές κινητών, οι φορείς μπορούν να παραδώσουν προσαρμοσμένα ωφέλιμα φορτία στο περιβάλλον του προγράμματος περιήγησης ενός τελικού χρήστη χωρίς να απαιτείται αλληλεπίδραση του χρήστη. Ρεπορτάζ μέσων ενημέρωσης υποδηλώνουν ότι αυτή η ροή εργασιών ήταν δομημένη για την παράδοση εκμεταλλεύσεων προγράμματος περιήγησης μηδενικού κλικ ή ενός κλικ ικανών να εγκαταστήσουν εμπορικές σουίτες κατασκοπευτικού λογισμικού. Μετά από αυτές τις αποκαλύψεις, η προσοχή έχει στραφεί στον αδιαφανή ιστό ανταλλαγών διαφημίσεων, μεσιτών δεδομένων και πλατφορμών ζήτησης που διαχειρίζονται τρισεκατομμύρια μικροπλειστηριασμούς καθημερινά. Σε απάντηση ανησυχιών σχετικά με φορείς επιτήρησης μέσω διαφημίσεων, διαχειριστές δικτύων και φορείς βιομηχανικής ασφάλειας έχουν αρχίσει να ελέγχουν ενδιάμεσους λογαριασμούς για να εντοπίσουν και να αφαιρέσουν παραπλανητικές διαφημιστικές οντότητες. Ωστόσο, οι ακριβείς επιχειρησιακές λεπτομέρειες, συμπεριλαμβανομένων συγκεκριμένων εκστρατειών και μετρήσεων απόδοσης, παραμένουν περιορισμένες στα ανοιχτά κανάλια.

Τι γνωρίζουμε

Η μηχανική της σύγχρονης αλυσίδας εφοδιασμού προγραμματιστικής διαφήμισης παρέχει εκτεταμένη δομική ορατότητα στις συσκευές των καταναλωτών. Όταν ένα άτομο ανοίγει μια εφαρμογή κινητού ή επισκέπτεται μια ιστοσελίδα που εμφανίζει διαφημίσεις banner, ένας πλειστηριασμός σε πραγματικό χρόνο λαμβάνει χώρα σε χιλιοστά του δευτερολέπτου. Κατά τη διάρκεια αυτής της ανταλλαγής, αιτήματα προσφοράς μεταδίδουν συγκεκριμένα μεταδεδομένα σε δεκάδες ή εκατοντάδες διαφημιστικές πλατφόρμες. Αυτά τα μεταδεδομένα της ροής προσφορών συχνά περιλαμβάνουν αναγνωριστικά κινητής διαφήμισης, λεπτομερή δεδομένα γεωεντοπισμού, μοντέλα συσκευών, εκδόσεις λειτουργικού συστήματος, αναλύσεις οθόνης και διευθύνσεις IP. Ερευνητές ασφάλειας έχουν από καιρό επισημάνει ότι η πρόσβαση σε πλούσια προφίλ ροής προσφορών δημιουργεί ένα εγγενές φορέα επιτήρησης. Στο συμβατικό ψηφιακό μάρκετινγκ, αυτή η τηλεμετρία επιτρέπει υπερ-στοχευμένες προωθήσεις βάσει τοποθεσίας και ιστορικού συμπεριφοράς. Σε επιθετικό πλαίσιο, η ίδια λογική στόχευσης επιτρέπει σε έναν δρώντα να αγοράζει εντυπώσεις που στοχεύουν αποκλειστικά σε ακτίνα ενός κελιού δικτύου κινητής τηλεφωνίας, σε συγκεκριμένο υποδίκτυο ή σε συγκεκριμένα αναγνωριστικά συσκευής. Εάν ένας επιτιθέμενος γνωρίζει το αναγνωριστικό κινητής διαφήμισης ή το εύρος IP του στόχου, μπορεί να τοποθετήσει επιλεκτικές προσφορές σε αντίστοιχες εντυπώσεις διαφημίσεων. Μόλις μια στοχευμένη εντύπωση κερδίσει τον πλειστηριασμό, η ανταλλαγή διαφημίσεων παρέχει άδεια εκτέλεσης κώδικα εντός του προγράμματος περιήγησης ή του περιέκτη webview του στόχου. Οι τυπικές προγραμματιστικές διαφημίσεις εκτελούν JavaScript για την απόδοση κινούμενων σχεδίων, την παρακολούθηση προβολών και τη συλλογή βασικών αναλυτικών στοιχείων. Ένας επιτιθέμενος που αξιοποιεί αυτόν τον φορέα μπορεί να ενσωματώσει σενάρια δακτυλοσκόπησης μέσα στο διαφημιστικό δημιουργικό. Αυτά τα σενάρια εξετάζουν το περιβάλλον του προγράμματος περιήγησης για λεπτές λεπτομέρειες λογισμικού, επαληθεύοντας ότι η συσκευή αντιστοιχεί στο στοχευμένο άτομο πριν ενεργοποιήσουν ένα ωφέλιμο φορτίο εκμετάλλευσης. Αυτή η μεθοδολογία αποφεύγει τη μετάδοση ευπαθειών μηδενικής ημέρας σε ερευνητές ασφάλειας ή αυτοματοποιημένους σαρωτές sandbox. Εάν η επισκεπτόμενη συσκευή αποτύχει στα κριτήρια κατάρτισης προφίλ, το σενάριο εμφανίζει μια ακίνδυνη διαφήμιση, χωρίς να αφήνει εμφανείς ανωμαλίες. Εάν το προφίλ ταιριάζει, το σενάριο επιχειρεί να εκτελέσει εκμεταλλεύσεις σε επίπεδο προγράμματος περιήγησης για να επιτύχει κλιμάκωση προνομίων και να αναπτύξει εργαλεία παρακολούθησης. Οι εκκαθαριστικοί οίκοι της βιομηχανίας και οι διαχειριστές πλατφορμών εντοπίζουν και απενεργοποιούν τακτικά παραπλανητικούς λογαριασμούς, ωστόσο ο τεράστιος όγκος συναλλαγών σε πραγματικό χρόνο περιπλέκει την προληπτική ανίχνευση.

Τι δεν γνωρίζουμε

Σημαντικά κενά παραμένουν σχετικά με το εύρος, την τεχνική σύνθεση και την απόδοση των επιχειρήσεων που περιγράφονται σε πρόσφατες δημοσιεύσεις. Η δημόσια αναφορά που συντίθεται από το Hacker και το wtftime δεν δημοσιεύει πλήρη κρυπτογραφικά τεκμήρια, ακατέργαστες καταγραφές πακέτων ή εκμεταλλεύσιμο πηγαίο κώδικα. Ως αποτέλεσμα, εξωτερικοί αναλυτές δεν μπορούν να επιβεβαιώσουν ποιες συγκεκριμένες πλατφόρμες κατασκοπευτικού λογισμικού ή προϊόντα προμηθευτών αναπτύχθηκαν μέσω αυτών των διαφημιστικών δικτύων. Ομοίως δεν έχει επιβεβαιωθεί πόσες μεμονωμένες συσκευές παραβιάστηκαν επιτυχώς μέσω αυτής της μεθόδου παράδοσης. Η ανοιχτή αναφορά δεν καθορίζει εάν η τεχνική αναπτύχθηκε σε ενεργές, μεγάλης κλίμακας επιχειρήσεις πληροφοριών ή εάν αντιπροσώπευε περιορισμένες τακτικές αποδείξεις ιδέας. Οι ταυτότητες των οντοτήτων που τοποθέτησαν τις κερδοφόρες προσφορές, αγόρασαν την τηλεμετρία στόχου και διαχειρίστηκαν τους κακόβουλους διακομιστές εκστρατείας δεν αποκαλύπτονται σε επαληθεύσιμα τεχνικά έγγραφα. Επιπλέον, οι ακριβείς ευπάθειες που εκμεταλλεύτηκαν κατά τη διάρκεια αυτών των ακολουθιών φόρτωσης διαφημίσεων δεν έχουν δημόσια συνδεθεί με αναγνωριστικά κοινών ευπαθειών και εκθέσεων. Ενώ η αναφορά υποστηρίζει παράδοση μηδενικού κλικ ή χαμηλής αλληλεπίδρασης, η τεχνική τεκμηρίωση που περιγράφει λεπτομερώς τις αδυναμίες διαφθοράς μνήμης, τις διαφυγές sandbox ή τις κλιμακώσεις πυρήνα που χρησιμοποιήθηκαν σε αυτά τα περιστατικά παραμένει απρόσιτη. Η ανεξάρτητη τεχνική επαλήθευση δεν μπορεί να ολοκληρωθεί έως ότου διατεθούν προς ανάλυση πλήρης τηλεμετρία τελικών σημείων και αρχεία καταγραφής εγκληματολογικών υπολογιστών.

Τι ισχυρίζονται

Η κάλυψη σε τεχνολογικές εκδόσεις υποστηρίζει ότι προμηθευτές εμπορικού κατασκοπευτικού λογισμικού έχουν ενσωματώσει ανταλλαγές προγραμματιστικής διαφήμισης απευθείας στις έτοιμες σουίτες παράδοσής τους. Αυτές οι αναφορές περιγράφουν μια έτοιμη δυνατότητα όπου οι πελάτες καθορίζουν έναν αριθμό τηλεφώνου, ένα αναγνωριστικό διαφήμισης ή ένα ακριβές γεωγραφικό όριο, μετά το οποίο αυτοματοποιημένα συστήματα προσφέρουν σε σχετικές εντυπώσεις προβολής για να παραδώσουν κακόβουλο κώδικα. Ο βασικός ισχυρισμός είναι ότι τα εργαλεία παρακολούθησης υψηλού επιπέδου δεν βασίζονται πλέον αποκλειστικά σε ηλεκτρονικό ψάρεμα μέσω SMS, κακόβουλους συνδέσμους ή δρομολόγηση μέσω παράνομων τηλεπικοινωνιακών δικτύων. Σύμφωνα με αυτές τις αφηγήσεις, η προσέγγιση μέσω διαφημίσεων προσφέρει στους φορείς ένα επίπεδο stealth που ξεπερνά τις συμβατικές τακτικές watering hole. Σε τυπικές επιθέσεις watering hole, ένας αντίπαλος παραβιάζει έναν νόμιμο ιστότοπο που επισκέπτονται οι στόχοι, εκθέτοντας το κακόβουλο ωφέλιμο φορτίο σε κάθε επισκέπτη και αυξάνοντας την πιθανότητα έγκαιρης ανακάλυψης. Οι ισχυρισμοί υποστηρίζουν ότι η αξιοποίηση ανταλλαγών διαφημίσεων επιτρέπει στους φορείς να επιβάλλουν αυστηρά φίλτρα αποκλεισμού, διασφαλίζοντας ότι οι εκμεταλλεύσεις μηδενικής ημέρας αναπτύσσονται μόνο όταν πληρούνται αυστηρά κριτήρια δακτυλοσκόπησης. Η ανταγωνιστική υπόθεση που κυκλοφορεί στον χώρο υποδηλώνει ότι οι φορείς εμπορικής παρακολούθησης αξιοποίησαν ανταλλαγές πλειστηριασμών σε πραγματικό χρόνο και προσαρμοσμένα σενάρια για να καταρτίσουν προφίλ κινητών συσκευών και να ενεργοποιήσουν εκμεταλλεύσεις μηδενικού κλικ κατά τη φόρτωση κακόβουλων εντυπώσεων. Σε αυτό το πλαίσιο, το διαφημιστικό δίκτυο λειτουργεί απλώς ως αυτοματοποιημένο επίπεδο μεταφοράς, θωρακίζοντας την ταυτότητα του επιτιθέμενου πίσω από νόμιμους ενδιάμεσους διαφημιστικούς μεσίτες.

Τι έχει επαληθευτεί

Επί του παρόντος, ο υποκείμενος ισχυρισμός ότι εμπορικό κατασκοπευτικό λογισμικό αναπτύχθηκε μέσω στοχευμένων διαφημιστικών πλειστηριασμών στις συγκεκριμένες περιπτώσεις που καλύπτονται από το Hacker και το wtftime παραμένει ατεκμηρίωτος από δημόσια τεχνικά στοιχεία. Ενώ και οι δύο πηγές μέσων παρέχουν ρεπορτάζ για το φαινόμενο, η κάλυψή τους βασίζεται σε εξωτερικούς ισχυρισμούς και πληροφορίες δεύτερου χεριού από τη βιομηχανία παρά σε δημοσιευμένες εγκληματολογικές αναφορές σε επίπεδο κεντρικού υπολογιστή ή επαληθεύσιμες αναλύσεις αντίστροφης μηχανικής. Αυτό που επαληθεύεται ανεξάρτητα μέσω ευρείας συναίνεσης της βιομηχανίας είναι η θεωρητική και πρακτική σκοπιμότητα χρήσης προγραμματιστικής διαφήμισης για επιθετική κατάρτιση προφίλ συσκευών. Ερευνητές σε ακαδημαϊκά και εμπορικά εργαστήρια κυβερνοασφάλειας έχουν δείξει ότι τα δεδομένα ροής προσφορών διαρρέουν ευαίσθητη τηλεμετρία και ότι οι εκστρατείες κακόβουλης διαφήμισης συχνά καταχρώνται διαφημιστικά δημιουργικά για να παραδώσουν κακόβουλες ανακατευθύνσεις. Η τεχνική ικανότητα επιθεώρησης περιβαλλόντων προγράμματος περιήγησης μέσω διαφημιστικής JavaScript είναι καλά τεκμηριωμένη στη βιομηχανία ασφάλειας πληροφοριών. Ωστόσο, το βήμα που συνδέει άμεσα την ανάπτυξη προγραμματιστικής διαφήμισης με επαληθευμένες μολύνσεις εμπορικού κατασκοπευτικού λογισμικού απαιτεί πρωτογενή στοιχεία που δεν είναι ακόμη δημόσια. Δεν υπάρχουν επιβεβαιωμένα δημόσια αρχεία κατάρρευσης, μη επεξεργασμένοι φάκελοι πληροφοριών απειλών ή αποδείξεις επιβεβαίωσης προμηθευτή που σχετίζονται με την αναφερόμενη εκστρατεία. Κατά συνέπεια, ο ισχυρισμός αξιολογείται επί του παρόντος ως ατεκμηρίωτος, με τις διαθέσιμες πληροφορίες να παραμένουν ανεπαρκείς για την επιβεβαίωση ενεργής παράδοσης κατασκοπευτικού λογισμικού μέσω αυτού του ακριβούς μηχανισμού.

Εναλλακτικές εξηγήσεις

• Πιθανή: Φορείς εμπορικού κατασκοπευτικού λογισμικού αξιοποίησαν ανταλλαγές διαφημίσεων πλειστηριασμών σε πραγματικό χρόνο και προσαρμοσμένα σενάρια για να καταρτίσουν προφίλ στοχευμένων κινητών συσκευών και να ενεργοποιήσουν εκμεταλλεύσεις μηδενικού κλικ κατά τη φόρτωση κακόβουλων εντυπώσεων διαφημίσεων.

Τι θα άλλαζε την εκτίμησή μας

Μια οριστική αλλαγή στην αξιολόγηση από ατεκμηρίωτη σε επαληθευμένη θα απαιτούσε άμεση πρόσβαση σε πρωτογενή τεχνικά τεκμήρια. Τα εγκληματολογικά στοιχεία θα έπρεπε να περιλαμβάνουν αρχεία καταγραφής παραβιασμένων συσκευών που δείχνουν ίχνη μνήμης εκτέλεσης εκμετάλλευσης αμέσως μετά την απόδοση μιας εντύπωσης διαφήμισης εντός webview εφαρμογής ή προγράμματος περιήγησης κινητού. Τέτοια αρχεία θα καθιέρωναν την άμεση αιτιώδη αλυσίδα μεταξύ της απόδοσης διαφήμισης και της μη εξουσιοδοτημένης εκτέλεσης κώδικα. Επιπλέον, η επαλήθευση απαιτεί την εξαγωγή και ανεξάρτητη ανάλυση των κακόβουλων διαφημιστικών δημιουργικών σεναρίων. Η πρόσβαση στην πλήρη αλυσίδα ωφέλιμου φορτίου, συμπεριλαμβανομένων των σεναρίων κατάρτισης προφίλ, των απομακρυσμένων διακομιστών σταδιοποίησης και των τελικών δυαδικών αρχείων παρακολούθησης, θα επέτρεπε στους αναλυτές να επαληθεύσουν εάν το εργαλείο αντιστοιχεί σε γνωστές υπογραφές εμπορικού κατασκοπευτικού λογισμικού. Η ενίσχυση με εγκληματολογικές αναφορές από αξιόπιστους, ανεξάρτητους οργανισμούς ψηφιακών δικαιωμάτων και έρευνας κυβερνοασφάλειας θα παρείχε την απαραίτητη επικύρωση από πολλά μέρη. Στην πλευρά της προγραμματιστικής διαφήμισης, η επιβεβαίωση θα ενισχυόταν από επίσημες αναφορές μετά το περιστατικό ή δημόσιες ειδοποιήσεις διαφάνειας από τις επηρεαζόμενες ανταλλαγές διαφημίσεων. Λεπτομερή έγγραφα περιστατικού που προσδιορίζουν τους δόλιους διαφημιζόμενους λογαριασμούς, τους χρηματοοικονομικούς ενδιάμεσους που χρησιμοποιήθηκαν για την προμήθεια των προσφορών και τις διαδρομές διαφημιστικού αποθέματος που διέσχισαν τα κακόβουλα δημιουργικά θα επιβεβαίωναν την επιχειρησιακή μηχανική. Χωρίς αυτά τα πρωτογενή τεκμήρια, η αναφορά παραμένει μια αξιόπιστη τεχνική πιθανότητα αλλά στερείται οριστικής αποδεικτικής υποστήριξης.