AdFection: рекламные показы превратились в канал доставки шпионского ПО без клика

Специалисты по информационной безопасности обратили внимание на новую тактику поставщиков шпионского ПО: вместо традиционной доставки вредоносных файлов через фишинговые письма или скомпрометированные сайты они эксплуатируют саму рекламную инфраструктуру. Техника, получившая название «AdFection», позволяет превращать обычный показ рекламы в механизм доставки spyware — причём без необходимости клика со стороны жертвы. Это существенно расширяет поверхность атаки: пользователю достаточно просто открыть страницу, на которой отображается реклама.

Подробности

Ключевой элемент схемы — система таргетированных рекламных ставок (ad bidding), лежащая в основе цифровой рекламной экосистемы. Злоумышленники используют её не для продвижения товаров, а для идентификации и отслеживания конкретных лиц и организаций, представляющих интерес. Механизм ставок позволяет рекламодателю задавать узкие параметры аудитории, и поставщики шпионского ПО применяют эту возможность для точечного «выцеливания» жертв. Поскольку доставка вредоносного кода происходит в момент показа объявления, а не по инициативе пользователя, атака классифицируется как zero-click: жертва не совершает никаких подозрительных действий и не получает явных признаков компрометации. Это затрудняет обнаружение как для конечных пользователей, так и для средств защиты, ориентированных на традиционные векторы — фишинг, эксплуатацию уязвимостей, вредоносные вложения. В исходном материале Dark Reading не приводятся сведения о конкретных затронутых продуктах, версиях или идентификаторах CVE. Речь идёт о тактике, а не об отдельной уязвимости в каком-либо продукте.

Что делать

С учётом характера угрозы основные меры носят организационно-технический характер. Прежде всего следует ограничить показ рекламы в корпоративной среде: блокировщики рекламы и фильтрация рекламных доменов на уровне прокси и DNS снижают вероятность того, что вредоносный креатив вообще будет доставлен на рабочее устройство. Политики безопасности браузеров стоит настроить на блокировку сторонних рекламных скриптов. Не лишним будет усилить мониторинг сетевого трафика на предмет аномальных обращений к рекламным сетям и подозрительной активности после открытия веб-страниц. Для сотрудников, работающих с конфиденциальными данными и представляющих интерес для целевых атак, оправдано применение изолированных браузерных сред. Также рекомендуется пересмотреть подход к цифровому профилированию: чем меньше данных о сотрудниках и организации доступно рекламным аукционам, тем сложнее злоумышленникам точно нацелить ставку. Важно помнить, что средства защиты от фишинга и вредоносных вложений не покрывают данный вектор: отсутствие клика и файла на диске означает, что детектирование должно строиться на анализе сетевого поведения и контроле рекламного контента. Итог: AdFection демонстрирует, что легитимная рекламная инфраструктура может использоваться как скрытый канал доставки spyware, и защита должна учитывать этот вектор наряду с классическими. Организациям стоит пересмотреть политики в отношении рекламы в корпоративной среде и усилить поведенческий мониторинг.

Источник: Dark Reading