Израильская рекламная компания оказалась каналом доставки zero-click шпионского ПО Candiru

Исследование, о котором сообщает SecurityWeek, показало, что израильская компания Discover-Tech, позиционирующая себя как рекламная фирма, фактически выполняла роль канала доставки шпионского ПО Candiru. Это очередной пример того, как легитимная на первый взгляд рекламная инфраструктура может использоваться для скрытых атак на конкретных людей — журналистов, активистов, представителей бизнеса и госструктур.

Подробности

Согласно опубликованным данным, рекламные механизмы Discover-Tech позволяли операторам угроз в масштабе проводить фингерпринтинг и отслеживание устройств. Иными словами, рекламные технологии применялись не для показа баннеров, а для сбора технических характеристик устройств и определения потенциальных целей. После того как нужное устройство было идентифицировано, на него доставлялось шпионское ПО Candiru — по модели zero-click, то есть без необходимости каких-либо действий со стороны пользователя: ему не нужно было переходить по ссылке или открывать вложение. Шпионское ПО класса Candiru традиционно ассоциируется с атаками на высокопрофильных целей и использованием уязвимостей нулевого дня. В данном случае ключевая особенность схемы — совмещение рекламной инфраструктуры и механизмов доставки вредоносного кода. Это затрудняет обнаружение: трафик, связанный с рекламой, редко воспринимается системами защиты как подозрительный, а сама рекламная сеть может охватывать огромное число устройств, из которого отбираются единичные цели. В исходной публикации не приводятся конкретные номера CVE и перечень затронутых версий продуктов, поскольку речь идёт не об уязвимости отдельного продукта, а о злоупотреблении рекламным каналом распространения. Отдельно подчёркивается, что подобная модель позволяет атакующим одновременно решать две задачи: массовую разведку устройств и точечное заражение только нужных целей. Это снижает риск преждевременного раскрытия кампании и повышает её скрытность.

Что делать

Хотя в исходной статье не приводится исчерпывающего набора мер, из описанной схемы следуют практические рекомендации. Во-первых, стоит рассматривать рекламные каналы и рекламные SDK как потенциальный вектор атаки и ограничивать их использование на критичных устройствах и в чувствительных сегментах инфраструктуры. Во-вторых, для сотрудников из групп риска (руководство, журналисты, специалисты по безопасности) разумно применять устройства с минимизированной поверхностью атаки, своевременно обновлять ОС и приложения, а также использовать решения класса mobile threat defense и EDR для мобильных платформ. В-третьих, важен мониторинг аномальной сетевой активности: необычные обращения к рекламным доменам, всплески телеметрии и подозрительные фоновые соединения должны попадать в поле зрения SOC. Наконец, для защиты корпоративного периметра следует ужесточать политики фильтрации рекламного и трекерного трафика и проводить регулярное обучение сотрудников с акцентом на zero-click угрозы, при которых классические признаки фишинга могут отсутствовать. Итог: случай Discover-Tech и Candiru показывает, что рекламная инфраструктура становится полноценным элементом атакующей цепочки, и защита должна учитывать этот вектор наравне с традиционными.

Источник: SecurityWeek