Онлайн-реклама давно не картинка со ссылкой. Вместе с креативом в браузер или приложение приезжает код – теги, пиксели, SDK, – и он исполняется, пока объявление на экране. Обычно этот код считает показы и клики. Но если подменить его ровно для одного зрителя, выбранного по рекламному идентификатору и IP, на месте счётчика показов оказывается эксплойт. Citizen Lab впервые публично и технически подтвердил, что так и делают: наёмный шпион Candiru прилетал на устройства через обычные рекламные объявления, и чтобы заразиться, жертве не нужно было ничего нажимать. В международной телесети Al Jazeera так атаковали по меньшей мере 45 устройств, и часть из них заразили.
Красота схемы в том, что вредоносного в самом объявлении нет. Креатив – безобидный баннер: то распродажа с товарами Ugreen, то бесплатный сервис проверки IP, то мобильная игра, какие крутят тысячи партнёрских кампаний. Вся работа спрятана за одним скрипт-тегом: при отрисовке объявления он стучится на сервер Discover-Tech, сдаёт рекламный ID и IP устройства и исполняет всё, что сервер вернёт. Решает сервер. Свой – получи JavaScript. Чужой – получи ноль байт. Рекламные сети, сканеры безопасности и исследователи видят пустой ответ и безобидную картинку; эксплойт уходит только на выбранную цель. Эту схему Citizen Lab назвал AdFection – и это первое техническое доказательство, что наёмный шпион расходится через таргетированную рекламу.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local