イヤホンやドローン、バブルガムの香りがする車用芳香剤など、オンラインで目にしたあの広告が、クリックしなくてもデバイスに感染しうる傭兵型スパイウェアの入り口になっていたかもしれません。
トロント大学のCitizen Labは木曜日、ターゲティング広告を通じてゼロクリックのスパイウェアが配信されていた事案について、初めての詳細を公表したと発表しました。Citizen Labはこの手口を「AdFection」と呼んでいます。調査によると、イスラエル企業のDiscover-Techは正規の広告会社を装っていますが、実際にはよく知られたCandiruを含む複数の傭兵型スパイウェア事業者を支える仲介役として動いています。同社の広告は、数百万台のデバイスにCandiruのサーバーへ密かに接続させていました。
研究者らによると、目的はおそらく大規模な追跡と監視です。これを可能にしたのは、Googleなど業界の主要プレーヤーによる意図しない見落としでした。研究者らは、このキャンペーンによって報道機関アルジャジーラのデバイスが感染したと説明しています。ただ、Discover-Techの広告は、米国防総省、NATO、国際原子力機関（IAEA）、世界各国のサイバーセキュリティ機関など、世界中の機微なネットワークにも表示されていました。これは、広告セキュリティ企業Confiantの共同調査担当者らによるものです。
研究者らは、この発見が規制当局と、オンライン広告業界の双方に重い問いを突きつけると指摘しています。Citizen Labは、規制当局に対し、Discover-Techを調査して制裁を科すべきだと訴えています。
「アドテク業界、つまりデジタル広告業界は、監視という脅威にどう向き合うのか、そして自らが収集するデータにどのような責任を負い、それがどう悪用されうるのかを、根本から考え直す必要があります」と、Confiantの最高技術責任者（CTO）で共同創業者のJerome Dangu氏は述べています。「業界はこれまで、金銭を狙うサイバー犯罪者や詐欺、利益目的のマルウェアに対する最適化を進めてきました。しかし、監視目的の攻撃は想定してきませんでした」
Citizen Labのシニアリサーチャー、Wolfie Cristl氏は、広告ベンダーがこの活動を何年も検知できなかったことを「壊滅的」だと語りました。Discover-Techは2020年に登記され、少なくとも2024年から傭兵型スパイウェアを支援してきました。研究者らが「DARK CARTOGRAPHER」と名付けた正体不明の組織の活動には、Discover-Techのほか、米国の情報機関の請負業者（社名は非公表）を含む他のベンダーも関与しており、その歴史は2019年にさかのぼります。
「デジタル広告は破綻しています。現在のオンライン広告エコシステムの仕組みは、国家にとっても、民間企業にとっても、市民社会にとっても、そしてあらゆる人にとっても、セキュリティ上の脅威です」とCristl氏は述べました。「米国や欧州などの地域のサイバーセキュリティ機関、規制当局、議員は、直ちに行動を起こさなければなりません。関与した企業を調査し、悪意あるターゲティング広告を可能にしている構造的なリスクを是正する必要があります」
オンライン広告を通じてユーザーに感染しうる傭兵型スパイウェアの存在については、過去の報告でも触れられていました。しかし、木曜日に公表された研究は、ターゲティング広告を通じた感染と配信を技術的に実証した初めての事例です。
Citizen Labは現時点で、AdFection攻撃を特定の主体に帰属させることはできていません。
Discover-Techは、Googleや広告業界団体IAB Europeが管理する「認定」「承認」ベンダーのリストに掲載されていました。今回の調査を受け、Googleは同社をベンダー登録から削除し、Google広告プラットフォームへのアクセスも打ち切りました。IAB Europeもグローバルベンダーリストから同社を削除しています。
研究者らは、今年3月から6月にかけて、12万を超えるウェブサイトと7万を超えるモバイルアプリでDiscover-Techの広告が表示されていたことを確認しました。
Citizen Labによると、アルジャジーラでは少なくとも45台のデバイスがゼロクリック攻撃の標的となりました。同機関は、これらをDiscover-Techの広告経由で配信されたCandiruのスパイウェアによるものだと、高い確度で結び付けています。
Candiruのスパイウェアは、デバイスの遠隔操作、データの窃取、マイクやカメラへのアクセスなどが可能であることが確認されています。研究者らは、Discover-TechがCandiruに加え、別の傭兵型ハッキング企業Bindecy、傭兵型の広告インテリジェンス企業Intelosとも関係していることを突き止めました。
さらに報告書は、「Discover-Techは『Controlium』というプラットフォームを運営しており、傭兵型監視ビジネスのパートナーが、広告が表示された瞬間にデバイスの匿名性を解除し、フィンガープリントを取得し、自動的に感染させることを可能にしている」と指摘しています。
DARK CARTOGRAPHERの役割は、さらに謎に包まれています。
「私たちがDARK CARTOGRAPHERと呼ぶ別の攻撃者は、Discover-Techのインフラを利用して多数の携帯電話事業者の脆弱性を突き、デバイスの広告IDと電話番号を結び付けることで、インターネットユーザーを大規模に匿名性解除しています。この攻撃者に関する調査結果は、近く公表する別の報告書で詳述します」と、木曜日の報告書は述べています。「特筆すべきは、DARK CARTOGRAPHERのインフラが、傭兵型アドテクベンダーと米国政府の請負業者の双方につながっている点です。傭兵型ベンダーと米国政府や情報機関の請負業者との間に、これほど直接的な重なりが見られるのは異例です」
Discover-Tech、Candiru、Bindecy、Intelosは、Citizen Labがコメントを求めて送った書簡に回答しませんでした。
翻訳元: https://cyberscoop.com/adfection-zero-click-spyware-discover-tech/
