正規のデジタル広告企業を装うイスラエルの企業が、スパイウェアベンダーによる標的型オンライン広告を使った監視型マルウェアの配布を支援しています。世界中の個人や組織が標的となっていると、研究者らが警告しています。
トロント大学のCitizen Labの研究者らが「AdFection」と名付けたこの手法では、被害者がリンクをクリックしたり、何らかの操作をしたりしなくても感染が成立し得ます。日常的な広告の表示が、秘密裏のサイバー攻撃の起点になり得るということです。
研究者らは最近の報告書で、広告テクノロジー企業Discover-TechがAdFection手法を使い、スパイウェアベンダーのCandiruによる国際報道機関アルジャジーラの職員の少なくとも45台のデバイスへの感染を支援したとされる経緯を詳述しました。Candiruは現在、Integrity Labsを名乗っています。同社は、外国政府に個人を標的にするスパイウェアを提供したとして、米商務省が輸出規制の対象となる個人・組織のエンティティリストに過去に掲載した企業です。
AdFectionによるサイバー攻撃の流れ
Citizen Labは、世界各国の政府機関による商用スパイウェアの悪用を長年調査してきました。たとえば2016年には、NSO GroupがAppleのiOSの3件のゼロデイ脆弱性を密かに悪用し、特定のジャーナリストや活動家のデバイスにスパイウェア「Pegasus」を仕込んでいたことを報告しました。最近では、メキシコの人権活動家にPegasusを送り込んだゼロクリック攻撃や、著名ジャーナリストを監視するために使われた商用スパイウェアツール「Paragon」についても報告しています。
Citizen Labによると、Discover-TechのAdFection手法がこれまでの攻撃と異なるのは、ウェブサイトやモバイルアプリでユーザーに表示する広告を決めるリアルタイム入札の仕組みを利用する点です。この入札はページやアプリの読み込み時にミリ秒単位で行われ、IPアドレス、モバイル広告ID、Cookieなど、ユーザーやデバイスに関する情報が露出することがあります。広告主は通常、これらの識別子を使って個人に最適化された広告を配信します。こうした広告は、ブラウザやアプリ内で独自のコードを実行できる場合も少なくありません。Citizen Labによれば、この仕組みを使えば、監視を行う攻撃者は関心のあるデバイスを特定し、利用者の情報を収集し、標的向けの広告が表示された際にスパイウェアを送り込めます。
AdFectionの攻撃チェーンは、Display-Techがこうした入札の一つに勝つところから始まります。同社は、ユーザーのデバイスで開かれているウェブサイトやアプリに広告を配信します。広告が描画されると、そこに埋め込まれたタグがDiscover-Techの管理するサーバーに接続し、デバイスの識別情報を送信します。サーバーはデバイスが特定の標的条件に合致するかを確認し、合致すればJavaScriptを返し、合致しなければ空の応答を返します。Citizen LabはJavaScript自体は入手できませんでした。しかし、アルジャジーラが提供したネットワークログからは、感染したデバイスがDiscover-Techのインフラに接続し、続いてCandiruの検証サーバー、最終的にCandiruのコマンド&コントロールサーバーに接続していたことが確認できたとしています。
Citizen Labによると、Discover-Techの「Controlium」プラットフォームでは、顧客がIPアドレス、Cookie、モバイル広告IDを使って特定のデバイスを狙うキャンペーンを設定できます。Citizen Labの分析では、4カ月間だけでも、Discover-Techは数十カ国にわたるほぼ20万の固有のウェブサイトやAndroid/iOSアプリに標的型広告を配信していました。Citizen Labは、Discover-Techが複数の国の政府、軍、重要インフラ、メディア、多国間機関など幅広い組織に関連するデバイスに広告を配信していたことを確認したと述べています。
Citizen Labは、広告が表示されたこと自体は、標的にされたことや感染したことを裏付けるものではないと強調しています。それでも、「AdFectionと広告エコシステムがもたらすシステム上のリスクを浮き彫りにしており、これらのネットワーク上のユーザーがスパイウェアに感染していないか、緊急の調査が必要だ」としています。
大規模スパイ活動を可能にする広告表示
Citizen Labは、Discover-Techが傭兵型ハッキング企業のBindecyや、広告インテリジェンス企業のIntelosなど、他の監視関連企業とも関係していると指摘しました。ただし、標的型広告を通じたスパイウェア感染について最も強力な技術的証拠が得られたのは、Candiruの事例だとしています。
さらにCitizen Labは、今後公表する報告書で、同組織が「Dark Cartographer」として追跡する別の攻撃者について説明する予定です。この攻撃者はDiscover-Techのインフラを使い、携帯通信事業者のシステムの弱点を突いて、デバイスの広告IDと電話番号を紐付けているといいます。使われている手口は、WebRTCによるIPの漏えい、携帯通信事業者によるHTTPヘッダーの付加、いわゆるゼロクリックログインの仕組みなどです。研究者らは、30カ国以上の携帯通信事業者でDark Cartographerによる悪用の兆候を確認しました。
Citizen Labの研究者らは次のように記しています。「Discover-Techは『Controlium』というプラットフォームを運営しています。このプラットフォームにより、傭兵型の提携先は、広告が描画された瞬間にデバイスの匿名性を解除し、フィンガープリントを取得し、自動的に感染させることができます。これはゼロクリック攻撃の一種です」
研究者らは、同社による「大規模な悪用、プライバシー侵害、傭兵型スパイウェア攻撃の手助けは、オンライン広告システムの構造的な欠陥を示している。この欠陥のために、本報告書で記録した悪用を検知も防止もできなかった」と指摘しています。
報告書によると、Citizen Labの情報開示を受け、Google、Interactive Advertising Bureau（IAB）Europe、広告テクノロジープラットフォームのBeeswax、Vungle（Liftoff）、Eskimiは、Discover-Techがデジタル広告エコシステムを利用できないようにする措置を講じました。Citizen Labと協力したGoogleは、同社による広告エクスチェンジプラットフォームへのアクセスを停止しました。IAB Europeはベンダー登録簿から同社を削除し、Beeswaxは広告購入プラットフォームから削除しました。Eskimiは同社のアカウントとドメインをブロックし、Vungleは審査を行う間、Discover-Techのアクセスを一時停止しています。
オンライン広告業界の責任
Citizen Labは、今回の調査結果について、悪意ある攻撃者が標的型広告を通じて、ユーザーの操作なしに傭兵型スパイウェアを配布していることを示す初の技術的証拠だとしています。研究者らによれば、Discover-Techはスパイウェアの運営者が監視対象の候補を特定するのを支援するため、数百万台のデバイスをプロファイリングしていた可能性があります。
報告書は、監視を可能にしている広告業界の役割にも、より広範な懸念を示しました。
Citizen Labは、Discover-Techがスパイウェア業界との関係が知られていたにもかかわらず、長年デジタル広告エコシステムに組み込まれていたと指摘しています。研究者らは、広告業界全体でより強力な安全対策を講じるよう求めました。また、AdFection攻撃にさらされるリスクを減らすため、各組織はネットワークゲートウェイで標的型広告をブロックすることを検討すべきだと推奨しています。さらに、政府機関に対しては、政府所有のすべてのデバイスに広告ブロックソフトウェアの導入を義務付け、すべての政府系モバイルデバイスで固有の広告IDを無効にするよう勧めています。
翻訳元: https://www.darkreading.com/data-privacy/adfection-online-ads-spyware-delivery
