AdFection: anuncios dirigidos convertidos en una tubería para spyware mercenario sin clic

Artículo original ↗ Discusión en Hacker News ↗

La infraestructura de la publicidad en línea se está convirtiendo en un canal de entrega para spyware “sin clic”, con una empresa israelí de ad-tech reportada que usa subastas de anuncios dirigidos y JavaScript en banners para perfilar usuarios y entregar exploits de forma selectiva a objetivos de alto valor como periodistas y funcionarios. Los comentaristas destacan cómo el ecosistema de pujas en tiempo real filtra abundantes datos de dispositivo e identidad, ofrece poca revisión de contenido y hace casi imposible que editores o usuarios sepan cuándo un anuncio es malicioso. El hilo se amplía hacia cuestiones de responsabilidad de las redes publicitarias, la necesidad de bloqueadores de anuncios por seguridad y las implicaciones geopolíticas de la destacada industria israelí de ciberofensiva.

Cómo funcionaba la canalización de spyware basada en anuncios

  • Discover-Tech operaba una plataforma de compra de anuncios aparentemente normal, “certificada” por los principales organismos de la industria publicitaria, pujando en subastas RTB como cualquier otro comprador.
  • Los anuncios eran banners de aspecto ordinario (juegos, compras, búsqueda de IP) que incrustaban un pequeño script que llamaba de vuelta a un servidor “NOAS” cuando se renderizaban.
  • Ese script recopilaba identificadores de dispositivo, IPs y, a veces, cookies/tokens de sesión del editor; la sincronización de cookies entre socios construía ricos grafos de identidad.
  • Un servidor guardián decidía entonces, en función de la IP y los IDs del anuncio, si un usuario era un objetivo. La mayoría no recibía nada; los objetivos seleccionados obtenían una entrega única hacia el spyware Candiru.
  • Entre los objetivos había periodistas (p. ej., Al Jazeera), además de redes de organizaciones internacionales, gobiernos y entidades de defensa; el volumen era enorme (miles de millones de pujas, ~200k sitios/apps).

Detalles técnicos y preguntas abiertas

  • Citizen Lab vincula la campaña con CVE de Windows y Chrome de principios de la década de 2020 y con una DLL de Windows que usa secuestro de COM y un controlador firmado para acceso al kernel.
  • Varios comentaristas señalan que el informe es vago sobre la cadena exacta de explotación, desde el JavaScript del anuncio hasta la intrusión a nivel del sistema operativo, especialmente en móviles.
  • Otros apuntan a análisis externos de “DevilsTongue” de Candiru para completar el comportamiento posterior a la explotación, pero el exploit del navegador sin clic en sí sigue sin estar claro en el hilo.

Eficacia de los bloqueadores de anuncios y mitigaciones

  • Hay un amplio consenso en que los bloqueadores de anuncios a nivel de red y de navegador (uBlock Origin, bloqueadores de Safari, bloqueo basado en DNS como Pi-hole/NextDNS) habrían reducido significativamente la exposición, al menos en la web.
  • Los anuncios dentro de apps móviles son más difíciles de bloquear; el filtrado DNS ayuda, pero puede eludirse.
  • Algunos mencionan sistemas endurecidos (p. ej., GrapheneOS, navegadores centrados en la privacidad), pero no hay una respuesta clara sobre si eran o son inmunes.

Debate sobre responsabilidad y regulación

  • Muchos sostienen que esto demuestra que la publicidad en línea es un serio riesgo de seguridad y piden:
    • Hacer ilegal la publicidad dirigida o el seguimiento de terceros.
    • Hacer que las redes publicitarias y/o los editores sean responsables legal e incluso penalmente por anuncios maliciosos.
    • Exigir formatos de anuncios estáticos, no ejecutables.
  • Un ingeniero de adtech contraargumenta que el ecosistema está fragmentado y es enorme; verificar todos los creativos y landing pages es prácticamente imposible a escala, y actores sofisticados pueden evadir el preanálisis.
  • Los críticos responden que “es demasiado difícil a gran escala” no es una excusa aceptable; si no puede hacerse de forma segura, el modelo en sí debería restringirse o desmantelarse.

Confianza en la tecnología israelí y geopolítica

  • Hay una extensa discusión que vincula este caso con un patrón más amplio de firmas israelíes de ciberofensiva (NSO, Candiru, etc.) y con exalumnos de la unidad militar 8200 pasando a la ciberofensiva y ciberdefensa comercial.
  • Algunos argumentan que cualquier firma israelí de seguridad o adtech debería asumirse estrechamente alineada con la inteligencia estatal y, por tanto, no confiable; otros señalan que muchas empresas globales dependen en gran medida de proveedores de seguridad israelíes.
  • Se desata un fuerte y polarizado debate geopolítico (acusaciones de limpieza étnica, apartheid vs. “necesidades de seguridad”), incluyendo acusaciones de antisemitismo por un lado y de impunidad y doble rasero por el otro.

Lecciones más amplias y postura del usuario

  • Varios comentaristas subrayan que el mismo tipo de cadenas de 0-day podría entregarse mediante cualquier contenido (correos, apps de mensajería, redes sociales), pero las redes publicitarias lo hacen escalable, remoto y verdaderamente sin clic.
  • Hay pesimismo sobre el mercado creciente para 0-days y spyware mercenario.
  • Consejo práctico repetido: tratar el bloqueo de anuncios (más MFA, limitar el acceso financiero en el dispositivo y sistemas operativos/navegadores endurecidos) como higiene básica, especialmente para usuarios de alto riesgo.