AdFection: anúncios direcionados transformados em um pipeline para spyware mercenário zero-click

Artigo original ↗ Discussão no Hacker News ↗

A infraestrutura de publicidade online está sendo transformada em um canal de entrega para spyware “zero-click”, com uma suposta empresa israelense de ad-tech usando leilões de anúncios direcionados e JavaScript em banners para perfilar usuários e entregar exploits seletivamente a alvos de alto valor, como jornalistas e autoridades. Comentadores destacam como o ecossistema de real-time bidding vaza ricos dados de dispositivo e identidade, oferece pouca verificação de conteúdo e torna quase impossível para publicadores ou usuários saberem quando um anúncio é malicioso. O fio se amplia para questões de responsabilidade das redes de anúncios, a necessidade de bloqueadores de anúncios para segurança e as implicações geopolíticas da proeminente indústria ofensiva de cibersegurança de Israel.

Como funcionava o pipeline de spyware baseado em anúncios

  • A Discover-Tech operava uma plataforma de compra de anúncios aparentemente normal, “certificada” por grandes entidades da indústria publicitária, participando de leilões RTB como qualquer outro comprador.
  • Os anúncios eram banners aparentemente comuns (jogos, compras, consulta de IP) que incorporavam um pequeno script chamando de volta para um servidor “NOAS” quando renderizados.
  • Esse script coletava identificadores do dispositivo, IPs e, às vezes, cookies/tokens de sessão de publicadores; o cookie syncing entre parceiros construía gráficos de identidade ricos.
  • Um servidor intermediário então decidia, com base no IP e nos IDs do anúncio, se um usuário era um alvo. A maioria não recebia nada; alvos selecionados recebiam um encaminhamento único para o spyware da Candiru.
  • Os alvos incluíam jornalistas (por exemplo, da Al Jazeera), além de redes de organizações internacionais, governos e entidades de defesa; o volume era enorme (bilhões de lances, ~200 mil sites/apps).

Detalhes técnicos e questões em aberto

  • A Citizen Lab liga a campanha a CVEs do Windows e do Chrome do início dos anos 2020 e a uma DLL do Windows que usava COM hijacking e um driver assinado para acesso ao kernel.
  • Vários comentaristas observam que o relatório é vago sobre a cadeia exata de exploração do navegador/sistema operacional, do JavaScript do anúncio até a comprometimento no nível do SO, especialmente para mobile.
  • Outros apontam análises externas do “DevilsTongue” da Candiru para preencher o comportamento pós-exploração, mas a exploração zero-click do navegador em si permanece obscura no fio.

Eficácia de bloqueadores de anúncios e mitigação

  • Há amplo consenso de que bloqueadores de anúncios em nível de rede e no navegador (uBlock Origin, bloqueadores do Safari, bloqueio baseado em DNS como Pi-hole/NextDNS) teriam reduzido significativamente a exposição, pelo menos na web.
  • Anúncios em apps móveis são mais difíceis de bloquear; a filtragem por DNS ajuda, mas pode ser contornada.
  • Alguns mencionam sistemas endurecidos (por exemplo, GrapheneOS, navegadores com foco em privacidade), mas não há uma resposta clara sobre se eles eram ou são imunes.

Debate sobre responsabilidade e regulação

  • Muitos argumentam que isso prova que anúncios online são um sério risco de segurança e pedem:
    • Tornar ilegal a publicidade direcionada ou o rastreamento por terceiros.
    • Responsabilizar legalmente e até criminalmente as redes de anúncios e/ou os publicadores por anúncios maliciosos.
    • Exigir formatos de anúncio estáticos, não executáveis.
  • Um engenheiro de adtech contrapõe que o ecossistema é fragmentado e enorme; revisar todos os criativos e landing pages é praticamente impossível em escala, e agentes sofisticados podem burlar a pré-verificação.
  • Críticos respondem que “difícil demais em escala” não é uma desculpa aceitável; se não puder ser feito com segurança, o próprio modelo deveria ser restringido ou desmontado.

Confiança na tecnologia israelense e geopolítica

  • Uma extensa discussão liga este caso a um padrão mais amplo de empresas ofensivas de cibersegurança israelenses (NSO, Candiru etc.) e de ex-alunos da unidade militar 8200 migrando para ofensiva e defesa cibernética comercial.
  • Alguns argumentam que qualquer empresa israelense de segurança ou adtech deve ser presumida como estreitamente alinhada com a inteligência estatal e, portanto, não confiável; outros observam que muitas empresas globais dependem fortemente de fornecedores israelenses de segurança.
  • Segue-se um debate geopolítico forte e polarizado (alegações de limpeza étnica, apartheid vs. “necessidades de segurança”), incluindo acusações de antissemitismo de um lado e de impunidade e duplo padrão do outro.

Lições mais amplas e postura do usuário

  • Vários comentaristas enfatizam que o mesmo tipo de cadeias de 0-day poderia ser entregue por qualquer conteúdo (e-mails, apps de mensagens, redes sociais), mas as redes de anúncios tornam isso escalável, remoto e verdadeiramente zero-click.
  • Há pessimismo sobre o mercado crescente para zero-days e spyware mercenário.
  • Conselho prático repetido: trate o bloqueio de anúncios (além de MFA, limitar o acesso financeiro no dispositivo e usar sistemas/navegadores endurecidos) como higiene básica, especialmente para usuários de alto risco.