Редакция OMM
Израильская компания в сфере цифровой рекламы «Discover-Tech» использовала крупную коммерческую рекламную сеть для сбора персональных данных и доставки шпионского ПО на устройства выбранных пользователей по всему миру. Об этом говорится в расследовании, опубликованном в четверг канадской организацией по кибербезопасности «Citizen Lab» и базирующейся в Нью-Йорке компанией по защите рекламы «Confiant».
По данным «Confiant», коммерческую рекламную инфраструктуру превратили в систему выявления целей и доставки шпионского ПО, применяя сложные технические средства контроля и меры для предотвращения перехвата данных.
Исследователи заявили, что кампания позволила израильской компании-разработчику шпионского ПО «Candiru», внесённой США в чёрный список и сменившей название на «Integrity Labs», а также поставщику средств слежки «Intelos» использовать рекламные площадки крупных платформ, включая «Google», «Beeswax» и российский «Яндекс».
«Citizen Lab» назвала полученные результаты первым публичным техническим подтверждением доставки коммерческого шпионского ПО через интернет-рекламу без каких-либо действий со стороны цели. Исследователи дали этому методу название «AdFection».
Среди тех, чьи устройства были заражены через рекламные объявления, оказались сотрудники международной новостной сети «Аль-Джазира». Реклама распространялась без видимых всплывающих окон или подозрительных ссылок.
Рекламная система собирала данные почти на 200 тыс. сайтов и приложений
«Discover-Tech» использовала систему под названием «Controlium», чтобы превратить обычные рекламные аукционы в операцию по слежке. Изучив 4 млрд записей о торгах, исследователи установили, что в течение четырёх месяцев компания размещала рекламу почти на 200 тыс. сайтов и в мобильных приложениях для Android и iOS в десятках стран.
По данным «Confiant», «Discover-Tech» ежедневно показывала около 10 млн рекламных объявлений, каждое из которых дополняло граф идентификации пользователей. Он строился на основе цифровых отпечатков устройств, IP-адресов, рекламных идентификаторов и, во многих случаях, собственных файлов cookie издателей.
Следователи установили, что реклама регулярно собирала файлы cookie сеансов, токены авторизованных входов в систему и персональные идентификаторы с сайтов издателей. По словам исследователей, данные передавались третьим лицам даже в тех случаях, когда правила конфиденциальности Европейского союза запрещали их обработку без согласия пользователей.
«Citizen Lab» также сообщила, что связанный с компанией субъект угроз, названный исследователями «Dark Cartographer», использовал инфраструктуру «Discover-Tech» для эксплуатации уязвимостей у операторов мобильной связи. Он сопоставлял рекламные идентификаторы с реальными номерами телефонов, чтобы в больших масштабах устанавливать личности абонентов.
Палестина стала территорией, наиболее интенсивно подвергавшейся слежке
Географические данные показали резкие всплески рекламного трафика, которые, по мнению исследователей, указывают на целенаправленные разведывательные операции, а не на обычную коммерческую деятельность. Наиболее интенсивно слежке подвергалась Палестина: «Discover-Tech» размещала там почти 2% всей цифровой рекламы, а 7 апреля её доля достигла примерно 10%. Одно из каждых 36 рекламных объявлений для Android на этой территории поступало от компании.
Трафик, связанный со слежкой, также затронул важные административные и институциональные сети, включая аппарат премьер-министра Армении, международные организации, судебные ведомства, университеты и оборонные структуры.
Исследователи выявили целевые соединения с серверами «Candiru» в девяти странах. На Бельгию пришлось 56% зафиксированной активности; далее следовали Объединённые Арабские Эмираты, Саудовская Аравия, Бахрейн, Мексика, Испания и другие страны.
После обнародования совместного расследования «Google», европейская рекламная ассоциация «IAB Europe», «Beeswax», «Vungle» и «Eskimi» отключили «Discover-Tech» от своих систем цифровой рекламы.
