AdFection: Online-Werbung als Einfallstor für Zero-Click-Spionage

• Das Citizen Lab der Universität Toronto hat eine neue Angriffsmethode namens „AdFection“ identifiziert, bei der mobile Geräte durch das bloße Anzeigen bösartiger Werbeanzeigen ohne jeglichen Klick infiziert werden können.
• Im Zentrum steht die israelische Firma Discover-Tech Ltd., die als Brücke zwischen dem Werbe-Ökosystem und Anbietern von Staatstrojanern wie Candiru fungiert haben soll.
• Die Attacken zielen auf sensible Akteure ab; so wurden unter anderem Geräte des Nachrichtensenders Al Jazeera sowie Angehöriger staatlicher Stellen und NATO-Einrichtungen angegriffen.

Funktionsweise der Angriffe

• Discover-Tech nutzte die Infrastruktur des „Real-Time-Bidding“ in der Werbebranche, um Geräte mittels Werbe-IDs und IP-Adressen gezielt zu identifizieren.
• Über die Plattform „Controlium“ konnten Kunden spezifische Zielgeräte auswählen, denen statt regulärer Werbung bösartiger Programmcode zugespielt wurde.
• Da Werbeanzeigen häufig Programmcode ausführen, ermöglichte dies die Installation von Spionage-Software ohne Interaktion durch das Opfer.

Auswirkungen und Reichweite

• Die Untersuchung analysierte Daten von rund 3,8 Milliarden Werbe-Geboten. Betroffene Apps sind unter anderem Wetter Online, Grindr, Badoo, Duolingo und Viber.
• Die Angriffe betrafen Netzwerke von Verteidigungsministerien, Streitkräften und kritischer Infrastruktur weltweit, unter anderem in den USA, Israel und verschiedenen europäischen Staaten.
• Discover-Tech war bei Plattformen wie Google als „zertifizierter“ Anbieter gelistet, was dem Unternehmen eine Fassade der Seriosität verlieh, bis es nach Bekanntwerden der Vorwürfe ausgeschlossen wurde.

Empfehlungen und Forderungen

• IT-Sicherheitsexperten wie Wolfie Christl stufen den Einsatz von Werbe-Blockern als obligatorische Schutzmaßnahme ein, da ein Schutz vor dieser Art von „Malvertising“ für Nutzer kaum möglich sei.
• Die Forschenden fordern von Regulierungsbehörden und Plattformbetreibern strengere Screenings, Sanktionen gegen Anbieter von Spionage-Software sowie eine grundlegende politische Auseinandersetzung mit der Sicherheitskrise durch das heutige Werbe-Ökosystem.