Citizen Lab a confirmé pour la première fois publiquement que la publicité ciblée peut servir de vecteur de diffusion à des logiciels espions sans clic.
Cette technique, appelée AdFection, consiste à dissimuler le logiciel espion commercial de Candiru dans des publicités ciblées. Il suffit que l’appareil visé charge la publicité pour qu’il soit infecté, sans aucun clic ni installation. Parmi les victimes identifiées figurent des journalistes d’Al Jazeera. La société à l’origine de la campagne s’appelle Discover-Tech.
L’attaque se produit au sein de la chaîne des enchères en temps réel. Le code publicitaire s’exécute directement dans les applications et les navigateurs, et chaque maillon — DSP ou SSP — peut servir à insérer ou à remplacer du contenu. Le ciblage permet aussi aux attaquants d’écarter les appareils non pertinents et de ne présenter le logiciel espion qu’à des personnes d’une région, d’une langue ou d’un groupe d’intérêt précis. Plus la cible est restreinte, plus il est difficile de remonter à la source après coup.
Les utilisateurs ordinaires peuvent réduire la quantité d’informations les concernant qui entre dans le système d’enchères : n’installer que les applications nécessaires et désactiver les identifiants publicitaires superflus. Un réflexe d’autovérification plus concret : si un journaliste, un avocat ou un militant de votre entourage constate une fuite soudaine de ses contacts, traitez d’abord la situation comme un incident de sécurité, plutôt que comme un problème de téléphone.
Le rapport de Citizen Lab comprend une liste d’IoC permettant de vérifier point par point si un appareil est concerné. Une infection isolée est difficile à caractériser, mais le rapprochement des données de diffusion publicitaire, des journaux de l’appareil et des anomalies liées aux contacts permet de mieux évaluer la situation.
Cette technique, appelée AdFection, consiste à dissimuler le logiciel espion commercial de Candiru dans des publicités ciblées. Il suffit que l’appareil visé charge la publicité pour qu’il soit infecté, sans aucun clic ni installation. Parmi les victimes identifiées figurent des journalistes d’Al Jazeera. La société à l’origine de la campagne s’appelle Discover-Tech.
L’attaque se produit au sein de la chaîne des enchères en temps réel. Le code publicitaire s’exécute directement dans les applications et les navigateurs, et chaque maillon — DSP ou SSP — peut servir à insérer ou à remplacer du contenu. Le ciblage permet aussi aux attaquants d’écarter les appareils non pertinents et de ne présenter le logiciel espion qu’à des personnes d’une région, d’une langue ou d’un groupe d’intérêt précis. Plus la cible est restreinte, plus il est difficile de remonter à la source après coup.
Les utilisateurs ordinaires peuvent réduire la quantité d’informations les concernant qui entre dans le système d’enchères : n’installer que les applications nécessaires et désactiver les identifiants publicitaires superflus. Un réflexe d’autovérification plus concret : si un journaliste, un avocat ou un militant de votre entourage constate une fuite soudaine de ses contacts, traitez d’abord la situation comme un incident de sécurité, plutôt que comme un problème de téléphone.
Le rapport de Citizen Lab comprend une liste d’IoC permettant de vérifier point par point si un appareil est concerné. Une infection isolée est difficile à caractériser, mais le rapprochement des données de diffusion publicitaire, des journaux de l’appareil et des anomalies liées aux contacts permet de mieux évaluer la situation.