Basta visualizzare un annuncio su un sito o in un'app per essere infettati da uno spyware. È quanto denuncia il Citizen Lab, il laboratorio di ricerca dell'Università di Toronto, che ha documentato un attacco a milioni di dispositivi sfruttando la pubblicità online come canale di distribuzione.
Secondo i ricercatori, dietro l'operazione c'è Discover-Tech, un'azienda israeliana che si presenta come un normale operatore pubblicitario. Acquistava spazi tramite le aste degli inserzionisti su siti e app molto diffusi, come Duolingo, la BBC e il New York Times. Quando vinceva l'asta, mostrava un annuncio apparentemente innocuo che nascondeva del codice capace di installare un accesso nascosto sul dispositivo.
La tecnica è stata battezzata «AdFection» e il Citizen Lab la descrive come il primo caso pubblicamente confermato di spyware mercenario a zero click distribuito tramite pubblicità mirata. Lo spyware, sviluppato dalla società Candiru, consentirebbe agli attaccanti di accedere a password, email e dettagli dei sistemi interni. Candiru, che opera oggi sotto il nome Integrity Labs, è già finita sotto le restrizioni all'export statunitensi per le sue «attività cyber malevole».
Il caso più documentato riguarda Al Jazeera: i ricercatori hanno ricostruito il percorso dall'annuncio infetto fino al contatto tra i dispositivi e i server di Candiru, fino ai file installati che dirottavano il computer. Vedere l'annuncio non garantiva l'infezione, ma esponeva il dispositivo all'exploit. Il Citizen Lab sostiene che almeno 45 dispositivi siano stati infettati con elevata confidenza. Le stesse inserzioni comparivano su reti di numerose forze di difesa, agenzie cyber e organizzazioni internazionali, tra cui la NATO.
La profilazione è stata la fase preparatoria. Attraverso la pubblicità, la società poteva identificare i dispositivi, seguirne l'attività web e localizzarne la posizione, informazioni sufficienti a risalire al nome di una persona o al suo datore di lavoro e a scegliere i bersagli degli attacchi successivi.
Nell'attacco sono finite anche organizzazioni australiane. Il Citizen Lab segnala un «cluster sostanziale» di impression in reti governative, di infrastrutture critiche, universitarie e dei media, tra cui l'Australian Nuclear Science and Technology Organisation (ANSTO) e il suo campus di ricerca Australian Synchrotron. L'ANSTO ha dichiarato di non aver rilevato alcun impatto sui propri sistemi. L'ufficio australiano per la sicurezza informatica, l'Australian Signals Directorate, ha rifiutato di commentare.
Google ha rimosso Discover-Tech dalla sua piattaforma dopo la segnalazione dei ricercatori, come pure l'organismo di categoria IAB Europe. Il caso solleva però una domanda più ampia: come un'azienda abbia potuto ottenere la fiducia di grandi operatori pubblicitari e usarli per distribuire il suo exploit senza essere scoperta. Il ricercatore Diarmaid Harkin, della Deakin University, chiede che a vigilare su questi sistemi siano gli operatori che li gestiscono e le autorità di regolamentazione.
Ancora nessun commento. Puoi essere il primo!