תעשיית הפרסום הדיגיטלי הפכה לצינור אספקה מרכזי עבור תוקפי סייבר ורוגלות שכירי חרב, המנצלים את מנגנוני הפרסום כדי לעקוב אחר משתמשים ולהחדיר קוד זדוני למכשירים - כל זאת ללא צורך בלחיצה בודדת מצד הקורבן. תופעה זו, המכונה "AdFection", נחשפה במחקר חדש של מעבדת המחקר The Citizen Lab, והיא מציגה איום מורכב במיוחד עבור מנהלי אבטחת מידע בארגונים (CISO).
במרכז החשיפה: Discover-Tech ופלטפורמת Controlium
במרכז החשיפה עומדת חברת Discover-Tech, המפעילה את פלטפורמת Controlium. החברה הצליחה להתחזות לספקית פרסום לגיטימית, לקבל אישורים מרשתות מובילות ולהציג פרסומות במאות אלפי אתרים ואפליקציות, בעודה משמשת כלי עזר עבור חברות רוגלה כמו Candiru הישראלית.
האיום אינו דורש כל נקיטת פעולה מצד המשתמש. עצם טעינת הפרסומת ברקע של אתר אינטרנט או אפליקציה מספיקה כדי לאסוף מזהים ייחודיים של המכשיר, ואף להדביק אותו ברוגלה מתקדמת במקרים שבהם המערכת מסמנת את המשתמש כאישיות בעלת עניין.
מנגנון הפגיעה: ניצול בורסות הפרסום בזמן אמת
שוק הפרסום הדיגיטלי מבוסס על מערכות פתוחות של מכרזים בזמן אמת (Real-Time Bidding - RTB). מערכות אלו, המנוהלות על ידי ענקיות טכנולוגיה, מריצות מאות מיליארדי מכרזים ביום. כאשר משתמש פותח אפליקציה או אתר אינטרנט שמופיעה בהם משבצת פרסום, נשלחת בקשת מכרז מיידית. מתווכים מסוג פלטפורמות בצד הביקוש (Demand-Side Platforms - DSP) ופלטפורמות בצד ההיצע (Supply-Side Platforms - SSP) משתפים מידע על המשתמש - הכולל מזהי פרסום ניידים, כתובת IP, מזהי עוגיות ומיקום גיאוגרפי מדויק - כדי שאפליקציות ומפרסמים יוכלו להציע מחיר ולהציג מודעה מותאמת אישית תוך חלקיקי שנייה.
Discover-Tech ניצלה בדיוק את המנגנון הזה. החברה רשומה כספקית מורשית ומאושרת על ידי גופים ורשתות מרכזיות, בהם Google, Yandex, Beeswax ו-IAB Europe. במהלך תקופה של ארבעה חודשים, הוצגו המודעות של החברה ב-120,768 אתרי אינטרנט ייחודיים וב-75,373 אפליקציות במערכות ההפעלה Android ו-iOS ברחבי העולם.
על פי ממצאי המחקר, Discover-Tech שימשה כגשר שחיבר בין תעשיית הפרסום לבין חברות רוגלה מסחריות, ובהן חברת Candiru הישראלית. באמצעות המערכת, הדביקה Candiru ברוגלה מכשירים השייכים לרשת התקשורת הבינלאומית אל-ג'זירה (Al Jazeera). מודעות של Discover-Tech נצפו גם ברשתות של גופים רגישים במיוחד, בהם ברית נאט"ו (NATO), תשתיות קריטיות וחברות כמו Intel, Microsoft ו-Apple.
"הניצול ההמוני של Discover-Tech, הפגיעה בפרטיות והסיוע למתקפות רוגלה של שכירי חרב ממחישים כשלים מבניים במערכת הפרסום המקוונת, שנכשלה בזיהוי הניצול לרעה ובמניעתו", הזהירו חוקרי The Citizen Lab.
בעקבות הגילויים, חברות כמו Google, IAB Europe, Beeswax, Vungle (Liftoff) ו-Eskimi ניתקו את גישתה של Discover-Tech למערכות הפרסום שלהן.
המודעה נקייה - השרת בוחר את היעד
אחד המאפיינים המטרידים במתקפת AdFection הוא העובדה שהמודעות עצמן אינן מכילות קוד פוגעני בעת סריקתן הראשונית. פרנק דיקסון (Frank Dickson) מחברת המחקר Dickson Research הסביר כי המודעה שנשלחה למכשירים הייתה נקייה לחלוטין ולכן חמקה ממערכות הבדיקה האוטומטיות של רשתות הפרסום.
"המודעה הייתה נקייה; זה החלק המפחיד. אף אחד לא לחץ על שום דבר," ציין דיקסון.
כאשר מודעה של Discover-Tech זכתה במכרז, היא הועברה למכשיר המשתמש וביצעה פנייה בחזרה לשרתי החברה, תוך שהיא מעבירה את מזהה הפרסום של המכשיר וכתובת ה-IP שלו. עבור הרוב המוחלט של המשתמשים, השרת החזיר מענה ריק, ולכן סורקי אבטחה ראו בה באנר תמים לחלוטין. אך כאשר המערכת זיהתה יעד ספציפי שסומן מראש, השרת החזיר קוד זדוני שהתקין את הרוגלה במכשיר.
סוגיית האימות של ספקי הפרסום התגלתה כנקודת תורפה מרכזית. תהליך ההסמכה של ספקים התבסס לעיתים מזומנות על הצהרה עצמית בלבד - סימון תיבה בטופס דיגיטלי. "הסמכה טובה רק כמידת האימות שעומדת מאחוריה," הדגיש דיקסון. "כל פרסומת היא קוד של מישהו אחר שרץ על המכשיר שלך. יחסו לרשת הפרסום כאל כל ספק חיצוני שאינו מהימן."
צעדים מעשיים למנהלי אבטחת מידע (CISO)
כדי להתמודד עם איום ה-AdFection, המומחים ממליצים על שורה של צעדי אבטחה ארגוניים המכוונים לחסום את שרשרת ההתקפה עוד בטרם הגעת הקוד הזדוני:
הפצת חוסמי פרסומות בדפדפנים מנוהלים: החלת תוספי חסימת פרסומות מאושרים באמצעות מדיניות ארגונית מרכזית, לצד העדפת דפדפנים הכוללים הגנת מעקב מובנית.
חסימת דומיינים ברמת ה-DNS: חסימת דומיינים של פרסום ומעקב ברמת ה-DNS או בשער הרשת המאובטח (Secure Web Gateway). צעד זה מגן גם מפני מודעות המוצגות בתוך אפליקציות בטלפונים ניידים מנוהלים.
ביטול מזהי פרסום (Advertising IDs): ביטול מזהי הפרסום במכשירים ניידים ארגוניים באמצעות מערכות ניהול מכשירים ניידים (Mobile Device Management - MDM), והגבלת אפליקציות צרכניות המבוססות על פרסומות במכשירים המחזיקים מידע רגיש. חוקרי The Citizen Lab ציינו כי חסימת מזהי הפרסום לבדה הייתה מספיקה כדי לעצור שיטת התקפה זו.
הפעלת מצב הגנה מוגברת (Lockdown Mode): הפעלת Lockdown Mode במכשירי Apple עבור מנהלים בסיכון גבוה, עיתונאים ועובדים הנוסעים לאזורים רגישים.
עדכוני אבטחה וניטור תנועה: הקפדה על עדכון רציף של דפדפנים ומערכות הפעלה. המודעה משמשת רק כאמצעי הובלה, והניצול לרעה דורש פגיעות במערכת. בנוסף, יש לנטר תנועת רשת הקשורה לטעינת פרסומות ולבצע סריקת יומני DNS ופרוקסי (Proxy logs) לחשיפת הדומיינים שפורסמו.
למה זה חשוב לך
ניצול רשתות הפרסום להחדרת רוגלות מציג עליית מדרגה באיומי הסייבר הארגוניים. העובדה שחיבור רגיל לרשת ואף שימוש באפליקציות תמימות עלולים לחשוף מכשירים ארגוניים לריגול ללא כל אינטראקציה מצד העובד, מחייבת את מנהלי אבטחת המידע להתייחס לרשתות הפרסום כאל נתיב תקיפה לכל דבר. ביטול מזהי פרסום במכשירים ארגוניים והידוק מדיניות חסימת התוכן הופכים כעת למרכיב חיוני בהגנה על נכסים דיגיטליים ומידע רגיש.
קראו גם: טסלה חשפה את הרודסטר החדשה: האצה בפחות משנייה וריחוף באוויר · Proofpoint רוכשת את ורוניס ב-6.3 מיליארד דולר
