Citizen Lab confirmó públicamente por primera vez que los anuncios dirigidos pueden utilizarse como vía de distribución de spyware de clic cero.
La técnica se llama AdFection: el spyware comercial de Candiru se inserta en anuncios dirigidos y basta con que el dispositivo objetivo cargue el anuncio para que se infecte, sin hacer clic ni instalar nada. Entre las víctimas conocidas hay periodistas de Al Jazeera. La empresa responsable de la campaña se llama Discover-Tech.
El ataque tiene lugar dentro de la cadena de pujas en tiempo real. El código del anuncio se ejecuta directamente en las aplicaciones y los navegadores, y cada nivel —DSP y SSP— ofrece la posibilidad de insertar o sustituir contenido. La segmentación también permite a los atacantes descartar dispositivos irrelevantes y mostrar el spyware solo a personas de determinadas regiones, idiomas o categorías de intereses. Cuanto menor sea el alcance, más difícil será rastrear el origen del ataque después.
Los usuarios de dispositivos comunes pueden reducir la información que comparten en el mercado de pujas: instalar solo las aplicaciones necesarias y desactivar los identificadores publicitarios que no necesiten. Una pauta práctica para comprobar si hay un posible incidente: si un periodista, abogado o activista de tu entorno sufre una filtración repentina de sus contactos, trátalo primero como un incidente de seguridad, no como un fallo del teléfono.
El informe de Citizen Lab incluye una lista de IoC que permite comprobar uno por uno si un dispositivo ha sido afectado. Es difícil determinar la naturaleza del caso basándose en una sola infección, pero la evaluación será más completa si se analizan conjuntamente los registros de publicación de anuncios, los registros del dispositivo y las anomalías en los contactos.
La técnica se llama AdFection: el spyware comercial de Candiru se inserta en anuncios dirigidos y basta con que el dispositivo objetivo cargue el anuncio para que se infecte, sin hacer clic ni instalar nada. Entre las víctimas conocidas hay periodistas de Al Jazeera. La empresa responsable de la campaña se llama Discover-Tech.
El ataque tiene lugar dentro de la cadena de pujas en tiempo real. El código del anuncio se ejecuta directamente en las aplicaciones y los navegadores, y cada nivel —DSP y SSP— ofrece la posibilidad de insertar o sustituir contenido. La segmentación también permite a los atacantes descartar dispositivos irrelevantes y mostrar el spyware solo a personas de determinadas regiones, idiomas o categorías de intereses. Cuanto menor sea el alcance, más difícil será rastrear el origen del ataque después.
Los usuarios de dispositivos comunes pueden reducir la información que comparten en el mercado de pujas: instalar solo las aplicaciones necesarias y desactivar los identificadores publicitarios que no necesiten. Una pauta práctica para comprobar si hay un posible incidente: si un periodista, abogado o activista de tu entorno sufre una filtración repentina de sus contactos, trátalo primero como un incidente de seguridad, no como un fallo del teléfono.
El informe de Citizen Lab incluye una lista de IoC que permite comprobar uno por uno si un dispositivo ha sido afectado. Es difícil determinar la naturaleza del caso basándose en una sola infección, pero la evaluación será más completa si se analizan conjuntamente los registros de publicación de anuncios, los registros del dispositivo y las anomalías en los contactos.