多倫多大學研究機構 Citizen Lab 近日發布報告，揭露名為「
AdFection」的攻擊手法。報告指出，以色列廣告科技公司 Discover-Tech 涉嫌透過定向廣告，協助商業間諜軟體業者 Candiru（現名 Integrity Labs）在使用者未點擊任何內容時，投遞監控惡意程式。國際新聞機構半島電視台（Al Jazeera）至少 45 台裝置成為攻擊目標。事件曝光後，Google 等業者已停止讓 Discover-Tech 使用其廣告生態系。
Candiru 曾因向外國政府提供用於鎖定特定個人的間諜軟體，遭美國商務部列入實體清單（Entity List）。
即時競價如何鎖定目標
使用者開啟網頁或 App 時，即時競價（real-time bidding，RTB）會在毫秒內決定要顯示哪則廣告。競價過程可能揭露使用者與裝置資訊，例如 IP 位址、行動廣告識別碼（mobile advertising ID）及 Cookie。廣告主通常利用這些識別碼投放客製化廣告，而廣告也可能在瀏覽器或 App 中執行程式碼。
Citizen Lab 指出，監控業者可利用這些資訊辨識目標裝置、蒐集使用者資訊，並在目標廣告顯示時投遞間諜軟體。
從贏得競價到連上 C&C 伺服器
攻擊始於 Discover-Tech 贏得廣告競價，接著廣告便會投放到使用者正在瀏覽的網站或 App。廣告載入時，內嵌標籤會連線至 Discover-Tech 控制的伺服器，回傳裝置識別資訊。伺服器確認裝置是否符合鎖定條件；若符合，便回傳 JavaScript，否則回傳空白回應。
Citizen Lab 未能取得這段 JavaScript。不過，半島電視台提供的網路日誌顯示，受感染裝置依序連線至 Discover-Tech 的基礎設施、Candiru 的驗證伺服器，最後連上其命令與控制（command and control，C&C）伺服器。研究人員因此高度確信，這些攻擊與 Candiru 的間諜軟體有關。
Discover-Tech 的 Controlium 平台可讓客戶根據 IP 位址、Cookie 與行動廣告識別碼設定廣告活動，鎖定特定裝置。Citizen Lab 指出，這個平台讓合作的商業間諜軟體業者能在廣告顯示時識別使用者、建立裝置指紋，並自動植入惡意程式，形成零點擊（zero-click）攻擊。
廣告曝光範圍廣，不代表裝置已感染
Citizen Lab 分析指出，Discover-Tech 在四個月內，曾將定向廣告投放至近 20 萬個不同網站及 Android、iOS 應用程式，涵蓋數十個國家。這些廣告曾出現在與政府、軍事、關鍵基礎設施、媒體及多邊機構相關的裝置上。
Citizen Lab 強調，看到這些廣告不代表裝置已遭鎖定或感染；但此事凸顯廣告生態系的系統性風險，相關組織應儘速調查是否有裝置遭到感染。報告也指出，Discover-Tech 與商業駭客公司 Bindecy、廣告情報公司 Intelos 有關聯，但目前最有力的技術證據仍指向 Candiru。
業者陸續中止 Discover-Tech 的廣告平台存取權
Citizen Lab 揭露事件後，多家業者陸續採取行動。與 Citizen Lab 合作的 Google 已終止 Discover-Tech 使用其廣告交易平台的權限；歐洲廣告產業協會 IAB Europe 將其自供應商名冊中移除；廣告科技平台 Beeswax 將其自廣告購買平台移除；Eskimi 封鎖其帳號與網域；Vungle（Liftoff）則暫停其存取權並展開審查。
報告指出，Discover-Tech 與間諜軟體產業的關聯早已廣為人知，該公司卻仍長期參與廣告生態系。研究人員呼籲廣告產業強化防護，並提出以下建議：
- 組織可考慮在網路閘道封鎖定向廣告，降低遭受 AdFection 攻擊的風險。
- 政府機關應要求在所有公務裝置上安裝廣告攔截軟體。
- 政府機關應停用所有公務行動裝置上的唯一廣告識別碼。
本文轉載自 DarkReading。