標的型広告がゼロクリックでスパイウェアを配信、Al Jazeeraの端末が感染
Zero-Click Spyware Delivered via Targeted Ads: AdFection
Citizen Labは、イスラエルのDiscover-Techが標的型広告を通じてゼロクリックでスパイウェアを配信していたと発表した。同社のプラットフォームControliumは広告表示の瞬間に端末を特定・感染させる。Al Jazeeraの端末がCandiruのスパイウェアに感染した事例を初めて技術的に確認。40億件の入札記録から約20万のサイトやアプリで広告が表示され、GoogleやIAB Europeの認定ベンダーリストにも掲載されていた。
標的型広告の単なる表示が感染に十分であることを、我々の調査は示している。
HNでの議論
481- Frieren
広告プロバイダーはマルウェアを配信した責任を負うべきだ。すべてのトラッキング（トラッキングされたくないクライアントに対するフィンガープリンティングも含む）も違法であるべきだ。
これが社会にとってなぜ許容されるのか、私には理解できない。そして企業は個人が詐欺に遭うと個人を責める。我々があなたのすべての情報を持っていて、それを直接売るだけでなく至る所に漏洩しているのは、あなたのせいだというわけだ。
さらに、罰金に加えて懲役刑も導入すべきだ。罰金は金持ちにとっては何の意味もない。
- Postosuchus
AdTechエンジニアです（業界で約13年）。いくつか補足すると：
- このレポートは「ゼロクリック」の側面に関して非常にセンセーショナルだ。配布やC&Cの側面はある程度詳述しているが、主眼である「どのようなメカニズムでゼロクリックでマルウェアが起動したのか」については非常に曖昧だ。
- 下の「広告プロバイダーは責任を負うべきだ」という点について。そもそも「広告プロバイダー」などというものは存在しない。AdTechのエコシステムは、さまざまなニッチやビジネスモデルで溢れかえっている——有名なLUMAscapesの図を見てほしい：https://lumapartners.com/lumascapes/ 。膨大なトラフィック量のため、そのほんの一部を精査することすら事実上不可能だ。Googleは多大な計算資源を投じてサードパーティのクリエイティブを事前スキャンしているが、それでも悪意ある主体はすり抜ける。さらに、彼らの側の高度な手口（ユーザータイプの認識に基づく異なるランディングページの使用から、そのようなキャンペーンを1回だけ実行するための使い捨て広告主アカウントの養成、高度な技術的・人的エンジニアリングによる正規アカウントの乗っ取りまで）が加わる。結局のところ、義憤に駆られた政治家はいつも通りのことをする——Googleを訴えるか罰金を科して勝利を宣言する。一方、真の悪意ある主体はただ活動を続けるだけだ。
- Ozzie_osman
明らかにイスラエルのテック企業がこの種のエクスプロイトに関与したのは初めてではないし、今となっては、イスラエルに拠点を置くテック企業（特にサイバーセキュリティ企業、彼らは強い産業を持っている）はイスラエル政府に従属していると見なされるべきであり、したがっておそらく信頼できないと言ってもいいだろう。彼らが信頼できる独立した主体として行動するのか、それとも国家の利益のためにあなたのデータを危険にさらすのか、どうやって確信できるだろうか？
- ferguess_k
私の疑問は、なぜイスラエルはこれほど得意なのかということだ。少なくとも米国、ロシア、中国に次ぐ世界第4のサイバー大国のようであり、実際には同等かそれ以上かもしれない。
おそらく、建国以来より大きな敵の脅威にさらされてきたため、生き残るために持てるものすべてを活用しなければならなかったからだろう。そして一度組織を育てて野放しにすると、もはやあまり制御できなくなり、花のように野で成長するのだ。
- bawolff
記事を読むと、どのゼロクリックエクスプロイトのことを言っているのか少し混乱する。CVE-2021-21166のことを言っているように思えるが、もし本当に5年前のエクスプロイトのことを言っているのなら、冒頭の段落はかなり誤解を招くと思う。
- throw0101c
Citizen Labによる実際のレポート：
* https://citizenlab.ca/research/how-discover-tech-turned-targ...
- karim79
VPN業界のどれだけがイスラエルに所有・支配されているかに、皆 shocked するだろう。
- squidmaster
イスラエルはインターネットが存在して以来ずっとサイバー犯罪の中心地だ。
- bhouston
ある国内の企業がその国のセキュリティサービスに協力するのは標準的なことだ。イスラエルには多くのAdTech企業があり、したがって彼らがイスラエルのセキュリティサービスに協力するのは理にかなっている。
これはイスラエルが世界中のStarLink端末を位置追跡しているのと同じことだ：https://www.newarab.com/news/israel-tech-firms-can-locate-an...
これは米国政府が中国のネットワーク企業に対して抱く懸念と同じ問題だ。中国政府が国家安全保障の利益のためにこれらの中国企業にバックドアを仕込むよう圧力をかけるのはあまりにも簡単だ。米国はおそらく、自国企業にも同様の方法で圧力をかけているため、これを知っているのだろう。
- andunie
結局のところ、GoogleがAndroidのプライバシーを殺したことは、人々がハッキングされるのを防ぐ手段としては完全に無意味だったことが判明した。しかし彼らはこの種のものを利用して、いわゆる「自由な」プラットフォームをさらに閉鎖する正当化にするかもしれない。
同様に、Signalのようなプライバシーメッセンジャーを使うことも、彼らがいつでもあなたのデバイス全体を制御できるなら無意味だ。