Online advertenties zijn gericht gebruikt om mensen met 'zero-click mercenary spyware' te infecteren, zo stellen onderzoekers van het Canadese Citizen Lab. De malafide advertenties zouden ook zijn getoond op systemen van het Internationaal Strafhof in Den Haag en het Nederlandse ministerie van Economische Zaken. Volgens de onderzoekers staat vast dat via de advertenties zeker 45 Windowscomputers van nieuwzender Al Jazeera met spyware van spywareleverancier Candiru besmet zijn geraakt. Het bedrijf gaat tegenwoordig als Integrity Labs door het leven. Alleen het laden van de advertenties was voldoende. Er was geen interactie van gebruikers vereist. De onderzoekers adviseren mensen die zich willen beschermen om online advertenties te blokkeren.

Volgens de onderzoekers is dit voor het eerst dat bevestigd is dat advertenties zijn ingezet voor spyware-aanvallen. De advertenties werden niet alleen gebruikt om doelwitten met spyware te infecteren. Miljoenen systemen wereldwijd werden doorgestuurd naar servers van spywareleverancier Candiru, vermoedelijk voor grootschalige tracking en verkenning. De onderzoekers hebben de aanvallen de naam 'AdFection' gegeven. Citizen Lab is onderdeel van de universiteit van Toronto dat onderzoek doet naar het gebruik van politieke macht in cyberspace. Ook doet het al jaren uitgebreid onderzoek naar het gebruik van spyware tegen activisten, journalisten en dissidenten.

De besmette advertenties waren ingekocht door een Israelisch bedrijf genaamd Discover-Tech, dat zich als legitiem advertentiebedrijf voordoet. Het fungeert als facilitator voor spywarebedrijven en biedt een platform genaamd 'Controlium' voor het aanvallen van mensen via advertenties. Via dit platform kunnen spywareleveranciers automatisch systemen de-anonimiseren, fingerprinten en met spyware infecteren zodra de advertentie op het systeem wordt weergegeven. Klanten kunnen via Controlium het mobiele advertentie-ID. browser identifier en/of ip-adres opgeven om een specifiek iemand aan te vallen of profileren.

Uit het onderzoek blijkt dat de advertenties van Discover-Tech gedurende een periode van vier maanden op bijna 200.000 unieke websites en binnen Android/iOS-app zijn weergeven in tientallen landen. Dat baseren de onderzoekers op de 'bidding records' van Discover-Tech. Advertentiebedrijven kunnen bieden op de advertentieruimte op websites en binnen apps. Via 'bid requests' kan een grote hoeveelheid informatie over internetgebruikers worden verzameld. Deze informatie wordt normaal gebruikt om te bepalen welke advertentie het best aan een specifieke gebruiker kan worden getoond, maar is zoals het onderzoek laat zien ook te gebruiken voor gerichte spyware-aanvallen.

Zoals gezegd is bij de aanvallen geen enkele interactie van slachtoffers vereist, wat ook wel een zero-click-aanval wordt genoemd. Alleen het te zien krijgen van een advertentie is voldoende. Zero-click-aanvallen maken misbruik van kwetsbaarheden die op het aangevallen systeem aanwezig zijn. Het onderzoeksrapport laat niet weten welke kwetsbaarheden bij de advertentie-aanvallen zijn gebruikt, maar de genoemde spywareleveranciers hebben in het verleden meerdere zerodaylekken in onder andere Windows en Google Chrome bij aanvallen ingezet.

De spywareleveranciers leveren hun producten aan overheden. De afgelopen jaren is herhaaldelijk gebleken dat overheden deze 'mercenary spyware' inzetten tegen journalisten, activisten, oppositie en andere critici. De advertenties zijn wereldwijd getoond, waaronder ook in Nederland. Zo zouden advertenties onder andere te zien zijn geweest op systemen van het Internationaal Strafhof en het ministerie van Economische Zaken. De onderzoekers adviseren mensen die zich tegen dit soort aanvallen willen beschermen om online advertenties te blokkeren. Verschillende advertentiebedrijven, waaronder Google, hebben de toegang die Discover-Tech tot hun advertentieplatforms had inmiddels opgeheven.

Grootschalige de-anonimisering van internetgebruikers
De infrastructuur van Discover-Tech is niet alleen gebruikt door spywareleveranciers, aldus de onderzoekers. Die ontdekten ook een andere 'threat actor' die er gebruik van maakt. Deze aanvaller, die de naam 'Dark Cartographer' kreeg, gebruikt kwetsbaarheden bij allerlei telecomproviders om het advertentie-ID van telefoons aan telefoonnummers te koppelen. De onderzoekers spreken van het grootschalig de-anonimiseren van internetgebruikers. In een toekomstig rapport zal de werkwijze van deze partij worden besproken. Daarnaast werken de onderzoekers samen met leveranciers om de de-anonimiseringsaanval van Dark Cartographer tegen te gaan.