Reklamy izraelskiej firmy Discover-Tech wyświetlały się w sieciach norweskiego parlamentu, policji i innych instytucji publicznych. Badacze Citizen Lab wykazali, że infrastruktura firmy umożliwiała dostarczanie oprogramowania szpiegowskiego za pośrednictwem reklam, bez konieczności kliknięcia. Nie potwierdzili jednak infekcji urządzeń w Norwegii.
Sprawę opisał 16 października dziennik Dagens Næringsliv (DN). Według gazety reklamy pojawiały się również w sieciach gmin położonych w pobliżu norweskich instalacji wojskowych oraz dwóch norweskich mediów. Ustalenia opierają się na badaniach Citizen Lab, zespołu badawczego działającego przy Uniwersytecie w Toronto.
Raport opublikowany 15 października opisuje mechanizm nazwany AdFection. Wykorzystywał on infrastrukturę reklamową do uruchamiania kodu, który mógł prowadzić do infekcji urządzenia oprogramowaniem szpiegowskim. Użytkownik nie musiał klikać reklamy ani otwierać podejrzanego linku. Badacze powiązali ten mechanizm z oprogramowaniem szpiegowskim Candiru i udokumentowali jego wykorzystanie przeciwko urządzeniom należącym do pracowników katarskiej telewizji Al Jazeera.
Jakie instytucje w Norwegii znalazły się w zasięgu reklam?
Według Citizen Lab reklamy Discover-Tech wyświetlały się w sieciach Stortingu, norweskiej agencji cyfryzacji Digitaliseringsdirektoratet, urzędu regulacji łączności Nkom, państwowych sieci informatycznych Statens IT oraz norweskiej policji, w tym jednostki do zwalczania poważnej przestępczości Kripos.
Badacze odnotowali również wyświetlenia reklam w sieciach kilku norweskich gmin i władz regionalnych na północy kraju, między innymi w rejonach Alty, Harstad i Nordland, w pobliżu ważnych instalacji wojskowych.
Samo wyświetlenie reklamy nie dowodzi jednak, że konkretne urządzenie zostało zaatakowane lub zainfekowane. Citizen Lab zaznacza, że reklamy mogły służyć profilowaniu użytkowników, a w niektórych przypadkach mogły uruchamiać kod związany z oprogramowaniem szpiegowskim. Ustalenia dotyczące Norwegii wymagają dalszego zbadania.
Nie ma zatem podstaw, by na podstawie samych danych o wyświetleniach twierdzić, że ktoś włamał się do komputerów norweskich parlamentarzystów lub policjantów. Wyniki badań pokazują jednak, że infrastruktura reklamowa powiązana z operacjami szpiegowskimi docierała do sieci instytucji o istotnym znaczeniu dla bezpieczeństwa państwa.
Dlaczego samo „nie klikaj” nie wystarcza?
Przypadek AdFection pokazuje ograniczenia popularnej rady, by nie otwierać podejrzanych linków. W opisanym mechanizmie reklama mogła być nośnikiem kodu uruchamianego podczas jej wyświetlania, bez świadomego działania użytkownika. Skuteczna infekcja wymagała jednak dalszych etapów ataku i wykorzystania odpowiednich możliwości technicznych urządzenia.
Problem dotyczy nie tylko samego oprogramowania szpiegowskiego. System reklamy internetowej umożliwia precyzyjne kierowanie treści do użytkowników na podstawie informacji o ich urządzeniach i aktywności. Według Citizen Lab infrastruktura Discover-Tech pozwalała również na gromadzenie danych i identyfikowanie urządzeń.
W następstwie dochodzenia Google zakończył współpracę reklamową z Discover-Tech, a część innych firm z branży podjęła działania blokujące lub ograniczające dostęp spółki do swoich usług. Nie oznacza to jednak, że wszystkie potencjalne zagrożenia związane z tą infrastrukturą zostały już wyeliminowane.
Citizen Lab wskazuje, że konieczne są dalsze działania wyjaśniające, w tym ustalenie, czy urządzenia w sieciach instytucji publicznych zostały rzeczywiście zainfekowane.