ゼロクリック・スパイウェアがターゲット広告経由で配信される：AdFection

目次 主要な発見 1. はじめに 2. Discover-TechのAdFectionゼロクリックはどのように機能するか 3. Discover-TechのControlium：悪意のある広告ターゲティングプラットフォームの暴露 4. Discover-Techと傭兵スパイウェア、ADINT、および大量監視ベンダーとの関連 5. Discover-Techの10億ドル規模の広告ターゲティングの解明 6. Discover-Techはどのようにブラウザで広告を配信するか 7. Discover-Techとその企業ネットワーク 8. Intelos、Bindecy、Candiruの企業ネットワーク 9. Discover-Techとデジタル広告業界との関係 10. 議論：AdFectionはオンライン広告がサイバーセキュリティとプライバシーの危機であることを示している 11. 推奨事項：AdFection攻撃を停止する方法 企業とのやり取り 主要な発見 国際的なニュースネットワークAl Jazeeraのデバイスが、ターゲット広告を通じてCandiru（「Integrity Labs」に改名）製の傭兵スパイウェアに感染しました。私たちは、ターゲット広告によって配信されるゼロクリック・傭兵スパイウェア攻撃の最初の公開技術的確認を提供します。これをAdFectionと呼びます。悪意のある広告は、正当な広告会社を装っていますが、実際には複数の傭兵スパイウェアパートナーの促進者として機能しているイスラエルの企業、Discover-Techによって購入されていました。Discover-TechはControliumというプラットフォームを運営しており、これにより傭兵パートナーは、広告が表示された瞬間にデバイスの匿名化解除、フィンガープリント作成、自動感染を行うことができ、これはゼロクリック攻撃の一形態です。Discover-Techの40億件の入札記録の分析によると、4ヶ月間に同社の広告は数十カ国、約20万のユニークなウェブサイトおよびAndroid/iOSアプリに表示されました。Discover-Techの広告は、Candiruのサーバーに数百万台のデバイスを秘密裏に接触させ、大規模な追跡と偵察を目的としていた可能性が高いです。Discover-Techは、Candiruだけでなく、IntelosやBindecyといった傭兵スパイウェアやインテリジェンス脅威アクターとも関連しています。私たちがDARK CARTOGRAPHERと呼ぶ別の脅威アクターは、Discover-Techのインフラストラクチャを使用して、多数のモバイルキャリアにわたる脆弱性を悪用し、デバイス広告IDを電話番号と紐付け、インターネットユーザーの大量匿名化解除を行っています。この脅威アクターに関する調査結果は、別途報告書で詳述します。Discover-Techは、Googleや広告業界団体IAB Europeが維持する「認定」および「承認済み」ベンダーのリストに登場しており、Google、Yandex、Beeswaxなどの主要ネットワークを通じて広告を配信してきました。Discover-Techはまた、欧州一般データ保護規則（GDPR）の同意フレームワークを活用して、欧州連合内のユーザーをターゲットにしています。Discover-Techによる大量の悪用、プライバシー侵害、および傭兵スパイウェア攻撃の促進は、オンライン広告システムの構造的な欠陥を示しており、本報告書で文書化された悪用を検出または防止できませんでした。私たちは、Discover-TechとCandiru/Integrity Labsが適用法に違反したかどうかを規制当局に調査するよう求め、法律家、防御者、および広告業界に対し、AdFectionスタイルの攻撃と諜報活動を停止する方法についての推奨事項を提示します。私たちは、広告ベンダーおよび業界団体に調査結果を開示しました。Google、IAB Europe、Beeswax、Vungle (Liftoff)、Eskimiは、Discover-Techのデジタル広告エコシステムへのアクセスを遮断する措置を講じました。Discover-Techの事業に関与していた他の広告ベンダーは、提供された期限内にコメントの要求に応じませんでした。また、DARK CARTOGRAPHERによる大量匿名化解除攻撃を緩和するために、ベンダーと協力して取り組んでいます。本報告書は、Confiantによる調査と同時に公開されます。本報告書のExecutive Summaryを読む 1. はじめに このセクションでは、オンライン広告エコシステムの概要と、Discover-Techに関する調査結果を要約します。 オンライン広告エコシステムは悪用に満ちている ユーザーがアプリやウェブサイトで広告を見たとき、それはリアルタイムオークションの結果である可能性が高いです。広告主はその特定のユーザーにその特定の広告を表示する機会を競います。Googleなどの企業が運営する広告取引所で開催されるいわゆるリアルタイム入札（RTB）オークションは、1日に数百億回行われます。1秒未満で、ユーザーのデバイスが入札リクエストを開始し、広告主が入札を提出し、広告取引所が入札の勝者を決定してユーザーに広告をプッシュします。画像やビデオに加えて、オンライン広告には、広告が表示されるアプリやブラウザ内で実行されるコードが含まれることもあります。広告主とアプリやウェブサイトのパブリッシャーは、これらのオークションで仲介者として機能する広告ベンダーを使用します。広告主は通常、いわゆるデマンドサイドプラットフォーム（DSP）を通じて広告を購入し、サプライサイドプラットフォーム（SSP）がいわゆる広告在庫をウェブサイトやアプリで販売します。 図1 オンライン広告エコシステムの基本的なアーキテクチャ。 悪意のあるアクターは、オンライン広告エコシステムの2つの相互に関連する側面を利用します： 広告エコシステムは大量のデータを収集し、個人のレベルでのターゲティングを可能にします：アプリやウェブサイトのパブリッシャーが広告を表示したい場合、彼らはSSPからコードをアプリやサイトに追加します。このコードは、ユーザーとそのデバイスに関する詳細な情報を収集し、広告取引所に共有して広告枠の入札を募ります。この情報には、デバイス識別子と特性、正確な位置、IPアドレスデータ、およびアプリやウェブサイトに関するデータ、広告枠の仕様が含まれる場合があります。次に、DSPまたは広告主はこの情報を調べて、広告を表示するためにインプレッションに入札したいかどうかを決定します。オークションシステムは、モバイル広告ID、Cookie ID、IPアドレス、およびその他の識別子に基づいて単一の個人をターゲットにできるように設計されています。 広告エコシステムは、多くの異なるサードパーティがアプリやウェブサイトでコードを実行することを許可します：オンライン広告を単なるビデオや画像だと考えるのは魅力的かもしれません。しかし、広告自体には、広告主、DSP、その他の当事者からのコードが含まれる場合があり、広告がユーザーに表示されている間に、例えばユーザー、広告インプレッション、クリックを追跡するために、アプリやブラウザでそれを実行します。広告主、DSP、SSP、およびその他のサードパーティがアプリやウェブサイト内で実行するコードは、一般的に「タグ」、「ピクセル」、「SDK」、またはより一般的に「サードパーティトラッキング」と呼ばれます。 監視のために広告テクノロジーを悪用する 広告オークションから得られる情報の総量は非常に価値があります。オークションデータにアクセスできる企業は、特定の識別子に関連付けられた入札リクエストが時間とともに位置やIPアドレスを変更するのを観察することにより、ユーザーが物理空間を移動したり、セルラー、Wi-Fi、VPNを切り替えたりするのを、ユーザーが知らないうちに追跡できます。実際、監視業界は、しばしばサードパーティトラッキングデータと組み合わせて、この種のデータを活用するいわゆる広告インテリジェンス（ADINT）プラットフォームへのアクセスを販売しています。近年、いくつかの調査とメディア報道により、防衛、諜報、法執行機関にADINTを販売するベンダーが明らかになっています。 ターゲット広告経由で配信されるゼロクリック・スパイウェア：AdFection 受動的なデータ収集を超えて、悪意のある当事者はこのインフラストラクチャを悪用して、広告オークションに含まれるユーザーデータに基づいて特定の個人をターゲットにし、デバイス上で悪意のあるコードを実行することもできます。広告主またはDSPは、広告がユーザーに表示されるときにHTMLおよびJavaScriptコードを実行する場合があります。そのコードは追加のJavaScriptコードを取得し、それがブラウザエクスプロイトなどのさらなるコードをロードしてスパイウェアをインストールする可能性があります。コードにはユーザーまたはデバイスの識別子を含めることができるため、任意のJavaScriptコードを正確に単一ユーザーのデバイスに送信できます。本報告書における私たちの調査は、このアーキテクチャが悪用されてゼロクリック・ターゲット型スパイウェアの配信を促進していること、そしてターゲット広告の単純な表示が感染に十分であることを示しています。スパイウェアと広告エコシステムの交差点については、いくつかの報道がありました。しかし、傭兵スパイウェア企業が広告エコシステムに接続する具体的な方法は、