מחקר חדש של Citizen Lab קובע לראשונה באופן טכני ספיוור מסחרי שהגיע למכשירים אמיתיים דרך פרסומות ממוקדות. לפי החוקרים, ספיוור של חברת Candiru הישראלית הודבק למכשירים של עובדי Al Jazeera בלי שהקורבן לחץ על דבר.
הפרטים
לפי החוקרים, לפחות 45 מכשירים של Al Jazeera היו יעד בשנים 2024–2025, והשיוך ל-Candiru נעשה ברמת ביטחון גבוהה. החוקרים לא זיהו איזו ממשלה עומדת מאחורי המבצע.
המנגנון: פרסומת שנטענה במכשיר שלחה לשרת של ספקית הפרסום Discover-Tech את מזהה הפרסום וכתובת ה-IP של המכשיר, חלקן אפילו בלי להופיע על המסך. השרת החליט אם המכשיר הוא יעד, ורק יעדים קיבלו קוד תקיפה. הפרסומת עצמה לא נשאה ניצול, ולכן לרשתות הפרסום לא היה מה לזהות. החוקרים שחזרו דוגמת ספיוור ממכשיר אחד, והטכניקות בה תואמות כלי של Candiru שנותח ב-2021. את הניצול הראשוני בדפדפן או באפליקציה הם לא הצליחו לשחזר, ולכן לא צוין CVE.
לפי Confiant, הפרסומות עם קוד הקריאה החוזרת הופיעו בכ-75,000 אפליקציות וכ-120,000 אתרים, אך הפרסומות שאותרו בוודאות כשל Candiru היו בנפח נמוך. הופעה ברשת מסוימת אינה אומרת שמישהו הודבק. גוגל ו-IAB Europe הסירו את Discover-Tech בתחילת אוקטובר.
נקודות לשים לב
- אין כאן תיקון לעדכן: הניצול הראשוני לא פורסם. עדכון שוטף של מערכת ההפעלה והדפדפן נשאר ההגנה הסבירה, ולא ערובה.
- אם הארגון שלך בסיכון גבוה (עיתונאים, פעילים, בכירים), שקול מצב Lockdown באייפון ובדפדפנים, וחסימת פרסומות ברמת ה-DNS או הדפדפן.
- חפש בלוגים תעבורה לדומיין
mtrtb[.]comובדוק מול רשימת האינדיקטורים המלאה של Confiant ו-Citizen Lab. תבנית החשד: שרת פרסום, אחריו שרת סינון, אחריו שרת פיקוד ושליטה. - אל תסיק שכל מי שראה פרסומת ברשתות שצוינו הודבק; המחקר מדגיש שהמטרות היו ממוקדות.
מקורות: Citizen Lab · Confiant · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
