แค่เห็นโฆษณาก็ติดสปายแวร์!!! บริษัทโฆษณาอิสราเอลใช้ Zero-Click โจมตีมือถือทั่วโลก
Citizen Lab หน่วยวิจัยด้านความมั่นคงปลอดภัยไซเบอร์และสิทธิมนุษยชนดิจิทัลของแคนาดาได้เปิดโปงกลโกงของ Discover-Tech บริษัทโฆษณาดิจิทัลจากอิสราเอล หลังพบว่าแพลตฟอร์ม Controlium ของบริษัทถูกใช้ส่งโฆษณาออนไลน์เพื่อติดตั้งสปายแวร์ลงในสมาร์ตโฟนของเป้าหมายทั่วโลก โดยอาศัยเทคนิคโจมตีแบบ Zero-Click ที่ไม่จำเป็นต้องให้เหยื่อคลิกลิงก์หรือดาวน์โหลดไฟล์ใด ๆ เพียงแค่โฆษณาปรากฏบนหน้าจอ ก็อาจเปิดทางให้ผู้โจมตีเข้าถึงอุปกรณ์ได้
รายงานระบุว่าโฆษณาที่เกี่ยวข้องปรากฏในแอปพลิเคชันหลากหลายประเภท ตั้งแต่ Duolingo แอปหาคู่ แอปติดตามประจำเดือน แอปพยากรณ์อากาศของเยอรมนี ไปจนถึง Yahoo Mail, Viber และ Truecaller ซึ่งเป็นแอปสำหรับระบุสายเรียกเข้า
Citizen Lab ระบุว่า นี่เป็นกรณีแรกที่มีหลักฐานการใช้โฆษณาที่เจาะจงเป้าหมายเพื่อติดตั้งสปายแวร์เชิงพาณิชย์แบบ Zero-Click กับอุปกรณ์จริงในวงกว้าง โดยพบการใช้งานกับอุปกรณ์ของเป้าหมายทั่วโลก
เปลี่ยนโฆษณาเป็นเครื่องมือติดตั้งสปายแวร์
เทคนิคดังกล่าวมีชื่อว่า “AdFection” ทำงานผ่านแพลตฟอร์ม Controlium ของ Discover-Tech ซึ่งเปิดทางให้ผู้ให้บริการสปายแวร์นำระบบโฆษณาออนไลน์มาใช้เป็นช่องทางโจมตี โดยเริ่มจากรวบรวมข้อมูลและวิเคราะห์ลักษณะเฉพาะของอุปกรณ์ผู้ใช้จำนวนมาก เพื่อระบุตัวตนและคัดเลือกเป้าหมายที่ต้องการโจมตี
เมื่อระบุเป้าหมายได้แล้ว ผู้โจมตีสามารถส่งโฆษณาที่ดูเหมือนโฆษณาทั่วไปไปยังอุปกรณ์นั้นได้ โดยซ่อนชุดคำสั่งที่อาศัยช่องโหว่แบบ Zero-Click เอาไว้ เมื่อโฆษณาถูกแสดงผล โค้ด JavaScript ที่เป็นอันตรายจะทำงานผ่านเบราว์เซอร์หรือแอปพลิเคชัน ก่อนอาศัยช่องโหว่เพื่อติดตั้งสปายแวร์ลงในอุปกรณ์
จุดอันตรายของวิธีนี้คือ ผู้ใช้ไม่จำเป็นต้องกดโฆษณา เปิดลิงก์ หรือยืนยันการติดตั้งด้วยตนเอง ทำให้การโจมตีเกิดขึ้นได้โดยที่เหยื่อแทบไม่มีโอกาสสังเกตเห็นความผิดปกติ
นักวิจัยพบว่า Controlium เชื่อมโยงกับบริษัทผู้พัฒนาสปายแวร์และเครื่องมือเฝ้าระวังหลายแห่ง ได้แก่ Candiru ซึ่งมีรายงานว่าปัจจุบันอยู่ภายใต้การครอบครองของ Integrity Labs ในสหรัฐฯ รวมถึง Bindecy บริษัทจากอิสราเอลที่เชี่ยวชาญด้านช่องโหว่ Zero-Click บนอุปกรณ์มือถือ และ Intelos ซึ่งเป็นบริษัทด้านการเฝ้าระวังอีกแห่งหนึ่ง
ก่อนหน้านี้ กระทรวงพาณิชย์สหรัฐฯ เคยดำเนินมาตรการต่อ Candiru จากกรณีพัฒนาเครื่องมือสปายแวร์ที่ถูกนำไปใช้กับเจ้าหน้าที่รัฐ นักข่าว นักธุรกิจ นักกิจกรรม นักวิชาการ และเจ้าหน้าที่สถานทูต
พบเป้าหมายเป็นนักข่าว
Citizen Lab ระบุว่า สปายแวร์ดังกล่าวถูกใช้กับอุปกรณ์หลายสิบเครื่องที่เป็นของนักข่าวในเครือข่ายข่าว Al Jazeera ของกาตาร์ ซึ่งรายงานประเด็นอ่อนไหว ขณะเดียวกัน โฆษณาที่เกี่ยวข้องยังปรากฏในเครือข่ายสำคัญที่ใช้งานโดยกระทรวงกลาโหมสหรัฐฯ องค์การพลังงานปรมาณูระหว่างประเทศ (IAEA) และศาลอาญาระหว่างประเทศ (ICC)
นอกจากนี้ ยังพบการมุ่งเป้าไปยังองค์กรสื่อในออสเตรีย เดนมาร์ก ฝรั่งเศส เม็กซิโก อิสราเอล อิตาลี นอร์เวย์ และสวีเดน รวมถึงเครือข่ายขององค์กรสื่อระหว่างประเทศหลายแห่ง
นักวิจัยตั้งข้อสังเกตว่า Discover-Tech อ้างตัวเป็นธุรกิจโฆษณาออนไลน์ที่ถูกต้องตามกฎหมาย แต่กลับทำหน้าที่เชื่อมโยงบริษัทสปายแวร์เชิงพาณิชย์เข้ากับระบบโฆษณาที่ใช้งานกันทั่วไป โดยพบธุรกรรมเสนอราคาเพื่อแสดงโฆษณาของบริษัทนี้หลายพันล้านครั้ง และไม่พบหลักฐานชัดเจนว่ามีกิจกรรมโฆษณาที่ถูกต้องตามปกติ
ปัญหาสำคัญอีกประการคือ Discover-Tech เคยปรากฏอยู่ในรายชื่อผู้ให้บริการโฆษณาที่ผ่านการรับรองหรือได้รับอนุมัติจาก Google และ IAB Europe ซึ่งเป็นองค์กรในอุตสาหกรรมโฆษณาดิจิทัล สะท้อนให้เห็นถึงข้อบกพร่องในการตรวจสอบผู้ให้บริการโฆษณา แม้ระบบดังกล่าวจะสามารถเข้าถึงผู้ใช้งานจำนวนมหาศาลผ่านสมาร์ตโฟนและเว็บเบราว์เซอร์ก็ตาม
หลังการเปิดเผยรายงาน Google และ IAB Europe ได้ถอด Discover-Tech ออกจากรายชื่อผู้ให้บริการโฆษณาของตนแล้ว