Geen klik nodig: hoe online advertenties een toegangspoort werden voor spionagesoftware

Een advertentie die op je smartphone verschijnt, lijkt onschuldig. Toch kan zo’n advertentie onderdeel zijn van een systeem dat gebruikers identificeert, hun apparaten volgt en geselecteerde doelwitten blootstelt aan geavanceerde spionagesoftware. Daarvoor hoeft een gebruiker niet noodzakelijk op de advertentie te klikken.

Onderzoekers hebben een operatie blootgelegd die bekendstaat als AdFection. Daarbij zou de internationale advertentie-infrastructuur zijn misbruikt om gebruikers op grote schaal te profileren en specifieke apparaten te selecteren voor mogelijke spyware-aanvallen.

Een centrale rol wordt toegeschreven aan Discover-Tech, exploitant van het advertentieplatform Controlium. Volgens de onderzoekers kon het bedrijf via bestaande advertentienetwerken grote aantallen gebruikers bereiken en informatie verzamelen waarmee apparaten en potentiële doelwitten konden worden herkend.

Opvallend is dat Discover-Tech zich als een legitieme advertentiepartij kon presenteren en volgens het onderzoek als goedgekeurde of gecertificeerde leverancier vermeld stond bij onder meer Google en IAB Europe.

Gedurende vier maanden werden advertenties van het bedrijf weergegeven op 120.768 websites en in 75.373 mobiele apps, verspreid over tientallen landen. De advertenties bereikten ook netwerken die in verband werden gebracht met organisaties als de NAVO, Intel, Microsoft en Apple.

De onderzoekers waarschuwden verschillende betrokken bedrijven. Meerdere partijen namen vervolgens maatregelen om Discover-Tech de toegang tot hun advertentie-infrastructuur te ontzeggen.

Hoe advertentieveilingen kunnen worden misbruikt

Veel online advertenties worden verspreid via real-time bidding (RTB): geautomatiseerde veilingen waarbij advertentieruimte in fracties van een seconde wordt verkocht.

Wanneer iemand een website opent of een advertentie in een app verschijnt, wordt een advertentieverzoek verstuurd. Afhankelijk van het systeem kan dat verzoek informatie bevatten over het IP-adres, het apparaattype, het besturingssysteem, de advertentie-identificatie en soms locatiegegevens.

Advertentiebeurzen en tussenplatforms gebruiken deze informatie om te bepalen welke advertenties geschikt zijn voor een bepaalde gebruiker. Adverteerders kunnen vervolgens bieden om hun advertentie aan die gebruiker te tonen.

Dit systeem is efficiënt, maar deelt ook gegevens met verschillende partijen. Wanneer de controle op die partijen tekortschiet, kan dezelfde infrastructuur worden misbruikt voor surveillance en gerichte cyberaanvallen.

Volgens het onderzoek maakte Discover-Tech gebruik van deze mogelijkheden om apparaten te profileren en geselecteerde doelwitten te bereiken.

Waarom een onschuldige advertentie toch een risico kan vormen

Een belangrijk kenmerk van de beschreven methode is dat advertenties niet noodzakelijk zelf herkenbare kwaadaardige code bevatten.

Een advertentie kan er normaal uitzien en ondertussen een technisch verzoek versturen waarmee informatie over het apparaat wordt verzameld. De achterliggende server kan vervolgens bepalen of het apparaat interessant is voor verdere actie.

Voor de meeste gebruikers kan de advertentie onschuldig blijven. Alleen geselecteerde apparaten kunnen mogelijk worden blootgesteld aan aanvullende kwaadaardige functionaliteit.

Daardoor kunnen traditionele beveiligingsscanners de advertentie als onschuldig beoordelen. Zij zien immers vaak dezelfde banner als de gewone gebruiker, terwijl het achterliggende systeem selectief kan reageren.

Een advertentieweergave betekent overigens niet dat een apparaat is geïnfecteerd. Voor een daadwerkelijke spyware-infectie is doorgaans aanvullende kwaadaardige functionaliteit nodig, bijvoorbeeld code die misbruik maakt van een kwetsbaarheid in software.

De term zero-click verwijst naar aanvallen waarvoor het slachtoffer niet eerst op een link hoeft te klikken of bewust een verdachte handeling hoeft uit te voeren. De advertentie kan daarbij dienen als onderdeel van de infrastructuur waarmee een doelwit wordt bereikt of geselecteerd.

De mogelijke rol van commerciële spyware

De onderzoekers brachten de advertentie-infrastructuur in verband met de bredere commerciële spyware-industrie, waaronder de leverancier Candiru.

Commerciële spionagesoftware, ook wel mercenary spyware genoemd, wordt gebruikt om geselecteerde personen te bespioneren. Afhankelijk van de software en de verkregen toegang kan zij communicatie, bestanden, locatiegegevens en andere informatie op een gecompromitteerd apparaat verzamelen.

Journalisten, diplomaten, overheidsmedewerkers, mensenrechtenactivisten en andere personen met toegang tot gevoelige informatie kunnen bijzonder interessante doelwitten zijn.

Het onderzoek vermeldt ook een spyware-infectie bij apparaten van de internationale nieuwsorganisatie Al Jazeera die in verband werd gebracht met Candiru.

Dat bewijst niet dat iedere advertentie van Discover-Tech spyware bevatte of dat alle organisaties die door de advertenties werden bereikt, zijn gehackt. Het laat wel zien waarom het misbruik van advertentie-infrastructuur ernstige gevolgen kan hebben wanneer het wordt gecombineerd met gerichte surveillance.

Gebrekkige leverancierscontrole

Een van de belangrijkste problemen is dat Discover-Tech volgens de onderzoekers gedurende langere tijd toegang had tot het advertentie-ecosysteem, terwijl het zich presenteerde als een reguliere leverancier.

Een certificering of goedkeuringsstatus biedt echter geen absolute garantie voor betrouwbaarheid. Wanneer leveranciers vooral worden gecontroleerd op basis van bedrijfsgegevens en zelfverklaringen, kunnen kwaadwillende partijen mogelijk door de controle heen komen.

Daar komt bij dat advertenties vaak via meerdere tussenpersonen worden verspreid. Iedere partij kan ervan uitgaan dat een andere partij de noodzakelijke controles uitvoert. Hierdoor kunnen belangrijke tekortkomingen onopgemerkt blijven.

De zaak laat zien dat advertentieplatforms niet alleen nieuwe klanten moeten controleren, maar ook het gedrag van bestaande leveranciers voortdurend moeten bewaken.

Ook de privacyregels bieden op zichzelf geen volledige bescherming. Toestemming voor gegevensverwerking betekent niet dat een bedrijf die gegevens onbeperkt mag gebruiken of dat iedere daaropvolgende verwerking rechtmatig is. De AVG vereist dat persoonsgegevens volgens de toepasselijke wettelijke voorwaarden worden verwerkt.

Welke gegevens kunnen worden verzameld?

Advertentieplatforms kunnen, afhankelijk van hun configuratie en de beschikbare toestemmingen, verschillende soorten informatie verwerken:

• IP-adressen: kunnen informatie geven over een netwerkverbinding en een globale locatie helpen afleiden.
• Advertentie-identificaties: kunnen worden gebruikt om activiteiten aan hetzelfde mobiele apparaat te koppelen.
• Apparaatkenmerken: informatie over het besturingssysteem, de browser en andere technische eigenschappen kan helpen een apparaat herkenbaar te maken.
• Locatiegegevens: kunnen inzicht geven in verplaatsingen en dagelijkse patronen, wanneer zulke gegevens beschikbaar zijn.

Door verschillende gegevensbronnen te combineren, kan een profiel ontstaan dat meer onthult dan ieder afzonderlijk gegeven. Ook zonder directe toegang tot iemands naam kan het mogelijk zijn om een apparaat te herkennen of activiteiten met elkaar in verband te brengen.

Een VPN kan het oorspronkelijke IP-adres voor bepaalde externe partijen afschermen, maar voorkomt niet automatisch tracking via advertentie-identificaties of andere apparaatkenmerken.

Wat kunnen organisaties doen?

Organisaties moeten advertentieverkeer behandelen als een mogelijk risico binnen hun bredere beveiligingsbeleid. Vooral zakelijke smartphones verdienen aandacht, omdat advertenties niet alleen via browsers maar ook rechtstreeks in mobiele apps worden weergegeven.

Belangrijke maatregelen zijn:

1. Advertenties blokkeren waar mogelijk. Dwing via centraal beleid advertentieblokkering en trackingbescherming af in beheerde browsers.
2. Tracking beperken. Gebruik apparaatbeheer (MDM) om beschikbare privacy-instellingen te configureren en advertentie-identificaties waar mogelijk uit te schakelen.
3. Netwerkverkeer controleren. Blokkeer bekende schadelijke domeinen via DNS-beveiliging of een secure web gateway en onderzoek afwijkende verbindingen.
4. Applicaties beperken. Gebruik goedgekeurde applicatielijsten en beperk onnodige advertentiegedreven apps op apparaten met vertrouwelijke bedrijfsgegevens.
5. Software bijwerken. Installeer beveiligingsupdates voor besturingssystemen, browsers en applicaties tijdig.
6. Hoogrisicogebruikers extra beschermen. Overweeg voor geschikte Apple-apparaten van personen die mogelijk doelwit zijn van geavanceerde aanvallen de Lockdown Mode.
7. Leveranciers strenger controleren. Beoordeel niet alleen certificeringen, maar ook gegevensverwerking, technische beveiliging, zakelijke relaties en afwijkend gedrag.

Beveiligingsteams kunnen daarnaast DNS- en proxylogs onderzoeken op domeinen die in het onderzoek zijn genoemd. Een afwijkende verbinding is niet automatisch bewijs van een infectie, maar kan aanleiding geven tot nader onderzoek.

Wat kunnen individuele gebruikers doen?

Ook gebruikers kunnen hun risico beperken:

• Houd je telefoon, browser en apps up-to-date.
• Beperk advertentietracking via de privacy-instellingen van je apparaat.
• Gebruik een browser met ingebouwde trackingbescherming en eventueel een betrouwbare advertentieblokker.
• Installeer alleen apps die je nodig hebt en controleer welke machtigingen ze vragen.
• Wees kritisch op applicaties die onnodig toegang willen tot gevoelige gegevens.

Het uitschakelen van advertentie-identificaties kan bepaalde vormen van tracking en specifieke aanvalsmethoden bemoeilijken. Het voorkomt echter niet alle apparaatidentificatie of spyware-infecties.

Ook symptomen zoals ongewoon batterijverbruik, warmteontwikkeling of verhoogd dataverbruik bewijzen op zichzelf niet dat een apparaat is geïnfecteerd. Geavanceerde spyware kan bovendien moeilijk te herkennen zijn. Bij een concreet risico is deskundig beveiligingsonderzoek verstandiger dan uitsluitend vertrouwen op zichtbare symptomen.

Conclusie: behandel advertentienetwerken als externe partijen die controle vereisen

De zaak rond AdFection toont hoe advertentie-infrastructuur kan worden misbruikt om gebruikers op grote schaal te profileren en geselecteerde doelwitten mogelijk bloot te stellen aan commerciële spionagesoftware.

Het probleem is niet dat iedere online advertentie gevaarlijk is. Het risico ontstaat wanneer omvangrijke gegevensverzameling, geautomatiseerde advertentieveilingen en onvoldoende leverancierscontrole samenkomen.

Voor gebruikers betekent dit dat privacy-instellingen, actuele software en zorgvuldig appgebruik belangrijk blijven. Organisaties moeten daarnaast ook advertentieverkeer en mobiele applicaties meenemen in hun beveiligingsbeleid.

De advertentie-industrie zelf moet strengere leverancierscontroles, voortdurende monitoring en meer transparantie over gegevensstromen invoeren.

Door: Drifter