Aucun clic requis : comment l’industrie publicitaire est devenue un pipeline pour les logiciels espions mercenaires

Cette annonce que vous venez de faire défiler sur votre téléphone mais que vous avez à peine regardé ou cliqué ? Il peut s’agir de suivre vos mouvements et de collecter vos données, sans que vous ayez à faire quoi que ce soit.

Ce « logiciel espion mercenaire sans clic », surnommé « AdFection », exploite de plus en plus un vaste écosystème de publicité en ligne propice aux abus, selon les chercheurs du Citizen Lab. L’un des principaux acteurs du secteur, Discover-Tech, gère la plate-forme qui permet aux cybercriminels de « profiler avec précision et de désanonymiser » des millions d’utilisateurs, de prendre leurs empreintes digitales et d’infecter automatiquement leurs appareils lorsqu’une publicité est affichée.

Il est troublant de constater que Discover-Tech réussit à se faire passer pour une société de publicité légitime dans l’environnement de vente de publicité en ligne, ont déclaré les chercheurs, répertoriés comme fournisseur « certifié » et « approuvé » par Google et IAB Europe.

Sur une période de quatre mois, les publicités de l’entreprise ont été diffusées sur près de 200 000 sites Web uniques et dans des applications Android/iOS dans des dizaines de pays. En outre, ses publicités ont été présentées sur des réseaux majeurs tels que Google, Yandex et Beeswax, et ont même exploité les cadres de consentement du Règlement général européen sur la protection des données (RGPD) pour cibler les victimes dans l’UE.

Les chercheurs du Citizen Lab ont divulgué leurs conclusions à Google, IAB Europe, Beeswax, Vungle (Liftoff) et Eskimi, qui ont tous pris des mesures pour couper l’accès de Discover-Tech à l’écosystème de la publicité numérique.

« Les abus massifs, les atteintes à la vie privée et la facilitation des attaques de logiciels espions mercenaires par Discover-Tech illustrent les défauts structurels du système de publicité en ligne, qui n’a pas réussi à détecter ou à empêcher les abus », ont prévenu les chercheurs.

Comment AdFection exploite un système largement non protégé

Le marché de la publicité en ligne fonctionne en grande partie via des enchères en temps réel (RTB), des enchères hébergées par des bourses publicitaires. Organisées par des sociétés comme Google, ces activités ont lieu « des centaines de milliards » de fois par jour, expliquent les chercheurs. Lorsqu’une boîte publicitaire apparaît sur une application ou un site Web sur l’appareil d’un utilisateur, elle déclenche immédiatement une demande d’enchère ; les annonceurs soumettent ensuite leurs offres et l’échange accorde au gagnant la possibilité de diffuser son annonce auprès de l’utilisateur en quelques secondes. Ces publicités peuvent contenir des images, des vidéos et, surtout pour les cybercriminels, du code.

Les plates-formes côté demande (DSP) et les plates-formes côté offre (SSP) agissent comme intermédiaires dans le processus, et les données sur des utilisateurs et des appareils spécifiques sont partagées entre les échanges afin que les annonceurs puissent décider s’ils souhaitent diffuser des publicités spécifiques à une personne spécifique, en fonction des identifiants et des caractéristiques de l’appareil telles que l’emplacement précis de l’utilisateur, l’identifiant du cookie, l’identifiant de l’annonce mobile ou l’adresse IP.

« Le système d’enchères est conçu pour permettre de cibler des individus isolés », expliquent les chercheurs. « La totalité des informations glanées lors des enchères publicitaires est très précieuse. » Les entreprises ayant accès aux données d’enchères peuvent suivre les utilisateurs à leur insu, sur les réseaux cellulaires, Wi-Fi et privés virtuels (VPN).

Discover-Tech a efficacement infiltré et connecté l’industrie des logiciels espions à cet écosystème en ligne, qui comprend le tristement célèbre fournisseur de logiciels espions mercenaires israéliens Candiru. Selon les chercheurs, ses partenaires peuvent diffuser des publicités auprès de « utilisateurs de téléphone involontaires de masse » et infecter silencieusement les appareils de cibles sélectionnées.

Lorsque Discover-Tech remporte une enchère, l’une de ses annonces est diffusée vers un site Web ou une application ouverte sur l’appareil d’un utilisateur. Parfois, cela est vu par l’utilisateur ; d’autres fois, ce sont simplement des rendus en arrière-plan.

Bon nombre de ces publicités ont été diffusées sur des appareils connectés à des réseaux sensibles à la sécurité nationale, dans des organisations de sécurité telles que l’OTAN, sur des réseaux associés à des infrastructures critiques et dans des organisations médiatiques du monde entier. Grâce à AdFection, le logiciel espion de Candiru a infecté les appareils du réseau d’information international Al Jazeera.

Les chercheurs ont souligné qu’une impression publicitaire Discover-Tech ne signifie pas qu’un appareil a été infecté par un logiciel espion. Cependant, le fait que l’entreprise ait pu soumissionner et diffuser des publicités sur des réseaux publicitaires tentaculaires met en évidence un « risque systémique » justifiant une « enquête urgente ».

Manque de contrôle

Les publicités de Discover-Tech ne comportaient aucun exploit, a noté Frank Dickson de Dickson Research. « L’annonce était propre ; c’est ce qui est effrayant. Personne n’a cliqué sur quoi que ce soit. »

Au lieu de cela, chaque annonce appelait chez elle avec l’identifiant publicitaire et l’adresse IP de l’appareil. Dans presque tous les cas, le serveur n’a rien renvoyé, a souligné Dickson ; seules les cibles choisies ont reçu du code malveillant.

« Les scanners de vérification tiers ont vu une bannière inoffensive, car pour presque tous les spectateurs, il s’agissait d’une seule bannière », a-t-il déclaré. C’est exactement ainsi que les balises ont échappé à la vérification.

La portée est également alarmante : les publicités de Discover-Tech ont été diffusées dans 75 373 applications et 120 768 sites Web au cours d’une période de quatre mois, et ont eu des impressions sur les réseaux appartenant à l’OTAN, Intel, Microsoft et Apple. Même si le rapport souligne qu’une impression n’est pas une infection, le ciblage de l’entreprise a clairement atteint les réseaux d’entreprise, a déclaré Dickson.

Le badge est tout aussi troublant : Discover-Tech était répertorié comme fournisseur certifié ou approuvé depuis des années. Le rapport indique que le contrôle équivaut souvent à une auto-attestation, une case cochée sur un formulaire. « Une certification n’est aussi bonne que le contrôle qui la sous-tend », a déclaré Dickson.

Mesures que les entreprises devraient prendre dès maintenant

Sur les navigateurs gérés, les bloqueurs de publicités sont nécessaires, mais ils ne sont pas totalement suffisants, a déclaré Dickson. De nombreuses offres Discover-Tech concernaient des publicités dans des applications mobiles, généralement négligées par les extensions de navigateur. Mais il est clair que les ordinateurs de bureau sont également en jeu ; Candiru a ciblé le logiciel Windows d’Al Jazeera.

Dickson a conseillé aux entreprises de :

• Transmettez une extension de blocage des publicités approuvée aux navigateurs gérés via une politique plutôt que de laisser aux utilisateurs le soin de l’installer.
• Privilégiez les navigateurs dotés d’une protection intégrée contre le pistage.
• Bloquer les domaines publicitaires et de suivi au niveau du DNS ou de la couche de passerelle Web sécurisée ; cela atteint les publicités intégrées aux applications sur les téléphones gérés.
• Désactivez les identifiants publicitaires sur les appareils mobiles d’entreprise via la gestion des appareils mobiles (MDM) et restreignez les applications grand public financées par la publicité sur les appareils contenant des données sensibles.
• Activez le mode de verrouillage d’Apple pour les dirigeants, les journalistes et tous les utilisateurs à haut risque voyageant dans des endroits sensibles.
• Gardez les navigateurs et les systèmes d’exploitation corrigés « La publicité n’est que le camion de livraison ; l’exploit a encore besoin d’une faille », a-t-il souligné.
• Surveillez le trafic lié aux impressions publicitaires pour les demandes de suivi étranges.
• Enfin, recherchez les journaux du système de noms de domaine (DNS) et du proxy pour les domaines publiés dans le rapport.

L’identification publicitaire en particulier mérite un examen attentif, a souligné Dickson. Le rapport du Citizen Lab indique que le seul blocage des identifiants publicitaires aurait stoppé cette méthode d’attaque.

Il est troublant de constater que de nombreuses entreprises dépensent des fortunes pour gérer l’identité de leurs utilisateurs, puis laissent les téléphones d’entreprise transmettre cet identifiant persistant à des enchères anonymes qui se déroulent des centaines de milliards de fois par jour.

« Chaque publicité est le code de quelqu’un d’autre exécuté sur votre appareil », a déclaré Dickson. « Traitez le réseau publicitaire comme n’importe quel autre fournisseur non fiable. »