Citizen Lab hat am 15. Oktober gezielte Spyware-Angriffe über Onlinewerbung unter dem Namen AdFection dokumentiert. Das Forschungsinstitut der Universität Toronto ordnet Infektionen bei Al Jazeera mit hoher Sicherheit der Spionagesoftware von Candiru zu. Eine Interaktion mit der Anzeige sei dafür nicht erforderlich gewesen. Die Aussagen beruhen auf der Untersuchung des Forschungsteams, nicht auf einer eigenen forensischen Prüfung.
Als Verbindung zwischen Werbesystemen und Spionagesoftware beschreibt Citizen Lab das Unternehmen Discover-Tech und dessen Plattform Controlium. Eine zunächst unauffällige Anzeige übermittelt demnach Kennungen und die IP-Adresse eines Geräts. Wird es als Ziel ausgewählt, lädt die Infrastruktur zusätzlichen JavaScript-Code nach. Dieser kann anschließend einen Exploit ausliefern. Der Schadcode muss deshalb nicht bereits vollständig in der ursprünglich geprüften Anzeige stehen.
Reichweite der Anzeigen ist nicht die Zahl infizierter Geräte
Für einen Zeitraum von vier Monaten werteten die Forscher rund vier Milliarden Datensätze zu Anzeigengeboten aus. Discover-Tech-Anzeigen seien auf fast 200.000 unterschiedlichen Websites und Android- beziehungsweise iOS-Apps erschienen. Millionen Geräte hätten Kontakt mit zugeordneten Servern aufgenommen. Die Zusammenfassung der Untersuchung trennt solche Kontakte ausdrücklich von bestätigten Infektionen: Eine ausgespielte Anzeige allein belegt weder eine Auswahl als Angriffsziel noch eine erfolgreiche Installation von Spyware.
Der Befund betrifft damit auch die technische Lieferkette werbefinanzierter Anwendungen. Externe Anzeigen sind nicht zwangsläufig bloße Bilddateien, sondern können nachgeladenen Code enthalten. Daraus folgt jedoch kein Nachweis, dass Xbox-Dienste oder ein bestimmtes Spiel kompromittiert wurden. Einen solchen Befund nennt die Untersuchung nicht.
Werbeplattformen sperren Zugänge
Google und Beeswax haben Discover-Tech nach Angaben der Untersuchung von ihren Werbesystemen ausgeschlossen. IAB Europe entfernte den Anbieter aus seinem Verzeichnis. Liftoff, Betreiber von Vungle, teilte Citizen Lab mit, den Zugang für eine eigene Prüfung pausiert zu haben. Das Unternehmen bestätigte damit nicht sämtliche konkreten Vorwürfe des Berichts. Discover-Tech und Candiru hatten auf die Anfragen der Forscher innerhalb der gesetzten Frist nicht geantwortet.
Citizen Lab empfiehlt Organisationen, Werbung und Tracking sowohl auf Endgeräten als auch am Netzübergang zu blockieren und externe Werbedienste strenger zu prüfen. Browser mit Werbe- und Trackingfiltern können dabei eine technische Schutzschicht bilden. Das ist keine Zusage vollständigen Schutzes vor jeder Angriffsvariante. Die Forscher fordern zusätzlich bessere Kontrollen innerhalb der Werbelieferkette.