Discover-Tech-advertenties verspreidden Candiru-spyware

Een Israëlisch bedrijf dat zich voordeed als advertentiebureau gebruikte gerichte online advertenties om wereldwijd zero-click spyware bij mensen af te leveren. Dat blijkt uit nieuw onderzoek van het Citizen Lab en Confiant.

Het Citizen Lab is een onderzoeksinstituut voor digitaal forensisch onderzoek. Confiant is een cybersecuritybedrijf dat zich richt op advertentietechnologie. Beide deden parallel onderzoek naar Discover-Tech en ontdekten dat de advertenties van het bedrijf werden gebruikt om apparaten van minstens 45 journalisten van Al Jazeera te infecteren.

Via dezelfde infrastructuur kwamen advertenties ook terecht in de interne netwerken van tientallen overheidsinstanties en internationale organisaties. Het rapport vermeldt niet hoeveel apparaten van functionarissen zijn gecompromitteerd. Volgens het Citizen Lab verschenen Discover-Tech-advertenties op apparaten in "netwerken die gevoelig zijn voor de nationale veiligheid, over de hele wereld", waaronder die van de NAVO.

Confiant analyseerde zelfstandig targetinggegevens. Het bedrijf vond aanwijzingen dat de kwaadaardige advertenties werden weergegeven op netwerken van het Amerikaanse ministerie van Defensie, de Estse Information System Authority (RIA), het Internationaal Atoomenergieagentschap (IAEA) en het Internationaal Strafhof. RIA is de Estse overheidsinstantie die verantwoordelijk is voor de informatiesystemen en de cybersecurity van het land.

Candiru als klant

Volgens het rapport werkte Discover-Tech samen met Candiru, een Israëlische leverancier van spyware. Het product van Candiru wordt al lange tijd gebruikt om leden van het maatschappelijk middenveld te bespioneren, en het Amerikaanse ministerie van Handel zette het bedrijf in 2021 op de zwarte lijst.

Volgens de onderzoekers schakelde Candiru Discover-Tech in om de advertenties te draaien en gebruikte het die om journalisten van Al Jazeera en anderen te viseren. In het rapport staat dat de advertenties "miljoenen apparaten heimelijk contact lieten maken met de servers van Candiru, waarschijnlijk voor grootschalige tracking en verkenning."

Candiru was niet de enige spywareleverancier op de klantenlijst. Het Citizen Lab zegt dat Discover-Tech ook samenwerkte met andere Israëlische spywarebedrijven en hun toegang gaf tot advertentieplatforms van Google en het Russische Yandex. Google en andere grote platforms hebben het bedrijf sinds de publicatie van het onderzoek geblokkeerd.

Infectie zodra de advertentie laadt

Het platform van Discover-Tech heet Controlium. Volgens het rapport stelt het spywareklanten in staat om "apparaten te deanonimiseren, te fingerprinten en automatisch te infecteren op het moment dat een advertentie wordt weergegeven - een vorm van zero-click-aanval, waarbij apparaten automatisch kunnen worden geïnfecteerd wanneer een advertentie aan de gebruiker wordt getoond."

Deanonimiseren betekent hier dat versleutelde of gepseudonimiseerde gegevens worden vergeleken met openbare gegevens, totdat een specifieke persoon kan worden geïdentificeerd.

Wanneer een doelwit dat al is geïdentificeerd een pagina opent met een van de advertenties van het bedrijf, voert Discover-Tech automatisch kwaadaardige JavaScript uit. De onderzoekers zeggen dat deze opzet voorkomt dat "kwaadaardige code, of zelfs verwijzingen naar kwaadaardige code, rechtstreeks wordt gedeeld met de bedrijven die de advertenties aanbieden en weergeven." Advertentienetwerken die de content tonen, hebben daardoor weinig om te controleren.

Het Citizen Lab onderzocht vier miljard records van advertentieplaatsingen door Discover-Tech. In slechts vier maanden tijd zouden de advertenties zijn getoond in Android- en iOS-apps en op bijna 200.000 unieke websites.

Nadat een apparaat is geïnfecteerd, kunnen spywareoperators via Controlium gesprekken opnemen, de microfoon inschakelen en berichten en e-mails buitmaken. Naast overheidsfunctionarissen zou het platform ook zijn ingezet tegen verslaggevers, dissidenten en ambassadepersoneel.

Een brug naar het advertentie-ecosysteem

Het rapport omschrijft Discover-Tech als een "brug tussen advertentieleveranciers en het ecosysteem van huurlingenspyware." En verder: "Het lijkt er zelfs op dat het vervullen van deze brugfunctie het voornaamste doel van Discover-Tech is."

Met dit model omzeilen spywareoperators twee hindernissen waar ze doorgaans tegenaan lopen. De eerste is de regel dat alleen overheidsfunctionarissen de software mogen kopen. De tweede is de noodzaak om een doelwit te verleiden op een link te klikken of een bestand te openen.

Onderzoekers hadden al eerder gesuggereerd dat advertentietechnologie kon worden misbruikt voor spionage. De nieuwe bevindingen zijn veel gedetailleerder, en volgens de onderzoekers is het de eerste keer dat iemand technisch bewijs heeft verzameld dat die vermoedens onderbouwt.

Een tweede actor: Dark Cartographer

Spywareleveranciers zijn niet de enige klanten. De onderzoekers identificeerden nog een dreigingsactor, die ze Dark Cartographer noemen. Die gebruikt de software van Discover-Tech om zwakke plekken bij mobiele providers te misbruiken en advertentie-ID's van apparaten aan telefoonnummers te koppelen. Volgens het rapport maakte dit massale deanonimisering van mensen online mogelijk.

Het Citizen Lab vindt dat het gebrek aan regulering in digitale advertenties moet veranderen.

"Advertentieleveranciers moeten hun cybersecurity en hun vermogen om dreigingen te detecteren flink opschroeven om kwaadwillende adverteerders in de hele toeleveringsketen effectief buiten te sluiten," aldus het rapport. "Ze moeten hun zakenpartners grondig en regelmatig doorlichten, screenen en controleren, en hen verantwoordelijk houden voor hun eigen toeleveringsketens."

Onze analyse

De meeste discussies over spyware draaien om exploitketens die worden verkocht door leveranciers als NSO Group, zoals in onze recente berichtgeving over Pegasus in Polen. Dit onderzoek wijst op iets anders: het afleverkanaal kan een gewone commerciële dienst zijn. Als de bevindingen standhouden, is het kopen van advertentieruimte mogelijk een praktische manier geworden om doelwitten te bereiken die phishingberichten zouden negeren.

De zaak past ook in een breder patroon van misbruik van advertentie-infrastructuur. Criminelen maken al lang gebruik van malvertising, onder meer in recente ClickFix-campagnes die Google Ads misbruiken. Het verschil is dat er hier geen klik nodig is en dat de slachtoffers zorgvuldig worden uitgekozen.

Voor organisaties met gevoelig personeel betekent dit dat adblocking op werkapparaten en -netwerken een beveiligingsmaatregel is, en niet alleen een kwestie van gebruiksgemak. Het is de moeite waard om te volgen of andere advertentieplatforms Google volgen en het bedrijf afsluiten, of toezichthouders gehoor geven aan de oproep van het Citizen Lab om toeleveringsketens door te lichten, en of de instanties die Confiant noemt bevestigde compromitteringen bekendmaken.