Discover-Tech-Werbung lieferte Candiru-Zero-Click-Spyware

Ein israelisches Unternehmen, das sich als Werbefirma ausgab, hat gezielte Online-Anzeigen genutzt, um Zero-Click-Spyware an Menschen in aller Welt auszuliefern. Das geht aus neuen Untersuchungen von Citizen Lab und Confiant hervor.

Citizen Lab ist ein Forschungsinstitut für digitale Forensik. Confiant ist ein Cybersicherheitsunternehmen, das sich auf Werbetechnologie spezialisiert hat. Beide untersuchten Discover-Tech parallel und fanden heraus, dass mit den Anzeigen des Unternehmens Geräte von mindestens 45 Journalisten von Al Jazeera infiziert wurden.

Über dieselbe Infrastruktur gelangten Anzeigen auch in die internen Netzwerke Dutzender Regierungsbehörden und internationaler Organisationen. Wie viele Geräte von Amtsträgern kompromittiert wurden, geht aus dem Bericht nicht hervor. Laut Citizen Lab tauchten Discover-Tech-Anzeigen auf Geräten in "für die nationale Sicherheit sensiblen Netzwerken auf der ganzen Welt" auf, darunter bei der NATO.

Confiant wertete eigenständig Targeting-Daten aus. Dabei fanden sich Hinweise darauf, dass die schädlichen Anzeigen in Netzwerken des US-Verteidigungsministeriums, der estnischen Behörde für Informationssysteme (RIA), der Internationalen Atomenergiebehörde (IAEA) und des Internationalen Strafgerichtshofs ausgespielt wurden. Die RIA ist die estnische Staatsbehörde, die für die Informationssysteme und die Cybersicherheit des Landes zuständig ist.

Candiru als Kunde

Dem Bericht zufolge arbeitete Discover-Tech mit Candiru zusammen, einem israelischen Spyware-Anbieter. Mit dem Produkt von Candiru werden seit Langem Angehörige der Zivilgesellschaft ausgespäht, das US-Handelsministerium setzte das Unternehmen 2021 auf die schwarze Liste.

Nach Angaben der Forscher beauftragte Candiru Discover-Tech mit der Schaltung der Anzeigen und nutzte diese, um Journalisten von Al Jazeera und andere ins Visier zu nehmen. Im Bericht heißt es, die Anzeigen hätten "Millionen von Geräten verdeckt dazu gebracht, Kontakt zu den Servern von Candiru aufzunehmen, vermutlich zur groß angelegten Überwachung und Aufklärung."

Candiru war nicht der einzige Spyware-Anbieter auf der Kundenliste. Laut Citizen Lab arbeitete Discover-Tech auch mit weiteren israelischen Spyware-Firmen zusammen und verschaffte ihnen Zugang zu den Werbeplattformen von Google und dem russischen Konzern Yandex. Google und andere große Plattformen haben die Firma seit Veröffentlichung der Untersuchung gesperrt.

Infektion beim Laden der Anzeige

Die Plattform von Discover-Tech heißt Controlium. Laut Bericht ermöglicht sie es Spyware-Kunden, "Geräte in dem Moment zu deanonymisieren, per Fingerprinting zu erfassen und automatisch zu infizieren, in dem eine Anzeige dargestellt wird - eine Form des Zero-Click-Angriffs, bei dem Geräte automatisch infiziert werden können, sobald ihnen eine Anzeige angezeigt wird."

Deanonymisierung bedeutet hier, verschlüsselte oder pseudonyme Daten so lange mit öffentlich zugänglichen Daten abzugleichen, bis sich eine bestimmte Person identifizieren lässt.

Öffnet eine bereits identifizierte Zielperson eine Seite, auf der eine Anzeige des Unternehmens läuft, führt Discover-Tech automatisch schädliches JavaScript aus. Den Forschern zufolge vermeidet dieser Aufbau, "schädlichen Code oder auch nur Verweise auf schädlichen Code direkt an die Unternehmen weiterzugeben, die die Anzeigen ausliefern und anzeigen." Die Werbenetzwerke, die die Inhalte ausspielen, haben also kaum etwas, das sie prüfen könnten.

Citizen Lab untersuchte vier Milliarden Datensätze zu Anzeigenschaltungen von Discover-Tech. Innerhalb von nur vier Monaten sollen die Anzeigen in Android- und iOS-Apps sowie auf knapp 200.000 verschiedenen Websites erschienen sein.

Ist ein Gerät infiziert, können Spyware-Betreiber mit Controlium Anrufe aufzeichnen, das Mikrofon einschalten und Nachrichten sowie E-Mails abgreifen. Neben Regierungsvertretern soll die Plattform auch gegen Reporter, Dissidenten und Botschaftspersonal eingesetzt worden sein.

Eine Brücke ins Werbe-Ökosystem

Der Bericht beschreibt Discover-Tech als "Brücke zwischen Werbeanbietern und dem Ökosystem der Söldner-Spyware." Weiter heißt es: "Tatsächlich scheint es der Hauptzweck von Discover-Tech zu sein, als diese Brücke zu dienen."

Dieses Modell umgeht zwei Hürden, vor denen Spyware-Betreiber normalerweise stehen. Die eine ist die Regel, dass nur Regierungsstellen die Software kaufen dürfen. Die andere ist die Notwendigkeit, eine Zielperson dazu zu bringen, auf einen Link zu klicken oder eine Datei zu öffnen.

Forscher hatten schon früher vermutet, dass sich Werbetechnik zum Spionieren missbrauchen lässt. Die neuen Erkenntnisse sind jedoch deutlich detaillierter, und nach Angaben der Forscher ist es das erste Mal, dass jemand technische Belege gesammelt hat, die diesen Verdacht stützen.

Ein zweiter Akteur: Dark Cartographer

Spyware-Anbieter sind nicht die einzigen Kunden. Die Forscher identifizierten einen weiteren Bedrohungsakteur, den sie Dark Cartographer nennen. Er nutzt die Software von Discover-Tech, um Schwachstellen bei Mobilfunkanbietern auszunutzen und Werbe-IDs von Geräten mit Telefonnummern zu verknüpfen. Laut Bericht ermöglichte das eine massenhafte Deanonymisierung von Menschen im Netz.

Citizen Lab fordert, dass sich an der fehlenden Regulierung der Digitalwerbung etwas ändern muss.

"Werbeanbieter müssen ihre Cybersicherheit und ihre Fähigkeiten zur Bedrohungserkennung erheblich verbessern, um bösartige Werbetreibende entlang der gesamten Lieferkette wirksam auszuschließen", heißt es im Bericht. "Sie müssen ihre Geschäftspartner gründlich und regelmäßig überprüfen, durchleuchten und kontrollieren und sie für deren eigene Lieferketten in die Verantwortung nehmen."

Unsere Einschätzung

Die meisten Debatten über Spyware drehen sich um Exploit-Ketten, die Anbieter wie die NSO Group verkaufen, so wie zuletzt in unserem Bericht über Pegasus in Polen. Diese Untersuchung lenkt den Blick auf etwas anderes: Der Übertragungsweg kann ein ganz gewöhnlicher kommerzieller Dienst sein. Sollten sich die Erkenntnisse bestätigen, könnte der Kauf von Werbeplätzen zu einem praktikablen Weg geworden sein, Zielpersonen zu erreichen, die Phishing-Nachrichten ignorieren würden.

Der Fall passt auch in ein größeres Muster des Missbrauchs von Werbeinfrastruktur. Kriminelle setzen schon lange auf Malvertising, etwa bei den jüngsten ClickFix-Kampagnen, die Google Ads missbrauchen. Der Unterschied hier: Es ist kein Klick nötig, und die Opfer werden sorgfältig ausgewählt.

Für Organisationen mit sensiblem Personal heißt das, dass Werbeblocker auf Dienstgeräten und in Firmennetzen eine Sicherheitsmaßnahme sind und nicht bloß eine Frage des Nutzerkomforts. Es lohnt sich zu beobachten, ob andere Werbeplattformen dem Beispiel von Google folgen und die Firma ebenfalls sperren, ob Regulierungsbehörden der Forderung von Citizen Lab nach einer Überprüfung der Lieferketten nachkommen und ob die von Confiant genannten Behörden bestätigte Kompromittierungen öffentlich machen.