La semana pasada, investigadores de Citizen Lab revelaron una nueva y alarmante campaña de malware, bautizada como “AdFection”. Usaba una red publicitaria para distribuir software espía en los dispositivos de periodistas e infectarlos sin que la víctima tuviera que hacer clic en nada. Este tipo de ataque contra periodistas es peligroso y sumamente preocupante, sobre todo porque se apoya en una tecnología a la que ya nos oponemos: la publicidad conductual. Aunque hasta ahora solo se ha documentado este tipo de ataque contra periodistas, sin importar quién seas puedes seguir algunos pasos, que detallamos en la siguiente sección, para reducir el riesgo.
Varios factores se combinaron para que este ataque fuera un caso inédito y digno de atención. Primero, aprovechó el ecosistema de tecnología publicitaria basado en la vigilancia para dirigir el código malicioso a objetivos específicos. Segundo, el software espía que distribuía era de los llamados “sin clic” (zero-click), es decir, no requería ninguna interacción del usuario para infectar el dispositivo: basta con que se muestre el anuncio y se ejecute el código que viene con él, algo que ocurre automáticamente. Ni la publicidad maliciosa (malvertising) ni los ataques sin clic son nuevos por sí solos. Lo novedoso del ataque AdFection es que los combina, lo que da como resultado un ataque muy dirigido y extremadamente peligroso, difícil de prevenir y aún más difícil de detectar.
Veamos más de cerca qué ocurrió desde la perspectiva de uno de los dispositivos Windows que Al Jazeera entregó a los investigadores. Así describe el informe el proceso de infección:
- A alguien que navega por la web o usa una aplicación en ese equipo se le muestra un anuncio creado por Discover-Tech, una empresa que, según expone el informe, “se presenta como una empresa de publicidad legítima, [pero] parece ser una fachada para un abuso de espionaje publicitario a gran escala”.
- El anuncio contiene un pequeño fragmento de código JavaScript que se ejecuta automáticamente al mostrarse en la aplicación o el sitio web.
- Este código se comunica con un servidor de Discover-Tech, al que llaman su “servidor NOAS”, y le envía información detallada sobre el equipo que lo muestra: su identificador publicitario almacenado en cookies, su dirección IP y más.
Hasta aquí, no ha pasado nada particularmente inusual. Los anuncios que contienen código JavaScript y se comunican con sus servidores para enviarles abundante información sobre tu dispositivo (y, por extensión, sobre ti) son algo común. Todo forma parte del ecosistema publicitario basado en datos. Lo que sucede después es lo interesante:
- El servidor NOAS usa esa información detallada para determinar que el equipo que solicita el anuncio pertenece a Al Jazeera.
- En lugar de devolver una respuesta vacía (como hace la mayoría de las veces), responde con una carga útil maliciosa de software espía sin clic. Esa carga útil fue creada por Candiru/Integrity Labs, socia de Discover-Tech, una empresa que ya había sido expuesta anteriormente por su participación en ataques sofisticados con malware.
- Luego, la carga útil se ejecuta e infecta el equipo atacado.
Que haya empresas que dirigen ataques de malware sin clic contra periodistas puede parecer la trama de una superproducción de espías. Pero este ataque fue posible gracias a las prácticas cotidianas de las empresas de tecnología publicitaria, que lamentablemente tienen un margen enorme para recopilar datos de los usuarios. Al aprovechar los identificadores de rastreo y los datos recopilados en los dispositivos con el fin de mostrar anuncios dirigidos a personas concretas, las empresas mercenarias de software espía pueden reutilizar esos datos para afinar a quién infectan, y ocultarle al resto que lo están haciendo.
La mayoría de los anuncios no los entregan directamente quienes los crean, sino intermediarios que facilitan subastas de puja en tiempo real (Real-Time Bidding). Aun así, quienes ganan la puja obtienen la capacidad de ejecutar código JavaScript en el navegador de la persona que recibe el anuncio dirigido. Esto permite mostrar anuncios interactivos, pero también (como hemos visto) comprometer un dispositivo con solo entregarle código malicioso.
Si bien los distintos componentes de esta cadena de ataque no son nuevos por sí solos, que se haya expuesto este ataque combinado es importante porque revela una técnica para seleccionar con extrema precisión a personas y organizaciones a las que infectar. Por suerte, hay medidas que puedes tomar para protegerte de la multitud de peligros que plantea la industria del rastreo publicitario. Te contamos cómo.
Qué puedes hacer al respecto
Mientras trabajamos para lograr soluciones de fondo en el ecosistema publicitario y la prohibición total de la publicidad conductual en línea, a todos nos toca protegernos. Esto es especialmente importante para personas en mayor riesgo o periodistas que trabajan en países con fuerte vigilancia. Citizen Lab describe varias medidas, según tu modelo de amenazas, que puedes tomar para protegerte:
- Sigue algunos pasos sencillos para proteger tus dispositivos desde ya.
- Establece bases de seguridad sólidas. Sitios como nuestra guía Autodefensa contra la Vigilancia y el Security Planner de Consumer Reports pueden ayudarte a empezar.
- Usa una extensión de navegador para reducir el rastreo. Nuestra extensión Privacy Badger es un excelente punto de partida. También vale la pena considerar servicios de bloqueo de anuncios para toda la red, si te sientes cómodo con el proceso de configuración.
- En los teléfonos celulares, desactiva o restablece tu identificador de publicidad. Aquí tienes las instrucciones para hacerlo en Android y en iPhone.
- Considera usar navegadores que protejan mejor tu privacidad.
Estas medidas pueden ser muy útiles para protegerte, pero lo que puedes hacer como individuo tiene un límite. Prohibir la publicidad conductual como esta sería un buen punto de partida. La publicidad conductual no es solo una pesadilla para la privacidad por diseño: es el vehículo perfecto para la publicidad maliciosa y amenazas similares, tal como vemos aquí.
