Израелската рекламна компания Discover-Tech е обвинена в използване на онлайн реклами за проследяване на лица, свързани със сателитната интернет услуга Starlink на SpaceX. Ройтерс съобщи на 27 октомври, че шест запознати с проучването лица са споделили, че изследователи от TrendAI са свързали компанията с необичайно активна рекламна дейност, насочена към потребители на Starlink.
Констатациите пораждат опасения относно това как стандартните рекламни системи могат да разкрият местоположението на хора в чувствителни зони. Твърденията обаче касаят злоупотреба с рекламни данни, а не потвърден пробив в сателитите или мрежата на Starlink. Ролята на Starlink в конфликтни зони прави подобно разкриване критично за хора, чието физическо местоположение би могло да ги изложи на риск.
TrendAI, звено на Trend Micro, публикува своите открития на 15 октомври под кодовото име SHADOW-EARTH-79. Публичният доклад не посочва изрично Discover-Tech. Източници на Ройтерс твърдят, че кодовото име се отнася именно за израелската компания, а пет източника посочват, че правни съображения са накарали ръководството да спести името ѝ.
Онлайн реклами проследяват потребители на Starlink
Предполагаемото проследяване разчита на наддаване в реално време (real-time bidding) — автоматизираните търгове, които определят кои реклами да се визуализират в уебсайтовете и приложенията. По време на тези търгове участниците могат да получават информация за устройствата, включително IP адреси, мрежови идентификатори, рекламни идентификатори, а понякога и данни за геолокация.
Изследователите са анализирали трафика, свързан с мрежовия идентификатор на Starlink, AS14593. Комбинирането на мрежови детайли с постоянни рекламни идентификатори може да помогне на операторите да свържат активността между отделните сесии на сърфиране и да изградят потребителски профили, без да се изисква кликване върху реклама.
TrendAI установи, че SHADOW-EARTH-79 е бил водещият печеливш купувач за наблюдавания рекламен трафик на Starlink в 105 държави. При отделно сравнение той е получил 12,9% от рекламните импресии в Starlink спрямо 2,6% дял от общия трафик, което показва силна концентрация върху потребителите на сателитен интернет.
Важно е да се отбележи, че тези данни описват извадката на TrendAI, а не целия рекламен пазар. Проучването се базира на данни от една платформа за закупуване на реклама. Изследователите предупредиха също, че оценките за държавите, базирани на IP адреси, носят несигурност, включително разлики, засягащи Мианмар и Судан.
Операцията също така се нарежда на първо място сред наблюдаваните купувачи на реклами в Сирия, Либия, Йемен и Южен Судан. Според TrendAI тези модели, наред с реконструираните софтуерни характеристики, насочват към инфраструктура за наблюдение и проследяване, а не към обичайна търговска реклама.
Изследователите са проучили публично достъпни JavaScript пакети, за да възстановят части от клиентския интерфейс на операцията. Те са идентифицирали функции, свързани с деанонимизиране на потребители зад анонимни идентификатори и ръчно инжектиране на скриптове — възможности, съответстващи на събиране на разузнавателна информация.
Отделни разследвания на Citizen Lab и Confiant посочиха Discover-Tech на 15 октомври. Cybersecurity News вече отрази техните заключения в доклад за шпионски софтуер без необходимост от взаимодействие (zero-click), разпространяван чрез онлайн реклами. В тези материали също се подчертава, че получаването на реклама от Discover-Tech не доказва инфектиране на устройството.
По-широката опасност от доверената рекламна инфраструктура беше засегната и при отразяването на компрометирането на рекламната платформа Adform. Този отделен инцидент включваше злонамерени скриптове, а не данни за операцията срещу Starlink, описана тук.
Google, Comcast и други компании заявиха, че са премахнали Discover-Tech от рекламните си платформи след разследванията, съобщи Ройтерс. SpaceX, Discover-Tech и нейният главен изпълнителен директор не отговориха на запитванията на Ройтерс за коментар.
TrendAI препоръчва ограничаване на рекламния трафик на устройства с чувствително предназначение, намаляване на разрешенията, деактивиране на персонализирането на реклами и ограничаване на използването на приложения с рекламна поддръжка. Компанията предупреждава, че инструментите, които просто скриват рекламите, могат да оставят заявките за проследяване активни. Вместо това специалистите по защита трябва да прилагат мерки за сигурност, които спират достигането на чувствителни данни до рекламните системи. Докладът не доказва, че всеки засегнат потребител на Starlink е бил проследен или компрометиран.