研究人员发现了一个利用实时竞价来分析用户画像并有选择性地投送间谍软件的广告操作，暴露出供应商审核方面存在的严重漏洞。
你刚刚在手机上划过却几乎没有留意、更没有点击的那条广告？它可能正在追踪你的行踪并收集你的数据，而你什么都不用做。
据Citizen Lab的研究人员称，这种被称为"AdFection"的"零点击雇佣间谍软件"正越来越多地利用一个庸大且极易被滥用的在线广告生态系统。该领域的一个主要参与者Discover-Tech运营着Controlium平台，该平台允许网络犯罪分子"精确地分析数百万用户的画像并去匿名化"，对他们进行指纹识别，并在展示广告时自动感染其设备。
令人不安的是，研究人员表示，Discover-Tech已成功将自己伪装成整个在线广告销售环境中的合法广告公司，被谷歌和IAB Europe等机构列为"认证"和"批准"的供应商。
在四个月的时间里，该公司的广告在近20万个独立网站以及数十个国家的Android/iOS应用程序中展示。此外，其广告曾通过谷歌、Yandex和Beeswax等主要网络投放，甚至还利用欧盟《通用数据保护条例》（GDPR）的同意框架来定位欧盟境内的受害者。
Citizen Lab的研究人员将调查结果披露给了谷歌、IAB Europe、Beeswax、Vungle（Liftoff）和Eskimi，这些公司均已采取行动切断了Discover-Tech接入数字广告生态系统的渠道。
研究人员警告说："Discover-Tech的大规模滥用、侵犯隐私以及为雇佣间谍软件攻击提供便利，说明了在线广告系统存在结构性缺陷，该系统未能察觉或阻止这种滥用行为。"
AdFection如何利用一个基本不受保护的系统
在线广告市场主要通过实时竞价（RTB）运作，这是由广告交易所举办的拍卖。研究人员解释说，由谷歌等公司运营的这类拍卖每天发生"数千亿"次。当用户设备上的应用程序或网站弹出广告框时，会立即触发一个竞价请求；随后广告商提交出价，交易所在几分之一秒内将向胜出者授予向该用户推送广告的权利。这些广告可以包含图片、视频，而对网络犯罪分子来说最重要的是，还可以包含代码。
需求方平台（DSP）和供给方平台（SSP）在这一过程中充当中介，关于特定用户和设备的数据会在各交易所之间共享，以便广告商根据设备标识符和特征（如用户的精确位置、Cookie ID、移动广告ID或IP地址）来决定是否要向特定个人展示特定广告。
研究人员解释说："该拍卖系统的设计使其能够针对单个个人进行定位。从广告拍卖中获取的信息总量相当有价值。"有权访问拍卖数据的公司可以在用户不知情的情况下，跨蜂窝网络、Wi-Fi和虚拟专用网络（VPN）追踪他们。
Discover-Tech已经有效渗透并将间谍软件行业与这个在线生态系统连接起来，其中包括臭名昭著的以色列雇佣间谍软件供应商Candiru。研究人员表示，其合作伙伴能够投放广告以"大规模分析不知情手机用户的画像"，并悄无声息地感染选定目标的设备。
当Discover-Tech竞价成功后，其一条广告便会被推送到用户设备上打开的网站或应用程序中。有时用户会看到这条广告；有时它只是在后台渲染。
其中许多广告曾展示在涉及国家安全敏感网络的设备上，包括北约等安全机构、与关键基础设施相关的网络，以及全球各地的媒体机构。利用AdFection，Candiru的间谍软件感染了国际新闻网络半岛电视台的设备。
研究人员强调，Discover-Tech的广告曝光并不意味着设备已被间谍软件感染。然而，该公司能够在庸大的广告网络中竞价并展示广告的事实，突显了一个值得"紧急调查"的"系统性风险"。
缺乏审核
Dickson Research公司的弗兰克·迪克森指出，Discover-Tech的广告根本不携带任何漏洞利用程序。"这条广告是干净的，这正是令人恐惧的地方。没有人点击任何东西。"
相反，每条广告都会携带设备的广告ID和IP地址进行"回传"。迪克森强调，几乎在每种情况下，服务器都不会返回任何内容；只有被选中的目标才会收到恶意代码。
他说："第三方验证扫描器看到的是一个无害的横幅广告，因为对几乎每个观看者来说，它确实就是无害的。"这正是这些代码标签能够躲过验证的原因所在。
同样令人担忧的是其覆盖范围：在四个月的时间里，Discover-Tech的广告曾在75373个应用程序和120768个网站中展示，并在属于北约、英特尔、微软和苹果的网络上产生过曝光。尽管报告强调曝光并不等同于感染，但迪克森表示，该公司的定位投放显然已触及企业网络。
同样令人不安的还有其认证徽章：Discover-Tech多年来一直被列为认证或批准的供应商。报告称，审核通常只是一种自我声明，相当于在表格上打了个勾。迪克森说："认证的可靠程度，取决于其背后审核工作的质量。"
企业现在应采取的措施
迪克森表示，在受管理的浏览器上，广告拦截器是必要的，但并不足够。许多Discover-Tech的竞价是针对移动应用内部的广告，这通常会被浏览器扩展程序所忽略。但显然桌面端也同样存在风险；Candiru就曾针对半岛电视台的Windows软件进行攻击。
迪克森建议企业采取以下措施：
通过策略向受管理的浏览器推送经过审核的广告拦截扩展程序，而不是留给用户自行安装。
优先选用内置跟踪保护功能的浏览器。
在DNS或安全网络网关层面屏蔽广告和跟踪域名；这可以覆盖受管理手机上的应用内广告。
通过移动设备管理（MDM）在企业移动设备上禁用广告标识符，并限制在存有敏感数据的设备上使用广告支持型消费应用程序。
为高风险的高管、记者以及前往敏感地区的任何用户开启苹果的锁定模式。
保持浏览器和操作系统的补丁更新。他指出："广告只是运送的卡车，漏洞利用仍然需要一个缺陷才能发挥作用。"
监控与广告曝光相关的异常后续请求流量。
最后，在DNS和代理日志中搜索报告中公布的那些域名。
迪克森特别指出，广告标识符值得认真对待。Citizen Lab的报告指出，仅仅屏蔽广告标识符本就能够阻止这种攻击方式。
他指出，令人不安的是，许多企业在管理用户身份方面投入巨资，却又让企业手机把这个持久性标识符交给每天运行数千亿次的匿名拍卖系统。
迪克森说："每一条广告都是别人的代码在你的设备上运行。要把广告网络当作其他任何不受信任的供应商一样对待。"
