Người dùng internet từ lâu đã được khuyến cáo không nhấp vào những quảng cáo đáng ngờ, không mở tệp đính kèm lạ và không truy cập các đường dẫn không rõ nguồn gốc để hạn chế nguy cơ nhiễm mã độc. Tuy nhiên, một nghiên cứu an ninh mạng mới cho thấy những biện pháp thận trọng này có thể chưa đủ để ngăn chặn mọi hình thức tấn công.
Một phương thức tấn công được đặt tên là AdFection có thể lợi dụng hệ thống quảng cáo cá nhân hóa để phát tán phần mềm gián điệp ngay trong quá trình quảng cáo được tải và hiển thị trên thiết bị. Người dùng không nhất thiết phải nhấp vào quảng cáo hay chủ động thực hiện bất kỳ thao tác nào để quá trình tấn công diễn ra.
Theo báo cáo được Citizen Lab, viện nghiên cứu an ninh mạng thuộc Đại học Toronto tại Canada, công bố ngày 15 theo giờ địa phương, công ty quảng cáo DiscoverTech của Israel đã bị xác định có liên quan đến việc sử dụng hệ thống phân phối quảng cáo trực tuyến để phát tán phần mềm gián điệp.
Các nhà nghiên cứu cho biết đây là trường hợp đầu tiên được họ chứng minh và công khai về mặt kỹ thuật liên quan đến việc lợi dụng quảng cáo được cá nhân hóa để thực hiện cuộc tấn công không cần nhấp chuột theo phương thức này.
Vụ việc đáng chú ý bởi quảng cáo trực tuyến vốn được thiết kế để phân phối nội dung phù hợp với từng nhóm người dùng. Khi cơ chế lựa chọn quảng cáo bị lợi dụng, hạ tầng quảng cáo có thể trở thành một kênh tiếp cận mục tiêu mà người dùng khó nhận biết bằng những dấu hiệu thông thường.
DiscoverTech bị cáo buộc lợi dụng hệ thống đấu giá quảng cáo
Theo báo cáo của Citizen Lab, ít nhất 45 thiết bị thuộc sở hữu của những người liên quan đến Al Jazeera, đài truyền hình có trụ sở tại Qatar, đã trở thành mục tiêu trong khoảng thời gian từ năm 2024 đến năm 2025.
Chiến dịch được cho là sử dụng cơ chế đấu giá quảng cáo theo thời gian thực, thường được gọi là real-time bidding (RTB). Đây là công nghệ phổ biến trong ngành quảng cáo số, cho phép các bên mua quảng cáo cạnh tranh để giành quyền hiển thị nội dung trên một vị trí quảng cáo cụ thể.
Quy trình này thường diễn ra tự động chỉ trong thời gian rất ngắn. Khi người dùng truy cập một trang web hoặc ứng dụng có tích hợp quảng cáo, hệ thống sẽ xác định vị trí quảng cáo cần hiển thị và tiến hành đấu giá giữa những bên mua quảng cáo đủ điều kiện.
Bên thắng thầu được quyền phân phối quảng cáo đến thiết bị đang truy cập nội dung. Trong trường hợp được Citizen Lab điều tra, DiscoverTech được cho là đã tận dụng chính quy trình này để tiếp cận những thiết bị nằm trong danh sách mục tiêu.
Điểm khác biệt nằm ở cách quảng cáo được sử dụng. Thay vì chỉ hiển thị nội dung tiếp thị, quá trình tải quảng cáo được cho là đã trở thành phương tiện chuyển các lệnh hoặc thành phần độc hại đến thiết bị được lựa chọn.
Điều đó khiến cuộc tấn công khó nhận biết hơn so với những hình thức lừa đảo truyền thống, trong đó nạn nhân thường phải nhấp vào đường dẫn, tải xuống tệp hoặc cài đặt một ứng dụng đáng ngờ.
Cuộc tấn công không cần nhấp chuột hoạt động như thế nào?
Cơ chế AdFection được mô tả trong báo cáo cho thấy một hệ thống quảng cáo hợp pháp về mặt chức năng có thể bị lợi dụng để phục vụ mục đích giám sát.
Quá trình tấn công có thể được khái quát qua các bước sau:
Bước 1: Người dùng truy cập trang web hoặc ứng dụng có quảng cáo.
Khi mở một trang web hoặc ứng dụng được tích hợp hệ thống quảng cáo, thiết bị bắt đầu thực hiện những kết nối cần thiết để tải nội dung quảng cáo. Người dùng không cần nhấp vào bất kỳ quảng cáo nào.
Bước 2: Hệ thống quảng cáo xác định thông tin thiết bị.
Theo mô tả của Citizen Lab, trình duyệt hoặc ứng dụng kết nối với máy chủ của DiscoverTech trong quá trình tải quảng cáo và gửi thông tin nhận dạng thiết bị. Những dữ liệu này có thể được sử dụng để xác định liệu thiết bị có thuộc nhóm mục tiêu hay không.
Bước 3: Quảng cáo được phân phối đến thiết bị phù hợp.
Nếu thiết bị đáp ứng các điều kiện nhắm mục tiêu, hệ thống có thể phân phối quảng cáo chứa hoặc đi kèm thành phần độc hại. Việc lựa chọn mục tiêu diễn ra trong quy trình phân phối quảng cáo thay vì yêu cầu nạn nhân trực tiếp tương tác.
Bước 4: Thành phần độc hại được đưa đến thiết bị.
Báo cáo cho biết các lệnh độc hại được gửi cùng quảng cáo đến những thiết bị mục tiêu. Vì hoạt động này diễn ra trong quá trình tải quảng cáo, người dùng có thể không nhận thấy dấu hiệu bất thường.
Tuy nhiên, cần phân biệt giữa việc một thiết bị tải quảng cáo độc hại và việc thiết bị thực sự bị xâm nhập thành công. Khả năng khai thác phụ thuộc vào cơ chế kỹ thuật cụ thể, phần mềm đang sử dụng, cấu hình bảo mật và các điều kiện liên quan. Không phải mọi lần hiển thị quảng cáo đều đồng nghĩa với việc thiết bị bị nhiễm mã độc.
Điểm đáng lo ngại của AdFection nằm ở khả năng kết hợp giữa nhắm mục tiêu chính xác và phân phối nội dung độc hại tự động. Điều này có thể làm giảm cơ hội để người dùng phát hiện và tránh né cuộc tấn công bằng các biện pháp thông thường.
Phần mềm gián điệp Kandiru được xác định trong chiến dịch
Citizen Lab cho biết tập tin độc hại được phát hiện trong cuộc điều tra có liên quan đến công cụ giám sát của Kandiru, một công ty phần mềm giám sát có nguồn gốc từ Israel.
Theo những phân tích trước đây được đề cập trong báo cáo, phần mềm của Kandiru có khả năng thu thập nhiều loại dữ liệu nhạy cảm trên thiết bị mục tiêu. Những dữ liệu có thể bị nhắm đến bao gồm tệp lưu trữ, mật khẩu và tin nhắn.
Nếu được triển khai thành công, phần mềm gián điệp có thể tạo điều kiện cho bên vận hành theo dõi hoạt động của nạn nhân, thu thập thông tin cá nhân hoặc tiếp cận dữ liệu phục vụ công việc.
Đối với nhà báo, nhân viên truyền thông và những người thường xuyên xử lý thông tin nhạy cảm, nguy cơ này đặc biệt đáng quan tâm. Một thiết bị bị xâm nhập không chỉ ảnh hưởng đến quyền riêng tư của cá nhân mà còn có thể làm lộ nguồn tin, tài liệu nội bộ và các cuộc trao đổi liên quan đến hoạt động nghề nghiệp.
Tuy vậy, báo cáo được cung cấp chưa xác định rõ những dữ liệu cụ thể nào đã bị đánh cắp trong chiến dịch nhắm vào các thiết bị liên quan đến Al Jazeera. Vì vậy, chưa có cơ sở để kết luận toàn bộ các loại dữ liệu nói trên đều đã bị rò rỉ trong vụ việc này.
Cũng cần lưu ý rằng việc phát hiện công cụ gián điệp có liên quan đến một nhà cung cấp không tự động chứng minh mọi hoạt động của công ty đó đều phục vụ chiến dịch tấn công. Phạm vi kết luận cần dựa trên bằng chứng kỹ thuật và những phát hiện cụ thể của cuộc điều tra.
Hơn 120.000 website và 70.000 ứng dụng xuất hiện trong hồ sơ quảng cáo
Một trong những chi tiết đáng chú ý của cuộc điều tra là phạm vi phân phối quảng cáo được cho là có liên quan đến DiscoverTech.
Theo Citizen Lab, phân tích hồ sơ đấu thầu cho thấy quảng cáo của công ty này đã xuất hiện trên hơn 120.000 trang web và hơn 70.000 ứng dụng di động trong giai đoạn từ tháng 3 đến tháng 6 của năm được đề cập trong báo cáo.
Các hồ sơ cũng ghi nhận quảng cáo xuất hiện trong mạng lưới của nhiều bộ quốc phòng, tổ chức quân sự và Tổ chức Hiệp ước Bắc Đại Tây Dương (NATO).
Những thông tin này cho thấy hệ thống phân phối quảng cáo có khả năng tiếp cận một phạm vi rộng lớn, bao gồm cả các môi trường có thể liên quan đến hoạt động chính phủ và quốc phòng.
Tuy nhiên, số lượng trang web và ứng dụng có quảng cáo xuất hiện không thể được hiểu là số lượng thiết bị bị nhiễm mã độc. Tương tự, việc quảng cáo xuất hiện trên một website liên quan đến cơ quan quốc phòng không có nghĩa mọi thiết bị truy cập website đó đều bị tấn công.
Cần phân biệt ba phạm vi khác nhau: nơi quảng cáo được phân phối, những thiết bị được lựa chọn làm mục tiêu và những thiết bị thực sự bị xâm nhập. Đây là các khái niệm riêng biệt và đòi hỏi những bằng chứng khác nhau để xác nhận.
Dù vậy, quy mô phân phối lớn vẫn làm nổi bật thách thức của ngành quảng cáo số. Khi một hệ thống có thể tiếp cận nhiều website và ứng dụng, việc kiểm soát các bên tham gia đấu giá cũng như phát hiện hành vi lạm dụng trở nên phức tạp hơn.
Google chặn DiscoverTech khỏi nền tảng quảng cáo
Sau quá trình điều tra có sự hợp tác của Google, tập đoàn công nghệ này đã chặn quyền truy cập của DiscoverTech vào đầu tháng được đề cập trong báo cáo nhằm ngăn công ty tiếp tục đặt giá thầu hoặc phân phối quảng cáo trên nền tảng giao dịch quảng cáo của Google.
Động thái này cho thấy các nền tảng quảng cáo có thể đóng vai trò quan trọng trong việc hạn chế nguy cơ hạ tầng thương mại bị lợi dụng cho hoạt động giám sát hoặc phát tán phần mềm độc hại.
Các hệ thống quảng cáo số phải xử lý khối lượng lớn yêu cầu phân phối nội dung mỗi ngày. Trong khi đó, cơ chế đấu giá tự động được tối ưu để phản hồi nhanh và phục vụ hàng triệu lượt truy cập. Việc xác minh mọi thành phần quảng cáo, đối tác và hành vi phát sinh vì thế là một thách thức đáng kể.
Nếu một bên mua quảng cáo bị lợi dụng hoặc chủ động sử dụng hệ thống để triển khai nội dung độc hại, nền tảng cần có khả năng phát hiện, điều tra và ngăn chặn hoạt động đó.
Tuy nhiên, việc chặn một công ty khỏi một nền tảng không đồng nghĩa mọi đường phân phối quảng cáo trên internet đều đã được bảo vệ. Các bên vận hành độc hại có thể tìm cách sử dụng những mạng lưới khác, khiến việc chia sẻ thông tin giữa các nền tảng và các tổ chức nghiên cứu an ninh trở nên cần thiết.
Vụ việc cũng cho thấy vai trò của nghiên cứu độc lập trong việc phát hiện những hình thức tấn công không dễ nhận biết bằng các công cụ bảo mật thông thường.
Vì sao AdFection nguy hiểm hơn những quảng cáo độc hại thông thường?
Các chiến dịch phát tán mã độc truyền thống thường dựa vào hành vi của người dùng, chẳng hạn nhấp vào đường dẫn giả mạo, mở tệp đính kèm hoặc cài đặt phần mềm không đáng tin cậy.
Trong khi đó, phương thức tấn công không cần nhấp chuột có thể khai thác các bước xử lý tự động của trình duyệt, ứng dụng hoặc hệ thống quảng cáo. Người dùng có thể thực hiện những thao tác hết sức bình thường mà không biết mình đang tiếp xúc với nội dung nguy hiểm.
Điều này không có nghĩa mọi quảng cáo đều tiềm ẩn nguy cơ lây nhiễm. Phần lớn quảng cáo trực tuyến vẫn được phân phối thông qua các hệ thống thương mại thông thường. Rủi ro phát sinh khi cơ chế này bị khai thác, kết hợp với lỗ hổng kỹ thuật hoặc một phương thức phân phối nội dung độc hại.
Một yếu tố khác khiến AdFection đáng quan tâm là khả năng nhắm mục tiêu. Thay vì phát tán mã độc trên diện rộng một cách ngẫu nhiên, bên tấn công có thể tìm cách tiếp cận những cá nhân hoặc nhóm thiết bị cụ thể.
Phương thức này có thể phù hợp với các chiến dịch giám sát có chủ đích, trong đó mục tiêu không phải lây nhiễm càng nhiều thiết bị càng tốt mà là thu thập thông tin từ một số người được lựa chọn.
Việc sử dụng quảng cáo làm kênh phân phối cũng có thể khiến quá trình điều tra phức tạp hơn, bởi các kết nối tải quảng cáo thường là một phần bình thường trong hoạt động internet hằng ngày.
Người dùng cần làm gì để giảm nguy cơ bị tấn công?
Dù những cuộc tấn công không cần nhấp chuột có thể vượt qua một số biện pháp phòng tránh truyền thống, người dùng vẫn có thể giảm rủi ro bằng cách kết hợp nhiều lớp bảo vệ.
Thường xuyên cập nhật hệ điều hành và ứng dụng. Các bản cập nhật có thể sửa lỗi bảo mật và hạn chế khả năng khai thác những điểm yếu đã được phát hiện. Người dùng nên bật cập nhật tự động khi phù hợp và tránh tiếp tục sử dụng những thiết bị không còn được hỗ trợ bảo mật.
Sử dụng trình duyệt và phần mềm bảo mật đáng tin cậy. Các công cụ bảo mật có thể giúp phát hiện một số hành vi đáng ngờ, chặn nội dung nguy hiểm hoặc cảnh báo về hoạt động bất thường. Tuy nhiên, không nên xem bất kỳ phần mềm nào là giải pháp bảo vệ tuyệt đối trước mọi cuộc tấn công.
Hạn chế cài đặt ứng dụng từ nguồn không xác định. Người dùng nên kiểm tra nhà phát triển, quyền truy cập và nguồn tải ứng dụng. Việc gỡ bỏ ứng dụng không cần thiết cũng giúp giảm bề mặt tấn công.
Thận trọng với những thiết bị xử lý dữ liệu nhạy cảm. Nhà báo, nhân viên tổ chức phi chính phủ, người làm việc trong lĩnh vực chính phủ và các nhóm có nguy cơ bị nhắm mục tiêu cao nên áp dụng chính sách bảo mật nghiêm ngặt hơn, bao gồm quản lý thiết bị, xác thực đa yếu tố và quy trình phản ứng sự cố.
Không chỉ dựa vào việc tránh nhấp quảng cáo. Đây vẫn là một thói quen hữu ích, nhưng không đủ để ngăn mọi hình thức tấn công. Bảo vệ thiết bị cần dựa trên cập nhật phần mềm, cấu hình an toàn, kiểm soát ứng dụng và theo dõi các dấu hiệu bất thường.
Nếu nghi ngờ thiết bị bị xâm nhập, người dùng nên tránh tiếp tục sử dụng thiết bị đó để xử lý tài khoản hoặc thông tin nhạy cảm, đồng thời tìm đến bộ phận an ninh công nghệ thông tin hoặc chuyên gia có khả năng kiểm tra thiết bị. Với trường hợp có nguy cơ giám sát có chủ đích, việc tự ý xóa dữ liệu hoặc cài đặt lại thiết bị có thể làm mất bằng chứng phục vụ điều tra.
AdFection đặt ra thách thức mới cho ngành quảng cáo và an ninh mạng
Vụ việc được Citizen Lab công bố cho thấy ranh giới giữa hệ thống quảng cáo thương mại và hạ tầng có thể bị lợi dụng cho mục đích giám sát không phải lúc nào cũng dễ nhận biết.
Quảng cáo cá nhân hóa được xây dựng để giúp doanh nghiệp tiếp cận đúng khách hàng, trong khi đấu giá thời gian thực giúp tự động hóa quá trình mua bán vị trí quảng cáo. Nhưng khi các cơ chế này bị khai thác, khả năng tiếp cận người dùng trên quy mô lớn có thể trở thành lợi thế cho những chiến dịch tấn công nhắm mục tiêu.
Việc ít nhất 45 thiết bị liên quan đến Al Jazeera bị nhắm mục tiêu, cùng thông tin về công cụ gián điệp Kandiru và quyết định chặn DiscoverTech của Google, cho thấy vấn đề cần được xem xét không chỉ ở cấp độ cá nhân mà còn ở cấp độ nền tảng.
Trong thời gian tới, những yếu tố đáng theo dõi bao gồm kết quả điều tra bổ sung, thông tin về cách thức khai thác kỹ thuật, phạm vi dữ liệu bị ảnh hưởng và khả năng các nền tảng quảng cáo tăng cường quy trình kiểm tra đối tác.
Đối với người dùng, bài học quan trọng là không nên đồng nhất việc không nhấp vào đường dẫn lạ với trạng thái an toàn tuyệt đối. Đối với các nền tảng công nghệ, yêu cầu đặt ra là phải tăng cường giám sát các bên tham gia hệ thống quảng cáo và nhanh chóng ngăn chặn những hành vi có dấu hiệu lạm dụng.
AdFection vì thế không chỉ là câu chuyện về một chiến dịch phần mềm gián điệp. Đây còn là lời cảnh báo về những rủi ro có thể xuất hiện khi hạ tầng quảng cáo số, vốn được thiết kế để vận hành tự động và trên quy mô lớn, trở thành công cụ tiếp cận các mục tiêu nhạy cảm.
Nguồn tham khảo
- Citizen Lab, Đại học Toronto: Báo cáo điều tra về phương thức AdFection và chiến dịch phần mềm gián điệp liên quan đến DiscoverTech.
- Google: Thông tin về biện pháp chặn quyền truy cập nền tảng quảng cáo được đề cập trong báo cáo.
Lưu ý: Các chi tiết về thời điểm, số lượng thiết bị, phạm vi quảng cáo và kết quả điều tra nên được đối chiếu với báo cáo gốc của Citizen Lab trước khi xuất bản.
Câu hỏi thường gặp về AdFection
1. AdFection là gì?
AdFection là tên được Citizen Lab sử dụng để mô tả phương thức tấn công lợi dụng hệ thống quảng cáo cá nhân hóa nhằm phân phối thành phần độc hại đến thiết bị mục tiêu mà không yêu cầu người dùng nhấp vào quảng cáo.
2. Người dùng có thể nhiễm mã độc chỉ vì nhìn thấy quảng cáo không?
Có những phương thức tấn công được thiết kế để hoạt động trong quá trình quảng cáo tải hoặc hiển thị, không cần người dùng nhấp chuột. Tuy nhiên, điều này không có nghĩa mọi quảng cáo đều có thể lây nhiễm mã độc. Khả năng tấn công phụ thuộc vào cơ chế kỹ thuật và điều kiện bảo mật của thiết bị.
3. DiscoverTech có liên quan gì đến vụ việc?
Theo báo cáo của Citizen Lab được mô tả trong nội dung nguồn, DiscoverTech bị xác định có liên quan đến việc sử dụng hệ thống phân phối quảng cáo để phát tán phần mềm gián điệp. Google đã chặn quyền truy cập của công ty vào nền tảng giao dịch quảng cáo của mình. Những kết luận cụ thể cần được hiểu trong phạm vi bằng chứng được báo cáo công bố.
4. Phần mềm gián điệp Kandiru có thể đánh cắp dữ liệu nào?
Các phân tích trước đây được dẫn trong báo cáo cho biết công cụ giám sát liên quan đến Kandiru có thể thu thập tệp, mật khẩu và tin nhắn trên thiết bị mục tiêu. Tuy nhiên, chưa rõ chính xác dữ liệu nào đã bị lấy đi trong chiến dịch nhắm vào các thiết bị liên quan đến Al Jazeera.
5. Có phải hơn 120.000 website và 70.000 ứng dụng đã bị nhiễm mã độc?
Không. Đây là số lượng website và ứng dụng được ghi nhận có quảng cáo của DiscoverTech xuất hiện trong giai đoạn được báo cáo. Con số này không đồng nghĩa với số thiết bị bị nhắm mục tiêu hoặc bị nhiễm mã độc.
6. Làm thế nào để bảo vệ thiết bị trước tấn công không cần nhấp chuột?
Người dùng nên cập nhật hệ điều hành và ứng dụng, sử dụng trình duyệt đáng tin cậy, hạn chế cài phần mềm từ nguồn không xác định và bật các tính năng bảo vệ phù hợp. Những biện pháp này giúp giảm nguy cơ nhưng không bảo đảm loại bỏ hoàn toàn mọi hình thức tấn công.
7. Google đã xử lý vụ việc như thế nào?
Theo nội dung nguồn, Google hợp tác trong cuộc điều tra và chặn DiscoverTech khỏi nền tảng giao dịch quảng cáo của mình nhằm ngăn công ty tiếp tục đặt giá thầu hoặc chạy quảng cáo trên nền tảng đó.
