Cuando leí esta mañana el reporte del Citizen Lab tuve una reacción en dos partes: primero la wea buena, el asombro de investigación de primer nivel. Segundo, la wea mala: no necesitas hacer clic en nada para ser espiado. Te alcanza con que un aviso publicitario apareza en la pantalla de tu teléfono.
¿Qué es AdFection?
El Citizen Lab, junto a la firma Confiant, documentó una cadena de ataque que llaman AdFection: spyware mercenario entregado mediante publicidad dirigida, sin un solo clic del usuario. Los dispositivos afectados que confirmaron públicamente pertenecen a la red de noticias Al Jazeera. Detrás de la operación hay una empresa israelí, Discover-Tech, que se presenta como una agencia de publicidad legítima, y el spyware en sí apunta a Candiru, el fabricante mercenario ya sancionado por Microsoft y Google (rebautizado Integrity Labs).
La mecánica es la del ecosistema publicitario mismo. Cada vez que tu teléfono pide un aviso, se remata una subasta en milisegundos (Real Time Bidding) con datos sobre tu dispositivo, tu ubicación aproximada y tu historial. La plataforma Controlium, de Discover-Tech, participaba en esas subastas identificando y tomando fingerprint de los dispositivos blanco y, en el momento exacto en que el aviso se renderizaba, aprovechaba el exploit. Ni descarga, ni phishing, ni clic: el ataque era el aviso.
La escala es lo que más me golpeó: analizaron cuatro mil millones de registros de subasta y determinaron que en cuatro meses los avisos de Discover-Tech aparecieron en casi 200.000 sitios y aplicaciones distintas, en decenas de países. Además, millones de dispositivos fueron dirigidos encubiertamente a servidores de Candiru para rastreo y reconocimiento. Los sistemas de moderación del ecosistema no detectaron nada. Discover-Tech figuraba en listas de vendors certificados y aprobados por Google e IAB Europa, y usaba los marcos de transparencia y consentimiento del GDPR para elegir público dentro de la Unión Europea. De hecho, las víctimas en Al Jazeera estuvieron expuestas por contenido en apps y sitios normales, con avisos que se ven como cualquier otro.
Un problema de diseño, no un zero-day
Lo interesante acá no es la vulnerabilidad que usaron, sino el canal. La publicidad online tiene una estructura de permisos irreal: se subasta código que se ejecuta en tu dispositivo, con identificación precisa del usuario, y eso lo maneja una cadena de intermediarios que no se audita con suficiente rigor. Cuando a eso le agregas la industria del spyware mercenario que busca canales de entrega a escala, el resultado es que las subastas publicitarias se transforman en infraestructura de vigilancia. El Citizen Lab le puso nombre a eso hace años: AdTech Intel (ADINT), y AdFection es la primera confirmación técnica pública de que el modelo funciona en la práctica de extremo a extremo.
Lo malo es que el problema es estructural, no un parche. Los vendors implicados (Google, IAB Europa, Beeswax, Vungle, Eskimi) cortaron el acceso de Discover-Tech después de la divulgación, que es positivo, pero el canal sigue existiendo para el próximo actor. Y la industria publicitaria no tiene un incentivo natural para endurecerse: su negocio es exactamente lo que el ataque usa.
¿Y qué hago yo con esto?
Sería absurdo decir que puedes defenderte del spyware de patrocinadores estatales con un plugin de navegador. Pero sí hay decisiones que reducen superficie, y las que yo aplico son simples:
- Bloqueador de contenido en todos mis equipos. Firefox con uBlock Origin en el escritorio y en Android me ha servido por años, no por ideología sino porque es el canal de entrega de esta clase de ataques.
- El teléfono es el riesgo mayor. El spyware móvil mercenario apunta a los sistemas operativos más cerrados, donde la superficie de bloqueo es menor. Yo mantengo las apps al mínimo y evito dar permiso de red a cosas que no necesitan.
- Para navegación de riesgo, aislamiento. Sesiones de navegador limpias, sin cookies de servicios de uso diario, y perfil separado si voy a visitar un sitio desconocido.
Mi opinión después de leer el reporte completo: el problema no se soluciona del lado usuario. Necesitamos regulación seria sobre el Real Time Bidding y un sistema de certificación que audite de verdad, no listas de vendors aprobados que terminan validando a un facilitador de spyware. Mientras el mercado de vigilancia exista y la publicidad sea el canal de distribución más barato que existe, este tipo de operación se va a repetir. El Citizen Lab recomienda, entre otras cosas, que los reguladores investiguen si Discover-Tech y Candiru violaron leyes aplicables, y eso me parece la vía correcta: lo estructural se arregla con normativa, no con consejos de contraseñas fuertes.
Pero mientras eso llega, cada bloqueador de avisos activo es menos superficie de ataque. Y de paso es más sano para tu atención. Doble win.
Fuente: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware, del Citizen Lab.
Fuente de inspiración: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware
