Ausnutzung von Schwachstellen
Standortverfolgung und Überwachung über Werbeinfrastruktur
Die Gruppe SHADOW-EARTH-79 missbraucht das Ad-Tech-Gebotsverfahren, um bestimmte Zielgruppen in sensiblen Regionen zu erreichen, zu verfolgen und Profile von ihnen zu erstellen. Unsere Analyse zeigt, wie das funktioniert und man Missbrauch erkennt.
Save to Folio
Wichtigste Erkenntnisse
- TrendAI™ Research hat festgestellt, dass Werbeinfrastruktur in großem Umfang für die Standortverfolgung, die Überwachung mittels Werbetechnologie und die Informationsbeschaffung genutzt wird. Die so erhaltenen Daten sind wertvoll für die präzise Ansprache von Schlüsselpersonen an sensiblen Orten, darunter auch aktive Konfliktgebiete.
- „SHADOW-EARTH-79“ ist der mit Abstand größte Bieter für Werbeeinblendungen in 49 Ländern, viele in Reisehinweisen oder Listen gefährlicher Länder aufgeführt. In anderen Ländern fanden zeitnah zu den beobachteten Aktivitäten kritische Ereignisse wie Wahlen statt.
- Die von der Gruppe betriebenen Backend-Systeme wurden anhand von JavaScript-Bundles mithilfe einer KI-gestützten Analyse identifiziert und rekonstruiert, um so die Funktionsweise einer gezielten Werbe-Intelligence-Operation zu verstehen. Die Kombination aus anomaler Zielausrichtung und den beobachteten Merkmalen der „kundenorientierten“ Benutzeroberfläche deutet auf eine Überwachungsplattform zum Tracking und zur gezielten Ansprache hin.
Im Rahmen des Real-Time-Bidding-Prozesses (RTB) werden die Werbeeinblendungen eines Geräts im Rhythmus von Millisekunden versteigert. Dieser klar definierte Prozess bestimmt, welche Werbung täglich auf den einzelnen Computern und Mobilgeräten zu sehen ist. Zur Durchführung der Auktion werden jedem Bieter zusätzliche Informationen über das Gerät bereitgestellt, wie Standort des Geräts, IP-Adresse, Autonomous-System-Nummer (ASN) sowie Gerätekennungen. In Kombination mit der Werbe-ID, dem Klick-Tracking und dem Standortverlauf können die gesammelten Informationen dazu verwendet werden, ein umfassendes Verhaltensprofil der Nutzer zu erstellen. Diese Nutzer sind später Empfänger gezielter Werbung.
Nach Abschluss des RTB-Prozesses und der Ermittlung eines Gewinners, liefert der erfolgreiche Bieter Werbematerialien. Das sind in der Regel Bilddateien, können jedoch auch manipulierte Versionen sein, die die Auslieferung von JavaScript ermöglichen. Dies wiederum ist in der Lage, andere Aktionen auszuführen, wie beispielsweise die Datenerfassung für eine umfassende Profilerstellung und Nutzerüberwachung.
Der missbräuchliche Einsatz digitaler Werbung ist nichts Neues. Malvertising stellt seit mindestens zwei Jahrzehnten eine Bedrohung dar. Im Laufe dieser Zeit hat sich das Werbeökosystem weiterentwickelt, um eine Vielzahl von Betrugsaktivitäten im Zusammenhang mit Online-Werbung zu unterbinden. Auf der Nachfrageseite bleibt jedoch weiterhin Raum für Missbrauch.
Wir haben untersucht, wie Bieter Werbeinformationen nutzen können, um Informationen zu sammeln oder frühe Phasen der Angriffskette zu optimieren. Wir haben die Aktivitätscluster im Zusammenhang mit dieser potenziell böswilligen Überwachung dokumentiert, die Aktivitäten und die unterstützende Infrastruktur eines Ad-Tech-Unternehmens SHADOW-EARTH-79 analysiert.
Daten und Methodik
Die Ergebnisse stammen aus Telemetrie-Datenprotokollen von Werbenetzwerken, die in der TrendAI™-Telemetrie erfasst wurden. Die Analyse wurde an einem Datensatz durchgeführt, der sich auf eine einzige Demand-Side-Plattform (DSP) beschränkt, da bei der Analyse anderer DSP-Daten technische Einschränkungen auftraten. Dennoch sind wir der Ansicht, dass unsere Ergebnisse bemerkenswert sind. Um Informationen zu den „Bid Streams“ von Werbeanzeigen zu gewinnen, analysierten wir die Informationen, die während einer Echtzeit-Auktion (Real-Time Bidding) im Rahmen einer Gebotsanfrage übermittelt wurden. Die Ereignisse wurden anschließend nach Land und nach ASN aggregiert. Wir haben zudem eine Teilmenge des Datenverkehrs analysiert, der aus dem Adressraum von SpaceX Starlink (AS14593, „SPACEX-STARLINK“) stammt.
Zielländer (gesamter Datenverkehr)
Laut unseren Daten ist SHADOW-EARTH-79 in 49 Ländern, in denen Werbedaten versteigert werden, der erfolgreichste Bieter. In mehreren Fällen kapert das Unternehmen einen unglaubwürdig hohen Anteil aller Gebote, was nicht mit einem normalen, wettbewerbsorientierten Anzeigenkauf vereinbar ist. Die Gruppe hält nahezu monopolistische Anteile in Ungarn, Israel, Ägypten, Aserbaidschan und Venezuela, wo der Anteil an den Geboten zwischen 72 % und 91 % liegt. Auch in Thailand, Malaysia, Saudi-Arabien und den Vereinigten Arabischen Emiraten weist die Gruppe einen hohen Anteil an Geboten auf.
Starlink (Satelliten-Internet) als Ziel
Im von uns beobachteten Datenverkehr im Starlink-IP-Bereich ist SHADOW-EARTH-79 gemessen am Rohvolumen der zweitgrößte erfolgreiche Bieter. Eine Untersuchung der Statistiken und der Auslastung der Strategie der Gruppe zeigt eine deutliche Tendenz zum Kauf von Anzeigenimpressionen auf Starlink-Adressen im Vergleich zu ihrer Gesamtpräsenz. Betrachtet man die ASNs, über die die Werbeanzeigen geschaltet wurden, so lässt sich deutlich eine Tendenz zu solchen erkennen, die in einigen Ländern zu staatlichen Netzwerken gehören. Es liegt auf der Hand, dass die Nachfrage nach legitimer westlicher Werbung in sanktionierten Staaten oder Staaten mit aktiven Konflikten praktisch bei Null liegt. Unsere Untersuchungen zeigen aber, dass SHADOW-EARTH-79 trotz fehlender Nachfrage in diesen Märkten Gebote abgibt und dabei häufig als führender Käufer auftritt.
Backend-Infrastruktur und technische Analyse
TrendAI™ Research identifizierte und rekonstruierte die Backend-Systeme der Gruppe mithilfe einer KI-gestützten Analyse von wiederhergestellten Code- und Infrastruktur-Artefakten – einer relativ einfachen, aber effektiven Technik. Viele Entwickler von Webanwendungen nutzen Webanwendungs-Frameworks wie React, Vue und Angular, bei denen die gesamte Anwendung und relevante Dateien in einem Bundle zusammengefasst werden. Das Bundle ist häufig in einem offenen „assets“-Ordner verfügbar, unabhängig davon, ob der Benutzer gerade auf der Plattform angemeldet ist.
Die Untersuchung des von diesen Systemen bereitgestellten JavaScript ermöglicht es uns, ein Verständnis dafür zu entwickeln, was ein angemeldeter Benutzer sehen würde, sobald er sich erfolgreich beim System authentifiziert hat. Funktionen wie das manuelle Einfügen von Skripten, die De-Anonymisierung und andere in der Benutzeroberfläche verfügbare Funktionen entsprechen denen eines Tools, das für Überwachungszwecke und die Gewinnung von Erkenntnissen konzipiert ist. Insgesamt lässt uns die Gestaltung dieses „kundenorientierten“ Frontends vermuten, dass das System eher als Plattform zur „Überwachung“ und „Informationsbeschaffung“ konzipiert ist und nicht lediglich als Plattform für das Anzeigenmanagement.
Die gesammelten Beweise deuten mit mittlerer bis hoher Sicherheit darauf hin, dass die Werbepräsenz von SHADOW-EARTH-79 eher als Infrastruktur zur Zielgruppenansprache und Nachverfolgung fungiert als kommerzieller Werbebetrieb.
Empfehlungen
- Untersuchen Sie die Aktivitäten von Werbetreibenden mit ähnlichen Gebotsprofilen wie den hier identifizierten und bewerten Sie deren Legitimität als Teil des kommerziellen Werbeökosystems.
- Lassen Sie, falls erforderlich, nur vertrauenswürdigen Werbe-Traffic zu oder filtern Sie ihn an hochsensiblen Standorten sowie auf Geräten, die Personen gehören, die wahrscheinlich ins Visier genommen werden.
- Mitarbeiter, die in Konfliktgebieten oder sanktionierten Staaten tätig sind oder in einer Rolle arbeiten, in der Bewegungsmuster sensibel sind, können von einem Zurücksetzen der Werbe-ID, der Deaktivierung der Anzeigenpersonalisierung und der Einschränkung der Nutzung werbefinanzierter Apps auf mitgeführten Geräten profitieren.
- Mehrere Mobilgeräte unterstützen Funktionen wie den „Lockdown-Modus“ auf dem iPhone; diese erschweren es Dritten, bösartige Payloads zu übermitteln und erfolgreich auszuführen. Die Aktivierung solcher Gerätemodi würde Überwachungsoperationen erschweren.
- Wenden Sie beim Erteilen von Zugriffsrechten für Anwendungen auf dem Mobilgerät das Prinzip der geringsten Berechtigungen an. Auch wenn die Anwendung selbst keinen Schaden anrichtet, besteht ein Risiko durch potenziell schädliche Inhalte, die über das Werbenetzwerk heruntergeladen werden könnten, oder wenn eine Anwendung in ein Software Development Kit (SDK) für Werbung integriert ist. Das Entziehen von Berechtigungen für Anwendungen von Drittanbietern kann hier Abhilfe schaffen, ohne die Funktionalität der App zu beeinträchtigen.
Prüfen Sie den Einsatz von Ad-Blocker-Software, verlassen Sie sich jedoch nicht zu 100 % darauf. Wenn die Software verhindert, dass dem Nutzer Werbung angezeigt wird, findet das Tracking-Ereignis wahrscheinlich trotzdem statt. Bevorzugen Sie stattdessen Werbeblocker, die den Web-Datenverkehrs abfangen und Werbe-Tags aus den Webinhalten entfernen, verhindern, dass werbefinanzierte Apps die Backends der Werbenetzwerke erreichen und dass sensible Tracking-Informationen an die Werbenetzwerke gesendet werden.
Das übergeordnete Ziel ist die Risikominderung: die Verringerung der Gefährdung, ohne darauf angewiesen zu sein, jeden Bieter zu identifizieren, der das System missbrauchen könnte. Wenn die Ad-Serving-Infrastruktur eines als verdächtig bekannten Betreibers verfügbar ist (zum Beispiel SHADOW-EARTH-79), blockieren Sie den Datenverkehr zu diesen Backends und den Endpunkten der Cloud-Anbieter.
Die TrendAI™-Tracking-Daten zur SHADOW-EARTH-79-Infrastruktur sind in TrendAI Vision One™ verfügbar, ebenso wie zusätzliche Details über vertrauenswürdige Kontakte aus etablierten Branchen-Trust-Communities. Weitere Einzelheiten zur Untersuchung beinhaltet der Originalbeitrag.