Quảng cáo có thể cài spyware dù bạn không bấm: AdFection hoạt động ra sao?

Ít nhất 45 thiết bị thuộc mạng lưới Al Jazeera bị nhắm tới bằng spyware qua quảng cáo trực tuyến trong năm 2024 và 2025, dù người dùng không cần chạm vào quảng cáo. Citizen Lab gọi kỹ thuật này là AdFection và công bố bằng chứng kỹ thuật cho thấy quảng cáo được phân phối qua Discover-Tech có thể dẫn thiết bị tới chuỗi lây nhiễm của Candiru, nay hoạt động dưới tên Integrity Labs.

Điểm đáng lo không nằm ở một banner giả mạo hay nút tải xuống đáng ngờ. Quảng cáo trực tuyến hiện đại là một phần mềm nhỏ được tải vào trang web hoặc ứng dụng; nếu chuỗi phân phối bị lạm dụng, việc quảng cáo xuất hiện trên màn hình có thể mở đường cho mã độc chạy âm thầm.

Quảng cáo được hiển thị có thể kích hoạt mã mà không cần cú nhấp

Trong đấu giá quảng cáo thời gian thực (RTB), ứng dụng hoặc website gửi yêu cầu để tìm quảng cáo phù hợp với một lượt hiển thị. Yêu cầu này có thể chứa dữ liệu về thiết bị, địa chỉ IP, mã định danh quảng cáo và vị trí; nhiều bên trung gian tham gia trước khi mẫu quảng cáo được tải về. Quá trình đấu giá diễn ra rất nhanh, nhưng nội dung được phân phối không nhất thiết chỉ là ảnh tĩnh.

Một quảng cáo có thể chứa thẻ hoặc đoạn JavaScript gọi thêm mã từ máy chủ khác. Trong trường hợp này, Discover-Tech đặt trong quảng cáo một thẻ gọi về máy chủ của họ; máy chủ có thể quyết định có trả mã tiếp theo hay không dựa trên thông tin nhận diện thiết bị và địa chỉ mạng. Khi quảng cáo được render, mã có thể chạy trong ngữ cảnh ứng dụng hoặc trình duyệt. Nếu mã khai thác được lỗ hổng phù hợp, chuỗi tấn công có thể tiếp tục mà người dùng không bấm liên kết.

Đây là điểm khác với kiểu malvertising thường gặp, nơi người dùng bị dụ nhấn vào nút giả hoặc tải tệp. Với AdFection, lượt hiển thị quảng cáo là mắt xích đủ để thiết bị mục tiêu bị kiểm tra và có thể nhận mã khai thác. Tuy nhiên, không phải mọi người nhìn thấy quảng cáo đều tự động nhiễm spyware: máy chủ có thể chỉ trả mã cho thiết bị được chọn; nhiều lượt khác không nhận phần mã đó.

Theo Citizen Lab, Discover-Tech nối quảng cáo đại chúng với công cụ giám sát nhắm mục tiêu

Phân tích khoảng 4 tỷ bản ghi đấu thầu quảng cáo cho thấy quảng cáo của Discover-Tech xuất hiện trên gần 200.000 website cùng ứng dụng Android và iOS trong bốn tháng. Nghiên cứu cũng ghi nhận ít nhất 45 thiết bị thuộc Al Jazeera bị nhắm tới trong giai đoạn 2024–2025. Đây là quy mô hạ tầng quảng cáo được quan sát, không đồng nghĩa tất cả các trang hay ứng dụng đó đều phát tán mã độc.

Theo báo cáo của Citizen Lab, trong chuỗi được mô tả Discover-Tech vận hành nền tảng quảng cáo và hệ thống Controlium, cho phép khách hàng nhắm theo mã quảng cáo di động, cookie hoặc địa chỉ IP. Khi quảng cáo được phân phối, thẻ trong mẫu quảng cáo liên hệ máy chủ của Discover-Tech; máy chủ có thể trả về JavaScript tiếp theo cho đúng thiết bị được chọn. Dấu vết mạng từ các thiết bị bị nhắm tới nối lượt hiển thị quảng cáo với hạ tầng kiểm tra và máy chủ điều khiển của Candiru, tạo thành chuỗi bằng chứng kỹ thuật cho chiến dịch spyware.

Vấn đề vì thế không chỉ là một công ty mua quảng cáo xấu. Hạ tầng đấu giá vốn được thiết kế để định tuyến quảng cáo theo người dùng và cho phép mã của nhiều bên chạy trong ứng dụng, website. Khi một đơn vị có vẻ hợp lệ lọt vào chuỗi cung ứng, nhà phát hành nội dung và người xem khó nhận biết quảng cáo nào chỉ theo dõi, quảng cáo nào có khả năng gọi thêm mã nguy hiểm.

Danh sách đối tác được duyệt không đồng nghĩa quảng cáo đã an toàn

Discover-Tech từng xuất hiện trong danh sách nhà cung cấp được chứng nhận hoặc phê duyệt của Google và IAB Europe, đồng thời quảng cáo qua các mạng lớn. Sau khi phát hiện được chuyển tới các nền tảng, Google và IAB Europe gỡ công ty khỏi danh bạ; Google chặn quyền truy cập vào nền tảng đấu giá của mình, còn Beeswax, Vungle (Liftoff) và Eskimi cũng có hành động ngắt hoặc tạm dừng kết nối.

Những động thái này có tác dụng cắt đường phân phối đã bị phát hiện, nhưng không xóa được điểm yếu cấu trúc: quá trình kiểm duyệt đối tác không nhất thiết phát hiện được cách một khách hàng sử dụng hạ tầng hợp pháp sau khi đã được kết nối. Một quảng cáo có thể được phân phối qua nhiều trung gian, trong khi mã nguy hiểm chỉ được trả cho một nhóm thiết bị cụ thể. Vì vậy, kiểm tra mẫu quảng cáo nhìn thấy trên màn hình không đủ để đánh giá toàn bộ hành vi phía sau.

Dữ liệu đấu thầu cho thấy quảng cáo của Discover-Tech xuất hiện trên gần 200.000 địa chỉ website và ứng dụng. Con số này cho thấy bề rộng phân phối, nhưng không chứng minh mọi lượt hiển thị đều độc hại hoặc mọi người dùng tại các địa chỉ đó đều bị xâm nhập. Cần giữ ranh giới ấy rõ ràng: vụ Al Jazeera là bằng chứng về nhắm mục tiêu spyware qua quảng cáo, không phải bằng chứng rằng quảng cáo trực tuyến nói chung luôn cài mã độc.

Chặn quảng cáo giảm bề mặt rủi ro nhưng không thay thế cập nhật bảo mật

Với người dùng phổ thông, chặn quảng cáo và trình theo dõi ở trình duyệt hoặc DNS có thể giảm số lượt quảng cáo được tải, qua đó thu hẹp một đường tiếp xúc. Pi-hole hay AdGuard Home có thể lọc một phần tên miền ở cấp mạng; tiện ích chặn nội dung hoạt động trong trình duyệt có thể xử lý thêm yêu cầu quảng cáo. Nhưng các biện pháp này không thể bảo đảm chặn mọi quảng cáo trong ứng dụng, mọi tên miền mới hay chiến dịch được thiết kế riêng cho một mục tiêu.

Điều có ích hơn là kết hợp nhiều lớp: cập nhật hệ điều hành và ứng dụng, hạn chế cài ứng dụng không cần thiết, dùng trình duyệt có cơ chế bảo vệ nội dung, và triển khai lọc DNS nếu người dùng hiểu cách vận hành. Do AdFection dựa vào lỗ hổng phần mềm gián điệp nhắm mục tiêu, phần mềm diệt virus phổ thông cũng không phải lá chắn chắc chắn; các tổ chức có nguy cơ cao cần quy trình ứng phó thiết bị, giám sát lưu lượng và hỗ trợ chuyên môn về an ninh di động.

Điều đáng rút ra không phải là phải tắt toàn bộ quảng cáo bằng mọi giá. Quảng cáo đã trở thành một lớp mã chạy trong phần mềm mà ta dùng mỗi ngày, còn danh sách đối tác hay biểu tượng kiểm duyệt không bảo đảm mọi hành vi về sau đều vô hại. Với người có nguy cơ bị nhắm mục tiêu, giảm theo dõi và giữ thiết bị cập nhật là việc nên làm, nhưng trách nhiệm kiểm soát nhà cung cấp quảng cáo vẫn thuộc về các nền tảng phân phối và ngành quảng cáo.

TekCafe sẽ tiếp tục cập nhật khi có thông tin mới.

Nguồn tham khảo: Citizen Lab; TechRadar; SecurityWeek