Zero Click Adfection

Man sitzt friedlich vor dem Monitor und klickt nichts an und fängt sich trotzdem pöhse Schadsoftware ein? So klingt es, wenn man einem typischen Krempl-„Staatstrojaner“-Artikel bei Heise glaubt. Ich bin aber ungläubig.

Noch bescheuerter das von Gendersternchen wimmelnde Netzpolitik.org (Gendersprache = garantiert irgendetwas Geschwurbeltes gegen Israel): „Geräte lassen sich ohne Klick per Werbeanzeige hacken“. – „Sobald eine bösartige Werbeanzeige auf dem Bildschirm eines Handys oder Rechners erscheint, soll es bereits zu spät sein, und das Gerät wird mit Spionage-Software infiziert.“

Ach. Ach was.

Soll. Ist das jetzt indirekte Rede, weil Zitat oder Konjunktiv II aka Irrealis? (Falsches Deutsch ist es auf jeden Fall.)

„Wie zielgenau die Methode funktioniert und wie hoch die Streuverluste sind, also wie viele Unbeteiligte so ins Visier geraten sind, lässt sich von außen nicht beurteilen.“ Nichts Genaues weiß man also nicht. Ein Grund mehr, geheimnsivoll von „Staatstrojanern“ herumzuraunen wie der Guardian, Reuters oder die Times of Israel und viele andere.

Die Quelle, von der alle abschreiben, ist Citizen Lab*.

Die israelische Firma Discover-Tech verbreitete über gezielte Online-Werbung die Spionagesoftware Candiru, unter anderem auf Geräten des Nachrichtensenders Al Jazeera. Die als „AdFection“ bezeichneten Zero-Click-Angriffe infizierten Geräte ohne Zutun der Nutzer. Innerhalb von vier Monaten erschienen die Anzeigen auf fast 200.000 Websites und Apps weltweit. Millionen Geräte wurden zudem heimlich mit Spionageservern verbunden. Discover-Tech nutzte dafür auch große Werbenetzwerke wie Google. Die Enthüllungen zeigen gravierende Sicherheitslücken im digitalen Werbesystem. Mehrere Werbeanbieter sperrten daraufhin Discover-Tech.

Die Tagesschau räumt ein: „Dass Werbeanzeigen auf Geräten in deren Netzwerken angezeigt wurden, bedeute der Einschätzung der ~~Forschenden~~ Forscher nach nicht zwangsläufig eine Infektion mit Spionagesoftware. Es seien aber mindestens Daten gesammelt worden, um Profile von Nutzern zu bilden.“

O je. Daten von Nutzern werden gesammelt? Hätte uns nur jemand gewarnt!

Was genau ist passiert? Und betrifft mich das oder nur Klein Fritzchen?

„Sollten Geräte einer Zielperson gehackt werden, schickte das System schädlichen JavaScript-Code dorthin. Dieser wurde vom Browser oder der jeweiligen App im Hintergrund ausgeführt, nutzte Schwachstellen aus und infizierte das Zielgerät, ohne dass die betroffenen Personen einen Klick ausführen mussten.“ Wie könnte das für Linux funktionieren?

Das kann auch unter Linux, insbesondere Ubuntu, funktionieren. Allerdings ist dabei eine wichtige Unterscheidung zu treffen: JavaScript allein kann normalerweise keinen Linux-Rechner infizieren. Dazu muss der Angreifer eine oder mehrere Sicherheitslücken ausnutzen.
Der von dir zitierte Text beschreibt vermutlich einen sogenannten Zero-Click-Angriff, bei dem der Benutzer weder auf einen Link klicken noch eine Datei öffnen muss.

Wichtig: Eine beliebige Person kann nicht einfach JavaScript an einen Linux-Rechner schicken und erwarten, dass es ausgeführt wird. Es muss einen erreichbaren Verarbeitungsweg und eine ausnutzbare Sicherheitslücke geben.

„Damit sich eine Spionagesoftware auf einem Telefon, Tablet oder Computer installieren kann, muss normalerweise die Zielperson dazu verleitet werden, auf einen schädlichen Link zu klicken“, schreiben die Russen. Bla bla bla. Also der übliche Unsinn, der auch beim Thema“ Online-Durchsuchung“ die Runde machte.

„in Fehler beispielsweise in der JavaScript-Engine“. – „Kompromittierung von Ubuntu“. Sollte nicht zielgerichtet jemand ausspioniert werden? Oder will nur jemand mit einer XXL-Schrotflinte in den Internet-Wald hineinschießen in der Hoffnung, die Ameise Fräulein Müller zu treffen?

„Millionen Geräte wurden zudem heimlich mit Spionageservern verbunden. Discover-Tech nutzte dafür auch große Werbenetzwerke wie Google.“ Klar. Das ist kein Bug, sondern ein Feature. Google betreibt ebenfalls massenweise „Spionageserver“, um Werbung personalisieren zu können.

Die algorithmische Intelligenz sagt mir:

Wichtige Präzisierung: Die Grafik zeigt ein theoretisch mögliches Angriffsszenario unter Ubuntu/Linux. Der Citizen-Lab-Bericht belegt Zero-Click-Infektionen durch manipulierte Werbung, aber nicht ausdrücklich eine erfolgreiche Infektion unter Linux. Die untersuchte Schadsoftwareprobe war eine Windows-DLL.

Ach so.
____________________

* „The Citizen Lab is a world-renowned research unit led by Professor Ronald J. Deibert at the University of Toronto’s Munk School of Global Affairs & Public Policy.“

Vgl. The Cipher Brief: „Chasing Shadows in the World of Mercenary Spyware“.

„In einem Rückblick erzählt Deibert, wie das Lab die weltweit führende Firma für Cyber-Söldner entlarvte: die in Israel ansässige NSO Group, die Entwickler der Spionagesoftware Pegasus.

Dabei berichtet er über eine Reihe von Menschenrechtsverletzungen – von innenpolitischen Spionageskandalen in Spanien, Polen, Ungarn und Griechenland bis hin zur Verwicklung des Unternehmens in den Mord an dem Journalisten der Washington Post, Jamal Khashoggi, im Jahr 2018.“

Der Text behauptet eine Verwicklung der NSO Group in den Mord an Khashoggi. Das ist nicht gleichbedeutend mit dem Nachweis einer unmittelbaren Beteiligung am Mord.“