Discover-Tech использовала вредоносную рекламу для профилирования устройств
Discover-Tech проводила кампании вредоносной рекламы, используя рекламные креативы и скрытые встроенные фреймы для профилирования устройств, сбора данных об идентичности и подготовки целевой доставки полезных нагрузок. Оценочное число показов достигало примерно 10 миллионов в день. Кампании нацеливались на определённые страны, операционные системы и устройства, в том числе на пользователей Android в Палестине и пользователей iOS в нескольких странах Северной Европы. Часть активности затронула сети государственных, исследовательских, медицинских, оборонных, судебных и международных организаций. Наличие затронутого ASN не обязательно указывало на конкретного целевого пользователя.
Загрузка кода и связь с серверами операторов
Основная полезная нагрузка загружала обфусцированную библиотеку JavaScript, или SDK, из ротируемой инфраструктуры CloudFront, приписываемой Candiru. SDK устанавливал общий секрет с сервером управления оператора с помощью протокола ECDH (Elliptic Curve Diffie-Hellman), а затем примерно раз в секунду опрашивал сервер, ожидая инструкций. Для более устойчивой связи могли применяться WebSockets или WebRTC.
Команды и результаты защищались многоуровневым шифрованием. Код, переданный оператором, расшифровывался с использованием секрета, полученного через ECDH. Собираемые данные шифровались новым ключом AES, который оборачивался открытым ключом RSA, встроенным в JWT. Фреймворк профилировал устройства, браузеры, сети и поведение пользователей. В числе проверок были анализ WebGL и CSS, а также зондирование других API браузера.
Операторы могли выполнять произвольный JavaScript с помощью new Function(...), доставляя дополнительный код или, возможно, браузерные эксплойты с учётом собранных характеристик. Вспомогательный модуль DNS-over-HTTPS разрешал предоставленные операторами домены через Cloudflare, а затем подключался к полученному IP-адресу. Связанный с этим полезный груз использовал зашифрованный канал WebSocket, чтобы получать и выполнять код, зашифрованный алгоритмом AES.
Сбор данных и целевая доставка
Отдельные кампании собирали cookie первой стороны: считывали значения через document.cookie и отправляли их на инфраструктуру оператора. Туда же передавались данные User-Agent Client Hints, сведения, связанные с IP-адресами, рекламные идентификаторы и данные о ставках. При подходящих условиях рендеринга собранный набор cookie мог включать идентификаторы аналитики и рекламы, идентификаторы сессий, а также JWT с адресами электронной почты или именами.
Эти данные использовались для управления последующими этапами выполнения JavaScript и, возможно, для построения графа идентичности в реальном времени. Передача управления инфраструктуре Candiru наблюдалась в кампаниях с небольшим объёмом трафика и высокой степенью целевой направленности. В них использовались хосты CloudFront с коротким сроком жизни. Операция сочетала масштабный пассивный сбор данных об идентичности с избирательной доставкой зашифрованного кода для скрытой разведки и возможного развёртывания шпионского ПО или эксплойтов через рекламную инфраструктуру.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
