Adfection: Iklan Digital Disusupi Spyware Tanpa Klik

Adfection: Iklan Digital Disusupi Spyware Tanpa Klik – Sebuah perusahaan asal Israel yang menyamar sebagai bisnis periklanan digital sah dilaporkan membantu para vendor spyware (perangkat pengintai) menyebarkan malware pengawasan ke perangkat individu dan entitas di seluruh dunia melalui iklan online bertarget.

Teknik berbahaya ini, yang dijuluki “Adfection” oleh para peneliti dari Citizen Lab (Universitas Toronto), memungkinkan terjadinya infeksi pada perangkat tanpa memerlukan korban untuk mengeklik tautan atau melakukan tindakan apa pun.

Teknik ini pada dasarnya mengubah tayangan iklan rutin (ad impressions) menjadi landasan peluncuran tersembunyi bagi serangan siber rahasia (zero-click attacks).

Dalam laporan terbarunya, para peneliti merinci bagaimana sebuah perusahaan teknologi periklanan bernama Discover-Tech diduga menggunakan teknik Adfection untuk membantu vendor spyware Candiru menginfeksi setidaknya 45 perangkat milik staf di organisasi berita internasional Al-Jazeera.

Candiru yang kini mengubah namanya menjadi Integrity Labs, sebelumnya telah dimasukkan oleh Departemen Perdagangan AS ke dalam daftar hitam (Entity List) karena memasok spyware kepada pemerintah asing untuk menargetkan individu tertentu.

Membedah Rantai Serangan Adfection

Citizen Lab memiliki rekam jejak panjang dalam menyelidiki penyalahgunaan spyware komersial oleh lembaga pemerintah di seluruh dunia. Pada tahun 2016, mereka mengungkap bagaimana kelompok NSO mengeksploitasi kerentanan zero-day pada iOS Apple untuk menyebarkan spyware Pegasus.

Menurut peneliti, teknik Adfection yang digunakan Discover-Tech berbeda dari serangan jenis sebelumnya karena memanfaatkan proses lelang waktu nyata (real-time bidding/RTB) yang menentukan iklan apa yang dilihat pengguna di situs web dan aplikasi seluler.

Lelang ini terjadi dalam hitungan milidetik saat halaman atau aplikasi dimuat, serta mengekspos informasi perangkat seperti alamat IP, ID iklan seluler, dan cookies.

Peluang ini dimanfaatkan oleh operator pengawasan untuk mengidentifikasi perangkat yang menjadi target, mengumpulkan informasi pengguna, dan mengirimkan spyware tepat saat iklan bertarget dirender di layar korban.

Rantai serangan Adfection berjalan melalui tahapan berikut:

1. Memenangi Lelang Iklan.

Discover-Tech memenangi lelang iklan dan mendorong iklan ke situs web atau aplikasi yang sedang dibuka di perangkat korban.

2. Pengumpulan Informasi.

Saat iklan dirender, tag yang tertanam di dalamnya menghubungi peladen yang dikendalikan oleh Discover-Tech dan mengirimkan data identifikasi perangkat.

3. Pemeriksaan Target.

Peladen memeriksa apakah perangkat tersebut cocok dengan kriteria target tertentu. Jika cocok, peladen akan mengembalikan kode JavaScript berbahaya.

4. Infeksi Senyap.

Log jaringan menunjukkan perangkat yang terinfeksi menghubungi infrastruktur Discover-Tech, lalu peladen validasi Candiru, hingga akhirnya terhubung ke peladen command-and-control Candiru tanpa sepengetahuan pengguna.

Platform Controlium milik Discover-Tech memungkinkan pelanggannya mengonfigurasi kampanye untuk menargetkan perangkat tertentu menggunakan alamat IP, cookies, dan ID iklan seluler.

Analisis menunjukkan bahwa dalam kurun waktu empat bulan saja, Discover-Tech menayangkan iklan bertarget ke hampir 200.000 situs web unik serta aplikasi Android/iOS di berbagai negara, termasuk menargetkan perangkat di lembaga pemerintah, militer, infrastruktur kritis, dan media.

Peran Industri Periklanan Digital

Temuan ini memberikan bukti teknis pertama bahwa aktor ancaman dapat mengirimkan spyware tentara bayaran (mercenary spyware) melalui iklan bertarget tanpa interaksi pengguna sama sekali.

Hal ini menyoroti kelemahan struktural yang mendalam dalam ekosistem periklanan online global yang gagal mendeteksi atau mencegah penyalahgunaan tersebut.

Sebagai respons atas pengungkapan oleh peneliti, sejumlah raksasa teknologi dan platform periklanan langsung mengambil langkah tegas untuk memutus akses Discover-Tech:

Google berkolaborasi dengan peneliti dan menghentikan akses perusahaan tersebut ke platform pertukaran iklan (ad exchange).
IAB Europe mencabut Discover-Tech dari direktori vendor mereka.
Beeswax dan Eskimi memblokir akun serta domain perusahaan tersebut dari platform pembelian iklan mereka, sementara Vungle menangguhkan akses sembari melakukan investigasi mendalam.

Melindungi Perangkat dari Serangan Berbasis Iklan

Mengingat teknik Adfection dapat menyerang perangkat secara pasif hanya melalui muatan iklan digital, organisasi dan individu perlu menerapkan 8 langkah mitigasi keamanan berikut:

1. Gunakan Perangkat Pemblokir Iklan (Ad-Blockers).

Pasang ekstensi pemblokir iklan yang kredibel pada peramban web dan perangkat seluler guna mencegah pemuatan skrip pihak ketiga yang mencurigakan.

2. Nonaktifkan ID Periklanan Seluler.

Matikan izin penggunaan ID iklan unik pada pengaturan privasi perangkat iOS dan Android Anda untuk membatasi pelacakan digital.

3. Terapkan Pemblokiran Iklan di Tingkat Jaringan.

Organisasi dan instansi pemerintah disarankan untuk menyaring atau memblokir jaringan iklan bertarget di gerbang jaringan (network gateway) mereka.

4. Perbarui Sistem Operasi Secara Berkala.

Selalu pastikan perangkat lunak dan peramban web Anda diperbarui ke versi terbaru guna menutup celah keamanan yang mungkin dimanfaatkan oleh skrip injeksi.

5. Gunakan Peramban Berfokus Privasi.

Manfaatkan peramban web yang secara aktif memblokir pelacak lintas situs (cross-site trackers) dan pelacakan berbasis skrip tersembunyi.

6. Batasi Penggunaan Perangkat untuk Keperluan Sensitif.

Pegawai instansi militer, pemerintah, atau jurnalis investigatif sebaiknya menghindari penggunaan perangkat pribadi untuk mengakses informasi rahasia.

7. Lakukan Pemindaian Integritas Perangkat Secara Berkala.

Jalankan perangkat lunak keamanan endpoint untuk mendeteksi anomali koneksi jaringan atau aktivitas latar belakang yang mencurigakan.

8. Tingkatkan Kesadaran Privasi Digital.

Pahami bagaimana data identifikasi perangkat diekspos melalui lelang iklan digital dan kurangi paparan informasi pribadi di ruang publik online.

Baca artikel lainnya: