Một chiến dịch gián điệp mạng đã lợi dụng hệ thống quảng cáo trực tuyến để nhắm mục tiêu thiết bị của các nhà báo mà không cần nạn nhân nhấp vào đường link hay tải tệp. Vụ việc cho thấy quảng cáo tưởng như bình thường cũng có thể bị biến thành phương tiện theo dõi và xâm nhập thiết bị.
Các nhà nghiên cứu tại Citizen Lab thuộc Đại học Toronto (Canada) đã truy vết một chiến dịch sử dụng phần mềm gián điệp Candiru để tấn công các thiết bị tại mạng truyền thông Al Jazeera. Các cuộc tấn công được ghi nhận trong giai đoạn 2024–2025, với ít nhất 45 thiết bị bị nhắm mục tiêu.
Điểm đáng chú ý là chiến dịch không dựa vào những thủ đoạn quen thuộc như gửi email giả mạo, dụ người dùng mở tệp đính kèm hay nhấp vào đường link độc hại. Thay vào đó, tin tặc lợi dụng hệ thống phân phối quảng cáo trực tuyến để đưa mã tấn công đến thiết bị mục tiêu. Citizen Lab gọi kỹ thuật này là AdFection.
Điểm đáng chú ý là chiến dịch không dựa vào những thủ đoạn quen thuộc như gửi email giả mạo, dụ người dùng mở tệp đính kèm hay nhấp vào đường link độc hại. Thay vào đó, tin tặc lợi dụng hệ thống phân phối quảng cáo trực tuyến để đưa mã tấn công đến thiết bị mục tiêu. Citizen Lab gọi kỹ thuật này là AdFection.
Từ quảng cáo thông thường đến công cụ phát tán phần mềm gián điệp
Theo điều tra của Citizen Lab, công ty quảng cáo kỹ thuật số Discover-Tech đã đóng vai trò trung gian, giúp kết nối hệ thống quảng cáo trực tuyến với hoạt động phát tán phần mềm gián điệp. Những quảng cáo được phân phối có thể mang nội dung bình thường, nhưng mã đi kèm có khả năng thu thập một số thông tin nhận diện thiết bị, chẳng hạn mã định danh quảng cáo và địa chỉ IP, rồi gửi về máy chủ của Discover-Tech.
Từ những thông tin này, hệ thống có thể xác định liệu thiết bị vừa hiển thị quảng cáo có thuộc nhóm mục tiêu hay không. Nếu không nằm trong danh sách mục tiêu, thiết bị có thể không nhận thêm mã tấn công. Ngược lại, nếu được xác định là mục tiêu, hệ thống sẽ chuyển tiếp quá trình tấn công đến máy chủ liên quan, từ đó cung cấp mã khai thác nhằm xâm nhập thiết bị.
Từ những thông tin này, hệ thống có thể xác định liệu thiết bị vừa hiển thị quảng cáo có thuộc nhóm mục tiêu hay không. Nếu không nằm trong danh sách mục tiêu, thiết bị có thể không nhận thêm mã tấn công. Ngược lại, nếu được xác định là mục tiêu, hệ thống sẽ chuyển tiếp quá trình tấn công đến máy chủ liên quan, từ đó cung cấp mã khai thác nhằm xâm nhập thiết bị.
Đáng lưu ý, mã độc không nhất thiết phải được nhúng trực tiếp trong nội dung quảng cáo mà người dùng nhìn thấy. Điều này khiến việc phát hiện quảng cáo độc hại bằng những phương pháp kiểm tra thông thường trở nên khó khăn hơn.
Citizen Lab cho biết các nhà nghiên cứu đã thu thập nhật ký lưu lượng mạng do Al Jazeera cung cấp và xác định được chuỗi kết nối liên quan đến chiến dịch. Nhóm nghiên cứu cũng khôi phục được phần mềm gián điệp từ một thiết bị, qua đó liên hệ hoạt động tấn công với Candiru ở mức độ tin cậy cao. Tuy nhiên, họ không thu thập được mã khai thác ban đầu được sử dụng để xâm nhập thiết bị.
Kỹ thuật này đặc biệt nguy hiểm vì nạn nhân không cần nhấp vào quảng cáo, mở tệp hay chủ động tải xuống phần mềm. Trong một cuộc tấn công thành công, quá trình xâm nhập có thể bắt đầu ngay khi quảng cáo được tải trên thiết bị, mà người dùng không nhận thấy dấu hiệu bất thường.
Không chỉ là câu chuyện về phần mềm gián điệp
Theo Citizen Lab, chiến dịch này là bằng chứng kỹ thuật công khai đầu tiên xác nhận phần mềm gián điệp thương mại được phát tán thành công thông qua quảng cáo nhắm mục tiêu trong một cuộc tấn công thực tế.
Phát hiện cũng làm dấy lên lo ngại về cách dữ liệu quảng cáo được thu thập, chia sẻ và sử dụng. Hệ thống quảng cáo tự động có thể phân phối nội dung đến hàng triệu người thông qua nhiều website, ứng dụng và nền tảng trung gian. Khi các cơ chế này bị lợi dụng, cơ sở hạ tầng phục vụ hoạt động tiếp thị có thể trở thành công cụ xác định và nhắm mục tiêu người dùng cho hoạt động giám sát.
Phát hiện cũng làm dấy lên lo ngại về cách dữ liệu quảng cáo được thu thập, chia sẻ và sử dụng. Hệ thống quảng cáo tự động có thể phân phối nội dung đến hàng triệu người thông qua nhiều website, ứng dụng và nền tảng trung gian. Khi các cơ chế này bị lợi dụng, cơ sở hạ tầng phục vụ hoạt động tiếp thị có thể trở thành công cụ xác định và nhắm mục tiêu người dùng cho hoạt động giám sát.
Theo Reuters, quảng cáo của Discover-Tech đã xuất hiện trên hơn 120.000 website và 75.000 ứng dụng thông qua các đối tác phân phối. Tuy nhiên, con số này phản ánh phạm vi quảng cáo được phân phối, không có nghĩa tất cả website, ứng dụng hoặc người xem quảng cáo đều bị lây nhiễm phần mềm gián điệp.
Các nhà nghiên cứu cũng ghi nhận quảng cáo của công ty xuất hiện trên những mạng lưới nhạy cảm, bao gồm các hệ thống liên quan đến cơ quan chính phủ và tổ chức quốc tế. Dù vậy, việc quảng cáo xuất hiện trên một mạng lưới không đồng nghĩa thiết bị trong mạng lưới đó đã bị xâm nhập. Citizen Lab chưa xác định được chính phủ nào đứng sau các cuộc tấn công nhằm vào Al Jazeera. Discover-Tech và các bên liên quan cũng chưa đưa ra phản hồi công khai đầy đủ về những cáo buộc trong cuộc điều tra tại thời điểm các báo cáo được công bố.
Các nhà nghiên cứu cũng ghi nhận quảng cáo của công ty xuất hiện trên những mạng lưới nhạy cảm, bao gồm các hệ thống liên quan đến cơ quan chính phủ và tổ chức quốc tế. Dù vậy, việc quảng cáo xuất hiện trên một mạng lưới không đồng nghĩa thiết bị trong mạng lưới đó đã bị xâm nhập. Citizen Lab chưa xác định được chính phủ nào đứng sau các cuộc tấn công nhằm vào Al Jazeera. Discover-Tech và các bên liên quan cũng chưa đưa ra phản hồi công khai đầy đủ về những cáo buộc trong cuộc điều tra tại thời điểm các báo cáo được công bố.
Người dùng cần làm gì để giảm thiểu rủi ro?
Vụ việc cho thấy việc tránh nhấp vào đường link lạ, dù vẫn cần thiết, không đủ để phòng tránh mọi hình thức tấn công. Với những cuộc tấn công không cần tương tác, thiết bị có thể bị nhắm mục tiêu ngay trong quá trình truy cập website hoặc sử dụng ứng dụng có quảng cáo.
Người dùng nên cập nhật hệ điều hành, trình duyệt và ứng dụng lên phiên bản mới nhất để hạn chế nguy cơ bị khai thác các lỗ hổng đã được khắc phục. Có thể cân nhắc sử dụng công cụ chặn quảng cáo đáng tin cậy, hạn chế theo dõi quảng cáo và rà soát quyền truy cập của các ứng dụng. Tuy nhiên, những biện pháp này không bảo đảm loại bỏ hoàn toàn nguy cơ từ phần mềm gián điệp tinh vi.
Đối với nhà báo, doanh nghiệp và các tổ chức xử lý thông tin nhạy cảm, cần chú trọng hơn đến việc bảo vệ thiết bị đầu cuối, giám sát kết nối mạng bất thường và xây dựng quy trình kiểm tra khi có dấu hiệu bị theo dõi hoặc xâm nhập. Những cá nhân có nguy cơ trở thành mục tiêu của hoạt động gián điệp nên cân nhắc các biện pháp bảo vệ chuyên biệt phù hợp với mức
Người dùng nên cập nhật hệ điều hành, trình duyệt và ứng dụng lên phiên bản mới nhất để hạn chế nguy cơ bị khai thác các lỗ hổng đã được khắc phục. Có thể cân nhắc sử dụng công cụ chặn quảng cáo đáng tin cậy, hạn chế theo dõi quảng cáo và rà soát quyền truy cập của các ứng dụng. Tuy nhiên, những biện pháp này không bảo đảm loại bỏ hoàn toàn nguy cơ từ phần mềm gián điệp tinh vi.
Đối với nhà báo, doanh nghiệp và các tổ chức xử lý thông tin nhạy cảm, cần chú trọng hơn đến việc bảo vệ thiết bị đầu cuối, giám sát kết nối mạng bất thường và xây dựng quy trình kiểm tra khi có dấu hiệu bị theo dõi hoặc xâm nhập. Những cá nhân có nguy cơ trở thành mục tiêu của hoạt động gián điệp nên cân nhắc các biện pháp bảo vệ chuyên biệt phù hợp với mức
