AdFection: Khi quảng cáo trở thành vũ khí phát tán phần mềm gián điệp zero-click

Các nhà nghiên cứu tại The Citizen Lab thuộc Đại học Toronto vừa công bố bằng chứng kỹ thuật đầu tiên về một kịch bản đáng sợ đang diễn ra ngoài thực tế: phần mềm gián điệp âm thầm lây nhiễm thiết bị của mục tiêu ngay khi họ lướt qua quảng cáo trong sinh hoạt số hằng ngày. Chiến dịch này được đặt tên là AdFection, và nó cho thấy mối đe dọa từ quảng cáo trực tuyến đã đạt đến mức độ tinh vi chưa từng thấy.

Zero-click: Chén thánh của hacker, ác mộng của nạn nhân

Tấn công zero-click (không cần nhấp) từ lâu đã được xem là "chén thánh" đối với giới tấn công và là thảm họa đối với nạn nhân, bởi chúng có thể tự động cài đặt mã độc lên thiết bị mà không cần bất kỳ tương tác hay sai sót nào từ phía người dùng.

Trong những năm gần đây, khi các nhóm hacker tinh vi triển khai các cuộc tấn công zero-click hiếm gặp, chúng thường khai thác lỗ hổng trong các ứng dụng nhắn tin và liên lạc di động. Nhưng giới tấn công cũng đã lợi dụng cơ sở hạ tầng rộng khắp của hệ sinh thái quảng cáo trực tuyến để phát tán mã độc, đôi khi chỉ cần rất ít hoặc không cần bất kỳ tương tác nào từ nạn nhân.

"AdFection cho phép các đối tượng vận hành tự động hack những cá nhân cụ thể bằng phần mềm gián điệp đánh thuê khi họ dùng ứng dụng hay lướt internet. Người bị hack theo cách này sẽ không thấy có gì bất thường. Thực tế, họ thậm chí có thể không nhìn thấy bất kỳ quảng cáo nào cả." — Bill Marczak, nhà nghiên cứu cấp cao tại Citizen Lab.

Điều khiến tình hình đáng lo ngại là người dùng gần như không có cách nào tự bảo vệ mình khỏi các cuộc tấn công zero-click qua quảng cáo, ngoài việc chặn quảng cáo một cách triệt để nhất có thể trên mọi website và nền tảng.

"Nguy cơ thiết bị của bạn bị nhiễm phần mềm gián điệp chỉ đơn giản vì bạn dùng một website hay ứng dụng có hiển thị quảng cáo là một kịch bản ác mộng." — Wolfie Christl, nhà nghiên cứu cấp cao tại Citizen Lab.

Chiến dịch nhắm vào Al Jazeera

Trong giai đoạn 2024–2025, Citizen Lab kết luận rằng 45 thiết bị thuộc hãng tin Al Jazeera đã bị nhắm mục tiêu bằng các cuộc tấn công zero-click được phân phối qua quảng cáo.

Theo phân tích của nhóm nghiên cứu:

• Các quảng cáo nhắm mục tiêu được phát hành bởi Discover-Tech, một công ty tiếp thị do người Israel sáng lập.
• Phần mềm gián điệp được phân phối có nguồn gốc từ Candiru, một nhà phát triển phần mềm gián điệp của Israel.
• Các thiết bị bị nhiễm đã kết nối với các tên miền liên quan đến Discover-Tech, sau đó kết nối tới hạ tầng gắn với Candiru.

Citizen Lab ước tính có hàng triệu thiết bị đã được dẫn hướng tới máy chủ của Candiru, nơi chúng có thể bị lập hồ sơ. Bằng cách phân tích các bản ghi đấu giá quảng cáo bị phơi bày công khai trên website của Discover-Tech, các nhà nghiên cứu cho biết những quảng cáo gắn thẻ script của kẻ tấn công đã xuất hiện trên hơn 70.000 ứng dụng di động và hơn 120.000 website trong khoảng thời gian từ tháng 3 đến tháng 6 năm nay.

Hệ sinh thái quảng cáo: Hạ tầng hoàn hảo cho gián điệp

Khi bạn nhìn thấy quảng cáo trực tuyến hoặc trong ứng dụng, chúng thường được hiển thị thông qua một quy trình phức tạp gọi là real-time bidding — về cơ bản là một phiên đấu giá tự động, nơi các nhà quảng cáo đặt giá thầu để hiển thị quảng cáo cụ thể cho bạn.

Quy trình chỉ kéo dài vài mili-giây này có thể khiến các nhà quảng cáo thu thập một khối lượng khổng lồ dữ liệu về thiết bị, vị trí, lịch sử duyệt web của bạn, cùng vô số thông tin khác. Đây đã là một cơn ác mộng về quyền riêng tư trong nhiều năm, khi các nhà môi giới dữ liệu mờ ám bán thông tin cá nhân của người dùng, còn các cơ quan thực thi pháp luật và các quốc gia thù địch thì mua lại để theo dõi hoặc nhắm mục tiêu.

Theo các nhà nghiên cứu Citizen Lab, Discover-Tech vận hành một nền tảng quảng cáo tên là Controlium, cho phép người dùng của mình "khử ẩn danh, tạo dấu vân tay và tự động lây nhiễm thiết bị" ngay khi quảng cáo xuất hiện.

Các nhà nghiên cứu cho biết họ đã thấy quảng cáo của Discover-Tech xuất hiện trên các mạng lưới gắn với chính phủ và an ninh quốc gia trên khắp thế giới, bao gồm:

• Mạng lưới của NATO và Liên Hợp Quốc
• Các cơ quan lập pháp ở châu Âu
• Các nhà cung cấp hạ tầng trọng yếu tại Australia
• Lực lượng vũ trang và cơ quan chính phủ tại Na Uy và Thụy Điển

Phản ứng từ các nền tảng quảng cáo lớn

Google — đơn vị vận hành một trong những mạng quảng cáo lớn nhất thế giới — đã chấm dứt đăng ký của Discover-Tech sau khi phối hợp với Citizen Lab và hãng an ninh mạng Confiant để xác nhận mối liên hệ với phần mềm gián điệp.

"Sau cuộc điều tra chung với Citizen Lab và Confiant, Google đã chặn Discover-Tech khỏi các nền tảng quảng cáo của chúng tôi vì vi phạm có hệ thống các chính sách. Chúng tôi cũng thiết lập cảnh báo Safe Browsing để giúp bảo vệ người dùng nếu họ truy cập vào các website liên quan đến nhóm này." — đại diện Google.

IAB Europe — chi nhánh châu Âu của hiệp hội ngành quảng cáo Interactive Advertising Bureau — cũng đã đình chỉ Discover-Tech khỏi danh sách nhà cung cấp toàn cầu (GVL) sau một cuộc kiểm toán chính sách. Đại diện tổ chức này cho biết nếu có thêm xác nhận về các phát hiện liên quan đến phần mềm gián điệp, điều đó "cũng có thể biện minh cho việc khai trừ vĩnh viễn khỏi GVL".

Beeswax, một công ty ngành quảng cáo trực tuyến thuộc sở hữu của Comcast, cũng tuyên bố đã loại Discover-Tech khỏi nền tảng của mình sau khi có xác thực độc lập từ một chuyên gia bảo mật bên thứ ba.

Vì sao các vụ tấn công kiểu này ít được báo cáo?

Các chiến dịch zero-click qua quảng cáo nhắm mục tiêu phát tán phần mềm gián điệp trước đây hiếm khi lộ diện công khai. Theo các nhà nghiên cứu Citizen Lab, đây có thể là hệ quả của việc hạ tầng quảng cáo được tin cậy và tích hợp quá sâu rộng vào mọi khía cạnh của đời sống số mà không có sự giám sát cụ thể.

"Nhật ký mạng từ Al Jazeera là chìa khóa để hiểu bản chất dựa trên quảng cáo của cuộc tấn công đó. Nếu thiết bị cá nhân của một người bị nhắm mục tiêu, chẳng hạn khi họ đang kết nối với Wi-Fi nhà hoặc dữ liệu di động, sẽ không có mức độ giám sát mạng tương tự. Nên tôi nghĩ việc thiếu báo cáo trước đây chủ yếu là vấn đề khả năng quan sát: các chuyên gia phòng thủ phải ở đúng chỗ, đúng thời điểm, nhìn vào đúng dữ liệu." — Bill Marczak.

Hàm ý cho người dùng Việt Nam

Vụ việc AdFection cho thấy một thực tế đáng lo ngại: ngay cả khi bạn không nhấp vào bất kỳ đường link đáng ngờ nào, chỉ cần duyệt web hay dùng ứng dụng có hiển thị quảng cáo, bạn đã có thể trở thành mục tiêu. Đối với người dùng tại Việt Nam, một số biện pháp phòng ngừa đáng cân nhắc bao gồm:

• Chặn quảng cáo triệt để trên mọi trình duyệt và thiết bị, sử dụng các trình chặn quảng cáo uy tín.
• Cập nhật hệ điều hành và ứng dụng thường xuyên để vá các lỗ hổng bảo mật.
• Hạn chế cài đặt ứng dụng ngoài kho chính thức, vì đây là nguồn phát tán mã độc phổ biến.
• Cảnh giác với các ứng dụng yêu cầu quyền truy cập quá mức, đặc biệt là quyền truy cập mạng, vị trí và danh bạ.

Câu chuyện này cũng đặt ra câu hỏi lớn hơn về trách nhiệm của các nền tảng quảng cáo trong việc kiểm soát khách hàng và đảm bảo rằng hạ tầng quảng cáo — vốn được tin cậy rộng rãi — không bị biến thành công cụ tấn công. Như Jason Kint, CEO của tổ chức truyền thông số Digital Content Next, nhận định:

"Dù hiếm và tinh vi, tôi sẽ không hoàn toàn ngạc nhiên nếu biết về các cuộc tấn công zero-click qua quảng cáo. Bất cứ điều gì đi ngược lại kỳ vọng của người dùng hoặc làm giảm niềm tin vào web mở đều đáng lo ngại sâu sắc."