Israeli firm's digital ads enabling installation of 'zero-click' spyware
이스라엘 광고업체의 디지털 광고, '제로클릭' 스파이웨어 설치에 악용됐다는 연구
토론토대 Citizen Lab은 Discover-Tech의 광고 플랫폼 Controlium이 광고 이용자를 식별하고 일부 표적 기기에 제로클릭 스파이웨어를 전달하는 데 쓰였다고 밝혔습니다. 2024년 이후 수백만 명에게 광고가 노출됐으며, 알자지라 기기 수십 대가 감염된 것으로 연구진은 보고했습니다.
- 주제
에디터 노트
이번 사례에서 설득력 있는 대목은 광고 입찰 시스템이 표적 식별과 공격 전달을 잇는 경로였다는 Citizen Lab의 기술적 관찰입니다. 광고를 본 사용자 모두가 감염된 게 아니라, 광고가 기기 정보를 수집한 뒤 선정된 표적에게만 페이로드를 전달했다는 설명이 공격의 범위를 구분합니다. 다만 가디언 본문은 구체적인 취약점이나 감염 절차를 자세히 밝히지 않으며 전체 표적 규모도 미상으로 남깁니다. Hacker News의 상세 댓글은 45대 감염, 쿠키 수집, Candiru로의 연결 등 보고서에 더해진 내용을 전하지만, 댓글 작성자의 정리와 가디언 본문에 실린 연구진의 설명은 구분해야 합니다. 광고 차단기가 웹과 앱에서 다르게 작동한다는 의견도 나왔지만, 댓글만으로 이 공격에 대한 차단 효과를 확정하기는 어렵습니다. 광고 생태계가 감시와 공격의 전달 경로가 될 수 있다는 점은 드러났지만, 개인별 방어책과 실제 피해 범위는 자료에서 구체적으로 제시되지 않았습니다.
AI 요약
토론토대 연구조직 Citizen Lab은 이스라엘 광고업체 Discover-Tech가 운영하는 플랫폼 Controlium이 광고 기술을 이용해 표적 기기에 제로클릭 스파이웨어를 전달했다고 밝혔습니다. 제로클릭 공격은 피해자가 링크를 누르거나 파일을 여는 과정 없이 이뤄집니다. Citizen Lab은 카타르 방송사 알자지라의 기기 수십 대가 Discover-Tech 광고를 통해 전달된 스파이웨어에 감염된 것으로 보고 있습니다. 감염은 사용자 모르게 몇 초 안에 진행될 수 있다고 연구진은 설명합니다.
광고 경매가 감시 수단으로
웹페이지에 광고가 뜨면 사용자의 기기 정보와 웹 활동을 바탕으로 수십 곳에서 수백 곳의 업체가 광고 자리를 자동으로 사고팝니다. Citizen Lab에 따르면 Controlium은 맞춤형 광고가 표시될 때 사용자의 신원과 IP 주소를 수집합니다. 사용자가 표적으로 선정되면 용병형 스파이웨어 업체가 악성 코드를 보내 감염을 시도합니다. 연구진은 이 과정에서 사용자의 메시지, 사진, 이메일을 가져오고 통화를 녹음하거나 마이크를 몰래 켜는 스파이웨어도 전달할 수 있다고 주장합니다.
Discover-Tech 광고는 2024년 이후 예멘, 브라질, 멕시코, 체코를 비롯한 여러 나라에서 수백만 명에게 노출됐습니다. Confiant의 별도 조사에서도 유럽과 미국의 정부 기관, 유엔, 나토, 국제형사재판소, 국제원자력기구 네트워크에서 광고가 확인됐습니다. 실제 표적 범위는 아직 밝혀지지 않았습니다. Citizen Lab 연구원 Wolfie Christl은 광고 생태계가 수백만 명을 프로파일링한 뒤 일부 표적을 감염시키는 데 악용되고 있다고 말했습니다. 연구원 Bill Marczak은 광고를 이용해 표적을 식별하고 자동으로 공격한다는 기술적 증거를 이번에 처음 확인했다고 밝혔습니다.
광고 시스템의 구조적 위험
온라인 광고는 사용자 프로필을 바탕으로 광고를 실시간 입찰하는 구조입니다. Citizen Lab은 이 불투명한 시장이 감시에 악용될 수 있다고 지적합니다. 가디언은 광고 시장의 규제가 약하고 악의적인 행위자가 이를 활용한다는 연구진의 우려를 전했습니다. Christl은 미국과 유럽 등의 사이버 보안 기관, 규제 당국, 입법부가 관련 업체를 조사하고 악성 광고 표적화를 가능하게 하는 위험을 해결해야 한다고 촉구했습니다. Discover-Tech에는 논평을 요청했지만 기사에 답변은 실리지 않았습니다.
Hacker News 반응
- @fergie — 이게 실제로 어떻게 작동하나요? 브라우저 핑거프린팅을 말하는 건가요, 아니면 다른 기술인가요?
- @chunkyslink — Citizen Lab과 Confiant 보고서에 나온 광고 기반 스파이웨어의 작동 방식입니다. 정문으로 들어왔습니다. Discover-Tech은 광고 구매 플랫폼을 운영했고 6년 동안 Google과 IAB Europe의 '인증' 업체 목록에 있었습니다. 침입해서 들어온 게 아닙니다. 다른 광고 구매자처럼 입찰했습니다. 광고는 게임, AliExpress 할인, IP 조회 사이트의 평범한 배너처럼 보였습니다. 각 광고에는 광고가 뜰 때 조용히 서버에 연락하는 작은 스크립트가 들어 있었습니다. 광고를 본 사람은 모두 프로파일링됐습니다. 스크립트는 기기 정보와 IP 주소를 수집했고, 여러 사이트에서는 게시자 쿠키도 수집했습니다. 로그인 세션 토큰이 포함된 경우도 있었습니다. 쿠키 동기화로 다른 광고 네트워크와 연결해 큰 신원 그래프를 만들었습니다. 선택된 표적에게만 페이로드를 보냈습니다. 중계 서버가 기기의 광고 ID와 IP를 확인했습니다. 대부분은 아무것도 받지 않았습니다. 선정된 표적은 Candiru의 스파이웨어로 연결됐고, 코드는 한 번만 전달돼 연구자가 포착하기 어려웠습니다. 암호화된 통신, 계속 바뀌는 호스팅, 봇 차단 검사, 사람을 속이려는 가짜 'Copyright Google' 주석도 사용했습니다. 알자지라 기기 최소 45대가 표적이 됐고 감염된 기기에서 스파이웨어가 확인됐습니다. 광고는 거의 20만 개 앱과 웹사이트에 노출됐으며 실제 광고주나 수익 흔적은 거의 없었습니다.
- @gruez — 이 댓글은 AI가 작성했나요? 문구가 수상해 보여서 pangram에 넣어 보니 AI 작성으로 표시됐습니다.
- @andunie — 광고 차단기가 이런 공격을 막아 주나요?
- @c16 — 웹에서는 그럴 가능성이 있습니다. 모바일 앱에 광고가 들어 있다면 그렇지 않을 수 있습니다. DNS 광고 차단기를 사용하세요.
- @oulipo — 광고 네트워크를 이용해 페이지를 방문한 특정 사용자를 표적으로 삼습니다. 예를 들어 표적의 성별, 나이, 거주 지역을 알고 다른 조건까지 확인하면 한 사람을 거의 특정할 수 있습니다. 그다음 광고 네트워크가 취약점을 악용하는 광고를 전달합니다. 손상된 JPEG 디코더에 악성 이미지를 보내 기기에서 임의 코드를 실행하는 식입니다. 거기서부터 컴퓨터에 접근합니다.
- @Cider9986 — Signal 같은 메신저가 전혀 쓸모없는 건 아닙니다. 스파이웨어 업체에 돈을 내는 일은 직원에게 이메일을 보내거나 판사에게 요청하는 일보다 비용이 많이 듭니다. GrapheneOS를 쓰는 Pixel에서 메시지 보안이 꽤 잘 지켜진다고 생각합니다. 제가 상대하는 사람 대부분은 보안 면에서 GrapheneOS 다음으로 안전한 iPhone을 씁니다. 제 위협 모델에는 용병형 스파이웨어가 포함되지 않습니다. 대부분의 사람도 마찬가지일 겁니다.
- @sbdaman — Controlium 플랫폼을 분석하던 중 'csv-download'라는 엔드포인트를 소스 코드에서 발견했습니다. 시작일과 종료일을 받는 엔드포인트였습니다. 비밀번호나 특별한 헤더, 인증 토큰 없이 일반 HTTP GET 요청을 보냈는데 Controlium에 로그인한 사용자와 IP 주소가 담긴 로그를 받았습니다. 정말 어리석네요.
원문: The Guardian / 번역·요약: Trawling