광고로 위장한 스파이웨어, Al Jazeera 감염까지 노출
원제 Zero-Click Spyware Delivered via Targeted Ads: AdFection
200 포인트댓글 35
Key Point
온라인 광고 생태계가 개인 추적, 클릭 없는 스파이웨어 배포, 익명성 제거에 악용되고 있으며, Google 같은 대형 플랫폼의 검증 체계도 통과했다는 점이 광고 기반 인터넷의 보안 위기를 보여준다.
핵심 요약
- 시민실험실이 Discover-Tech라는 이스라엘 회사가 타겟 광고로 용병급 스파이웨어를 배포하는 'AdFection' 공격을 처음 기술적으로 확인했다.
- Discover-Tech는 Controlium 플랫폼으로 모바일 광고 ID, 쿠키, IP 주소를 바탕으로 개인을 지목하고 클릭 없이 자동 감염시키는 방식으로 작동한다.
- 2024~2025년 Al Jazeera는 Discover-Tech 광고를 통해 배포된 Candiru 스파이웨어에 45대 이상 기기가 감염되었으며, 감염 장치는 Discover-Tech 도메인 → Candiru 검증 서버 → C&C 서버 순서로 연결된다.
- 4억 건의 입찰 기록 분석 결과, Discover-Tech 광고는 4개월간 수십 개 국가의 거의 200,000개 웹사이트와 안드로이드/iOS 앱에 노출되었다.
- Discover-Tech는 Google, IAB Europe 인증 광고사로 등재되어 정당성을 획득했으며, Google, Yandex, Beeswax 등 주요 광고 네트워크를 통해 광고를 게재했다.
- 수백만 대 기기를 Candiru 서버로 유도하는 추적 활동도 확인되었으며, Intelos, Bindecy 등 다른 용병 해킹 회사들과도 연계되어 있다.
- 별도 위협 행위자 'DARK CARTOGRAPHER'는 Discover-Tech 인프라를 악용해 휴대통신사 취약점을 공략하고 광고 ID와 전화번호를 대규모 연결하는 익명성 제거 작업을 수행 중이다.
- Discover-Tech는 GDPR 동의 프레임워크도 악용해 EU 사용자 타겟팅을 수행했으며, 광고 생태계의 구조적 결함으로 인해 악용이 적발되거나 차단되지 않았다.
- 조사 결과 Google, IAB Europe, Beeswax, Vungle, Eskim는 Discover-Tech 접근을 차단했으나, 일부 광고 업체는 의견 제시 기한 내 응답하지 않았다.
- Discover-Tech는 광고 배치를 위해 MyDSP, Eskim, Beeswax를 사용했으며, 광고의 NOAS 서버는 IP와 광고 ID로 대상 자격을 판단해 특정 사용자에게만 악성 코드를 실행하도록 설계되었다.
- 보고서는 입법기관, 규제기관, 방어자, 광고 업계에 AdFection 공격 차단 방안을 제시하고 있다.