Un milliard d’impressions à risque : les leçons à tirer du piratage d’Adform

Visitez un site familier et repartez avec un script voleur de cryptomonnaies. Comment se protéger contre les attaques provenant des publicités en ligne ?

Ce que l'on sait sur le vol de cryptomonnaies via les publicités Adform

Adform, une importante plateforme publicitaire, est restée compromise pendant environ 24 heures, entre la fin de la journée du 26 juillet et la soirée du 27 juillet, après avoir été piratée par un groupe inconnu. Peu de gens en dehors du secteur connaissent ce nom, mais Adform diffuse chaque jour environ 1,5 milliard d’impressions publicitaires sur des dizaines de milliers de sites. Cela signifie que toute personne visitant un site sur lequel sont diffusées des publicités Adform pourrait avoir été ciblée.

Les pirates ne cherchaient pas à installer de programmes malveillants. Au lieu de cela, ils ont exécuté un script dans le navigateur de la victime qui vérifiait le presse-papiers toutes les trois secondes et, s’il détectait qu’une adresse de portefeuille de cryptomonnaie avait été copiée, la remplaçait par celle de leur propre portefeuille. Donc, si un utilisateur avait ouvert un site contenant cette publicité malveillante dans un onglet de son navigateur et effectuait une transaction de cryptomonnaie dans un autre onglet ou via une application dédiée, les fonds auraient pu finir dans les poches des pirates à la place. Les responsables d’Adform ont détecté l’attaque et résolu le problème, mais rien ne garantit qu’un incident similaire ne se reproduira pas. C’est pourquoi chaque utilisateur devrait se protéger contre les publicités malveillantes. Découvrez nos conseils à la fin de cet article.

Ce que l’on sait de l’attaque contre Adform

Il n’y a pas beaucoup d’informations disponibles, car le communiqué officiel de l’entreprise se contente d’exposer ce qui s’est passé et à quel moment, sans aborder la cause profonde de l’incident. Des recherches indépendantes ont mis au jour des détails techniques sur la manière dont les utilisateurs ordinaires ont été ciblés, mais rien de tout cela n’explique comment Adform a pu être piratée au départ.

Ce qui est clair, c’est que les pirates ont injecté leur propre code dans le code JavaScript chargé sur chaque site diffusant des annonces Adform. Chaque fois qu’une annonce était sur le point de s’afficher, le script se chargeait depuis le serveur d’Adform, sélectionnait la bonne annonce et l’affichait, mais les pirates avaient ajouté une série de fonctions malveillantes : surveiller le presse-papiers, renvoyer vers leur propre serveur des données concernant le site sur lequel l’annonce avait été vue ainsi que l’adresse IP de la victime, et remplacer les adresses de portefeuilles Bitcoin, Ethereum et Tron.

Pour que cela fonctionne, il suffisait d’ouvrir un onglet de navigateur contenant n’importe quel site diffusant des annonces via Adform. Peu importait le type de site, l’aspect de l’annonce ou l’identité de l’annonceur. La seule chose qui comptait, c’était de savoir si le site fonctionnait selon le protocole HTTP ou HTTPS. Selon Adform, l’attaque n’a pas pu être menée à bien sur un site chargé via le protocole HTTPS, car la connexion au serveur des pirates était bloquée dans ce cas précis.

L’entreprise n’a communiqué aucune information concernant le nombre d’utilisateurs concernés, ni le nombre de sites qui continuent de diffuser leur contenu et leurs publicités via le protocole HTTP.

Les publicités malveillantes sont monnaie courante

Malheureusement, les publicités en ligne dangereuses sont devenues un problème généralisé. Et nous ne parlons pas seulement de promotions douteuses pour des compléments alimentaires ou de jeux d’argent, mais bien de publicités qui diffusent des programmes malveillants ou redirigent vers des sites conçus pour voler des informations de paiement et d’autres données sensibles. Les pirates ont mis en place une infrastructure à grande échelle pour mener à bien cette opération, et ils recourent à plusieurs méthodes différentes.

  • Piratage et compromission de serveurs publicitaires. Le cas d’Adform n’est pas un cas isolé : des pirates ont déjà réussi à s’introduire dans les serveurs publicitaires de Revive, par exemple, et à diffuser des programmes malveillants via des publicités sur PornHub.
  • Piratage des comptes publicitaires de marques légitimes et réputées. Il suffit de voler le mot de passe d’un membre du service marketing. À partir de là, les cybercriminels diffusent des publicités en se faisant passer pour l’entreprise qu’ils ont piratée, proposant de fausses mises à jour d’applications, des promotions bidon et d’autres escroqueries du même genre. Dans les cas les plus graves, comme les piratages de comptes sur adtech.de et adxpansion.com, les pirates ont réussi à diffuser des annonces qui redirigeaient directement les victimes vers des installations automatiques de programmes malveillants (téléchargements furtifs).
  • Achat direct d’annonces. Vous avez bien lu : les pirates informatiques créent simplement leurs propres comptes d’annonceurs et diffusent des annonces pour leurs sites de phishing et leurs programmes malveillants, comme n’importe quelle autre entreprise en ligne.

Comme les annonces sont présentes pratiquement partout (sur les sites Internet, dans les applications et sur les réseaux sociaux), ces menaces peuvent surgir dans pratiquement n’importe quel contexte. Vous trouverez d’ailleurs différentes variantes de ces menaces aussi bien sur les ordinateurs que sur les appareils mobiles.

Comment se protéger des annonces malveillantes ?

La seule façon de réduire considérablement vos risques consiste à bloquer autant de publicités que possible et à renforcer la protection contre les cyberattaques sur tous vos appareils:

  • Utilisez un service DNS sécurisé intégrant un filtrage de contenu. Ces services permettent de bloquer efficacement la plupart des réseaux publicitaires connus. Le principe est simple : chaque fois que votre appareil tente de se connecter à un serveur, le service DNS bloque les requêtes vers des domaines publicitaires connus. Cette fonctionnalité désactive les publicités partout en même temps : sur les téléviseurs connectés, dans tous les navigateurs et dans les applications mobiles. Certains fournisseurs d’accès Internet proposent cette fonctionnalité, mais une solution plus simple et plus universelle consiste à configurer vous-même un DNS sécurisé sur votre routeur domestique en suivant notre guide.
  • Activez les bloqueurs de publicités et de suivi dans votre solution de cybersécurité tout-en-un. Nous recommandons Kaspersky Premium, qui appelle cette fonctionnalité Anti-bannières. Ce type de protection est particulièrement important lors de vos déplacements, car les serveurs DNS sécurisés peuvent parfois entraîner des problèmes de connexion dans les hôtels, les restaurants et les aéroports.
  • Utilisez une protection de navigateur. Un logiciel de sécurité de base peut empêcher le téléchargement et l’exécution de programmes malveillants, mais un petit script de vol de données comme celui utilisé dans l’attaque Adform peut tout de même passer inaperçu. Pour vous prémunir contre ce risque, utilisez une solution de sécurité capable d’analyser réellement ce qui se passe au sein de votre navigateur. Dans Kaspersky Premium, cette fonctionnalité est assurée par l’extension de navigateur Kaspersky Protection. Elle vous protège contre la collecte de données en ligne, bloque les annonces publicitaires, sécurise vos paiements, protège vos frappes au clavier et bloque le phishing.

Vous souhaitez connaître les autres risques liés aux publicités en ligne et apprendre à vous en protéger ? Découvrez nos autres articles :

Conseils
  • For all other countries