A malvertising está mostrando suas garras, mais uma vez.

Anúncios online maliciosos aumentam e recuam em ciclos desde os primeiros dias da internet. Você se lembra quando anúncios de banner infectados e barras de ferramentas virais lotavam os primeiros navegadores?

A cada nova geração de anúncios maliciosos, o setor de publicidade online, liderado pelo Google, reagiu e manteve essa praga em um nível publicamente aceitável.

No entanto, a malvertising nunca foi tão dinâmica, furtiva e persistente como é hoje. Veja o que você deve saber sobre essa ameaça online de sempre.

Manipulação do ecossistema

A malvertising já permeou o ecossistema altamente dinâmico da publicidade online, compras e serviços bancários do qual dependemos. Para isso, ela aproveitou a abertura dos navegadores em nossos dispositivos de computação, ou seja, nossos smartphones e PCs.

O código da malvertising geralmente circula em minúsculos iframes, o elemento HTML que permite que os objetos apareçam em uma página da Web sem alterá-la. Esse código ruim vai e vem circulando até nos websites conhecidos e de alto tráfego, como parte do fluxo de anúncios da web que são colocados dinamicamente pelas redes de publicidade online, a maior das quais é a do Google.

Malvertisers manipulam esse ecossistema de várias formas. Existem infinitas maneiras de invadir diretamente os sites e redes de anúncios. Portas e janelas são deixadas bem abertas em aplicativos e softwares que estão sendo desenvolvidos rapidamente para suportar um crescente exército de terceirizados que fornecem serviços de carrinho de compras, plataformas de gerenciamento de dados, sistemas de habilitação de retargeting, etc.

“Os criminosos insinuam seu código malicioso como parte do código que renderiza no dispositivo da vítima”, diz Chris Olson, CEO da Media Trust, um fornecedor de segurança de sites baseado em McLean, Virgínia. “Se você visitar um grande site de varejo, poderá encontrar 100 ou 150 empresas de terceiros que têm acesso ao seu dispositivo. Na maior parte do tempo, ninguém está realmente pensando na segurança de todos esses aplicativos de terceiros. Eles mal são monitorados”.

Outra jogada preferida pelos cibercriminosos é se estabelecer como uma rede de anúncios independente e depois ter paciência para se comportar como um cidadão modelo até ganhar confiança. Depois de alcançar uma boa posição, o invasor começa a inserir anúncios maliciosos no fluxo diário desse ecossistema.

Ataques de última geração

Um ataque recente, chamado de PayLeak, teve como alvo consumidores que usam os navegadores nos seus smartphones para visitar sites de jornais e revistas premium, nos quais foi incorporado a malvertising.

Todos os que visitam um desses sites recebem um kit de exploração que verifica se o dispositivo comprometido é um Android ou um iPhone e descobre se o dispositivo está protegido por antivírus e se está na posição vertical ou horizontal.

O PayLeak depois redirecionava os usuários de Android para um site de phishing usando um prêmio de cartões-presente da Amazon como isca. Os usuários de iPhone recebiam pop-ups sucessivos: primeiro, um alerta sobre atualização, depois instruções falsas sobre como atualizar sua conta Apple Pay.

Em outro ataque recente e de última geração, os cibercriminosos atacaram pequenas lojas online com um malware apelidado de CartThief, projetado para fazer invadir sites usando a Magento, a plataforma de comércio eletrônico de código aberto.

O CartThief entrava em ação assim que um usuário clicava em uma página de checkout e enviava um pagamento online. O malware copiava, criptografava e enviava dados pessoais e financeiros da transação para o servidor de comando e controle do invasor.

Os cibercriminosos do CartThief conseguiram fazer isso através de uma sobreposição no dispositivo de computação da vítima, que a enganava para divulgar as informações pessoais. O editor do site não vê isso, nem a empresa financeira. A transação é realmente concluída. Os criminosos saem com os dados pessoais, sem que o consumidor, o editor e o banco desconfiem.

Eles então vendem os dados roubados em lotes de alto preço. A malvertising atual usa, surpreendentemente, ferramentas como cookies, rastreamento de dados e sobreposição de código: todos softwares já são commodities abertamente disponíveis no ecossistema de publicidade online.

Campanhas como PayLeak e CartThief mostram como é essencial que os consumidores estejam cientes do fato de que o próximo site que visitarem pode estar cheio de armadilhas invisíveis e que cabe a cada indivíduo reduzir sua pegada digital.

Como se proteger

Aqui estão algumas práticas de bom senso para se proteger de malvertising:

• Compre uma proteção antivírus robusta e a mantenha atualizada em todos seus smartphones e PCs. O software antivírus vai detectar e desabilitar os kits de exploração e vai escanear seus dispositivos em busca de infecções recentes.
  
  
• Desative os plug-ins do navegador que você realmente não usa e altere as configurações dos plug-ins que você usa para “clicar para reproduzir”. Os criminosos sabem tudo sobre plug-ins e eles ajustam continuamente os kits de exploits para procurar aqueles que são úteis para realização de atividades maliciosas. Pode ser inconveniente usar configurações manuais, mas você também está dificultando as coisas para o invasor.
  
  
• Mantenha seus sistemas operacionais, seus navegadores e seus plug-ins com correções aplicadas e atualizados. Repetindo, isso se aplica a todos os seus smartphones e PCs. Se você os usa online, eles estão prontos para serem atacados. Vulnerabilidades novas são descobertas o tempo todo e se você vacilar, os kits de exploração vão te encontrar.
  
  
• Considere usar um bloqueador de propagandas. Bloqueadores de propagandas poder ser complicados e requerem o uso correto. Eles podem reduzir seu risco, mas também podem degradar sua experiência de uso abaixo do seu nível de tolerância. Bloqueadores de propaganda estão sempre evoluindo, mas fornecedores de malvertising podem encontrar maneiras de contorná-los. Os criminosos são oportunistas e procuram alvos fáceis. Então, o uso de bloqueador de propaganda pode tornar você menos vulnerável. É preciso lembrar: a Avast tem um bom bloqueador de propaganda em seu navegador gratuito, o Avast Secure Browser.

As forças que movimentam este ciclo atual de malvertising são complexas e potentes. O Google entende isso e está lutando contra. No entanto, muitos editores de websites, redes de publicidade menores e fornecedores terceirizados não parecem entender totalmente as vulnerabilidades crescentes do ecossistema atual, muito menos o que eles mesmos devem fazer para dificultar a ação de agentes de ameaça.

Provavelmente, eles serão iluminados em algum momento e este ciclo atual vai desacelerar. Enquanto isso, os consumidores precisam se defender sozinhos, ou sofrer as consequências.

O que você acha da malvertising? Participe da conversa com o Avast no Facebook e Twitter. Até breve.

Aaron Sebastian