adware

Adware to oprogramowanie, które wyświetla albo podmienia reklamy bez świadomej zgody użytkownika i przy okazji często profiluje jego zachowanie. Microsoft zalicza je do aplikacji potencjalnie niepożądanych (PUA) jako oprogramowanie reklamowe: wyświetla reklamy lub promocje w innych programach niż ono samo, a ta kategoria obejmuje też programy wstawiające reklamy do stron internetowych ^[1]. Microsoft zaznacza, że PUA nie są uznawane za złośliwe oprogramowanie ^[1]. Granica zaciera się jednak, gdy adware ukrywa się, przechwytuje ruch albo osłabia zabezpieczenia systemu.

Jak działa

Adware zarabia na wyświetleniach i kliknięciach reklam, więc potrzebuje dostępu do tego, co użytkownik ogląda. Najprostsze odmiany otwierają okna z reklamami. Bardziej inwazyjne wstrzykują reklamy do stron w przeglądarce, podmieniają wyniki wyszukiwania albo przekierowują ruch.

Przykład Superfish pokazuje, jak daleko może sięgnąć wstrzykiwanie reklam. Program instalował w systemie własny certyfikat urzędu certyfikacji i przepuszczał ruch przeglądarki przez serwer proxy, żeby dodawać reklamy także do stron szyfrowanych ^[3]. CISA opisała ten mechanizm jako przechwytywanie ruchu metodą man-in-the-middle (MITM): program odszyfrowywał połączenia HTTPS i ponownie je szyfrował przed przekazaniem do przeglądarki ^[2].

RYS. 1Wstrzykiwanie reklam przez lokalny proxy (schemat Superfish)

Przeglądarka ufa takiej odpowiedzi, bo certyfikat adware został wcześniej dodany do zaufanych urzędów certyfikacji. Użytkownik nie widzi żadnego ostrzeżenia.

Kiedy adware jest niepożądane

Microsoft opisuje zasady, których złamanie sprawia, że program reklamowy traktowany jest jako oprogramowanie niepożądane ^[1]. Zestawia je tabela.

Osobną kategorią PUA jest według Microsoftu oprogramowanie marketingowe, które monitoruje aktywność użytkownika i przesyła ją innym aplikacjom lub usługom w celach badań marketingowych ^[1]. Takie zachowanie zbliża adware do oprogramowania szpiegowskiego i śledzenia w internecie.

W WordPressie

W WordPressie problem adware występuje w dwóch postaciach: jako reklamy wciskane administratorowi w panelu i jako reklamy lub linki wstrzykiwane na publiczną stronę.

Wytyczne katalogu wtyczek WordPress.org ograniczają obie. Wytyczna 11 mówi, że wtyczki nie powinny przejmować kokpitu: zachęty do zakupu, powiadomienia i alerty mają być ograniczone i używane oszczędnie, najlepiej kontekstowo albo tylko na stronie ustawień wtyczki ^[5]. Wytyczna 10 wymaga, by wszelkie dopiski „Powered By” i linki na publicznej stronie były opcjonalne i domyślnie wyłączone ^[5]. Wytyczna 7 zabrania kontaktu z zewnętrznymi serwerami bez wyraźnej zgody, a wśród niedozwolonego śledzenia wymienia mechanizmy reklamowe firm trzecich monitorujące aktywność ^[5].

Wtyczki spoza oficjalnego katalogu tych zasad nie muszą przestrzegać. Piracka wtyczka albo fałszywa wtyczka może wstawiać na stronę reklamy, ukryte linki lub SEO spam, a także kierować gości przez złośliwe przekierowania. Wtedy ofiarą adware nie jest właściciel strony, tylko jej odwiedzający. Przypadek taki warto odróżniać od malvertisingu, w którym złośliwa reklama trafia na stronę przez legalną sieć reklamową.

Zagrożenia i skutki

• Osłabienie szyfrowania. W przypadku Superfish klucz prywatny dało się łatwo wydobyć z programu, więc atakujący mógł wygenerować certyfikat dla dowolnej witryny, akceptowany przez przeglądarkę bez ostrzeżeń ^[2]. Umożliwiało to podszywanie się pod banki i pocztę ^[2]. Klucze prywatne były takie same na wszystkich laptopach z tym programem ^[3].
• Dostęp do danych wrażliwych. FTC stwierdziła, że VisualDiscovery miał bez wiedzy i zgody użytkowników dostęp do danych logowania, numerów ubezpieczenia społecznego, informacji medycznych oraz danych finansowych i płatniczych ^[4].
• Profilowanie. Oprogramowanie przesyłające dane o aktywności użytkownika do celów marketingowych Microsoft klasyfikuje jako niepożądane ^[1].
• Dalsze infekcje. Reklamy, które wywołują pobieranie plików albo zawierają złośliwy kod, łamią kryteria Microsoftu ^[1] i są drogą do instalacji innych programów.

Jak się bronić

• Instalować programy i rozszerzenia tylko ze znanych źródeł i czytać ekrany instalatora; Microsoft wśród PUA wymienia oprogramowanie dołączające do instalacji programy innych producentów ^[1].
• Włączyć ochronę przed PUA w programie antywirusowym i przeglądarce, która według Microsoftu jest dostępna w Microsoft Defender i w przeglądarce Edge ^[1].
• Po usunięciu adware przechwytującego HTTPS sprawdzić magazyn certyfikatów. CISA podkreślała, że samo odinstalowanie Superfish nie usuwało certyfikatu ^[2]; trzeba było usunąć certyfikat główny „Superfish, Inc.” ręcznie ^[2].
• Na stronie WordPress używać wtyczek z oficjalnego katalogu, w którym obowiązują opisane wyżej wytyczne ^[5], i okresowo przeglądać kod strony skanerem złośliwego oprogramowania.

Historia i przykłady

Superfish na laptopach Lenovo (2014–2017). Źródła różnie datują początek fabrycznej instalacji: CISA podaje wrzesień 2014 roku ^[2], a FTC sierpień 2014 roku ^[4]. Niebezpiecznik wymieniał wśród modeli z tym programem między innymi serie G, Y, Z, U, S, Flex, MIIX i Yoga ^[3]. CISA wydała alert TA15-051A 20 lutego 2015 roku ^[2]. FTC 5 września 2017 roku ogłosiła ugodę z Lenovo: firma musi uzyskiwać wyraźną zgodę konsumentów przed preinstalowaniem oprogramowania wstrzykującego reklamy i przez 20 lat prowadzić program bezpieczeństwa oprogramowania z audytami zewnętrznymi ^[4]. Według FTC VisualDiscovery wyświetlał wyskakujące reklamy partnerów handlowych, gdy użytkownik najechał kursorem na podobny produkt na stronie ^[4], i działał jako pośrednik między przeglądarką a stronami, także szyfrowanymi ^[4].