Le malvertising menace l'IoT domestique : des publicités cachées peuvent compromettre vos appareils

Jusqu'à récemment, je n'avais jamais rencontré le terme malvertising — publicité malveillante — et encore moins sa capacité à cibler les appareils IoT domestiques intelligents. En tant que personne qui écrit sur la sécurité IoT, un rapport selon lequel une bande criminelle d'Europe de l'Est a utilisé le malvertising pour compromettre des appareils domestiques m'a incité à approfondir.

Je me demandais comment l'affichage de mon compteur d'électricité intelligent pouvait devenir une cible. Ma compréhension limitée me faisait penser qu'un clic sur une publicité était nécessaire, mais la réalité est bien plus alarmante : aucun clic n'est nécessaire.

Le malvertising injecte du code malveillant dans les publicités en ligne via les réseaux publicitaires, exposant ainsi les réseaux d'utilisateurs et les appareils connectés à l'infection. Les réseaux publicitaires ignorent généralement le contenu qu'ils diffusent. GeoEdge, une entreprise de cybersécurité publicitaire mobile, a révélé que les utilisateurs n'ont pas besoin de cliquer ou de visiter une page malveillante pour que l'attaque atteigne les appareils du réseau domestique.

GeoEdge a identifié une campagne mondiale de malvertising ciblant spécifiquement les appareils IoT du réseau domestique. Leurs recherches, en cours depuis mi-juin 2021, ont retracé le vecteur d'attaque jusqu'à des acteurs malveillants en Slovénie et en Ukraine.

Ce vecteur répandu représente la première utilisation de la publicité en ligne pour installer silencieusement des applications sur des appareils IoT connectés au Wi-Fi. Les attaquants n'ont besoin que d'une compréhension basique de la documentation API des appareils, de compétences en JavaScript et de connaissances rudimentaires en publicité programmatique. Avec IoT Analytics prévoyant plus de 30 milliards de connexions d'appareils dans le monde d'ici 2025, la surface d'attaque potentielle est énorme.

Les conséquences sont graves : les attaquants peuvent manipuler les appareils, installer des applications sans consentement de l'utilisateur, voler des données personnelles, détourner des instruments financiers et manipuler des systèmes domestiques tels que les serrures et caméras intelligentes. GeoEdge souligne que les antivirus ou pare-feu traditionnels sont insuffisants ; le blocage en temps réel des publicités infectées est essentiel.

Interrogé sur l'ampleur de l'attaque, le PDG de GeoEdge, Amnon Siev, a déclaré que les détails quantitatifs n'étaient pas disponibles, l'enquête restant active. Il a confirmé que la menace existe et que les publicités malveillantes peuvent atteindre les appareils même au sein de réseaux domestiques sécurisés.

La campagne provient d'un réseau criminel d'Europe de l'Est qui exploite la publicité programmatique — un canal de distribution rentable et évolutif. GeoEdge a collaboré avec les entreprises adtech InMobi et Verve Group pour retracer l'origine, l'infrastructure et l'empreinte mondiale des attaques, établissant une nouvelle norme pour la protection des utilisateurs.

La conclusion est claire : même les maisons intelligentes bien sécurisées peuvent être vulnérables à des points d'entrée imprévus. Le malvertising n'est que l'un des nombreux vecteurs d'attaque que les attaquants peuvent exploiter.

>> Cet article a été initialement publié sur notre site sœur, EE Times.