DecryptAds deckt verstecktes Online-Werbetracking auf

DecryptAds, ein neu gestarteter kostenloser Dienst, kartiert die oft verborgenen Werbe- und Datensammelbeziehungen hinter Websites und mobilen Apps. Der Dienst durchsucht kontinuierlich öffentliche Dateien, die Websites und Apps veröffentlichen müssen, um offenzulegen, welche Unternehmen Anzeigen schalten oder Daten sammeln dürfen: ads.txt für Websites, app-ads.txt für mobile und Smart-TV-Apps sowie buyers.json/sellers.json-Dateien, die zeigen, wer Werbeplätze kauft, verkauft oder weiterverkauft. Durch den Abgleich dieser Erklärungen erstellt DecryptAds ein vollständigeres Bild des Adtech-Ökosystems rund um jede Domain.

Zach Edwards, Chief Research Officer von DecryptAds und Bedrohungsforscher bei Infoblox, sagte gegenüber KrebsOnSecurity, dass er und zwei Mitgründer den Dienst für Datenschutz- und Sicherheitsanwendungsfälle entwickelt haben, die seiner Meinung nach dramatisch unterversorgt sind. Er beschrieb ihn als ein Adtech-Tool, das aus einer Sicherheitsperspektive angegangen wird. Die Website weist darauf hin, dass Probleme mit der Lieferkettenintegrität selten in einer einzigen Datei liegen; sie zeigen sich als fehlerhafte Querverweise zwischen ads.txt-, app-ads.txt- und sellers.json-Dateien, als geklonte Erklärungsdatensätze über nicht zusammenhängende Domains, als Verkäuferentfernungen, die nur im Austauschkontext Sinn ergeben, und als Lieferpfade in Gebotsprotokollen, die in keiner autorisierten Verkäuferliste eines Publishers auftauchen.

Eine Suche nach espn.com auf DecryptAds zeigt 143 Werbepartner und 19 registrierte Datenhändler-Domains, die in den ads.txt- und app-ads.txt-Dateien aufgeführt sind. Die Datenhändler-Informationen werden verfügbar, weil Kalifornien, Oregon, Texas und Vermont Gesetze verabschiedet haben, die Datenhändler zur Registrierung verpflichten, wenn sie Daten von Einwohnern dieser Bundesstaaten kaufen oder verkaufen. DecryptAds berichtet, dass fast die Hälfte dieser Händler Geolokalisierungsdaten von ESPN-Besuchern sammelt, die keine Anzeigen blockieren, während drei weitere angeben, Gerätefingerabdrücke und sensible persönliche Informationen zu sammeln.

DecryptAds kennzeichnet auch Werbepartner in sogenannten Geo-Risikogebieten, darunter China und Russland oder Länder mit starken finanziellen und politischen Verbindungen zu beiden, wie Zypern und die Vereinigten Arabischen Emirate. Für ESPN identifiziert DecryptAds vier Werbeunternehmen mit Sitz in Russland, China oder den VAE. Eines davon ist Between Digital, das eine New Yorker Adresse angibt, aber als russisches Unternehmen gekennzeichnet ist. Seine Publisher-Angebote werden über die Alfa Bank abgewickelt, Russlands größte private Geschäftsbank, die 2022 nach dem Einmarsch Russlands in die Ukraine unter US-Sanktionen gestellt wurde. KrebsOnSecurity bat Between Digital und seinen Gründer um eine Stellungnahme. Suchen nach mehreren US-Militärnachrichtenseiten, darunter armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com und federaltimes.com, zeigen, dass sie alle Between Digital erlauben, Anzeigen zu schalten und Nutzer zu verfolgen, zusammen mit zwei Unternehmen in den VAE und einem weiteren in Panama. DecryptAds berichtet, dass Between Digital Werbedaten auf etwa 55.000 Partnerwebsites sammelt.

Ein Wechsel auf die app-ads.txt-Datei von Between Digital offenbart Hunderte von Domains mit einfachen Webspielen, die häufig durch Anzeigen unterbrochen werden. Edwards sagte, dass Between Digitals eigene Erklärungen zeigen, dass es auf etwa zwei Dritteln seines Portfolios sowohl als Publisher als auch als Wiederverkäufer auftritt, was seiner Meinung nach Möglichkeiten für Interessenkonflikte schafft, indem ein Unternehmen beide Seiten der Gebotsgleichung spielen kann. Er fügte hinzu, dass jahrelang fast niemand diese Dateien überwacht hat.

Das Opera-Browser-Profil auf DecryptAds veranschaulicht, wie Eigentum und Adtech-Partner auseinandergehen können. Seit 2016 ist Opera mehrheitlich im Besitz und unter Kontrolle des chinesischen Unternehmens Kunlun Tech, während der operative Hauptsitz in Oslo, Norwegen, bleibt. Das Profil von Opera.com zeigt 27 registrierte Datenhändler, die Informationen sammeln, darunter 15 Adtech-Partner in den VAE, sechs in China, drei in Zypern, zwei in Russland und je einen in Hongkong und der Ukraine. DecryptAds stellt fest, dass diese Unternehmen nur sieben Prozent der in den ads.txt- und app-ads.txt-Dateien von Opera.com angegebenen Adtech-Partner ausmachen.

DecryptAds bietet auch eine Legal-Dossier-Suche an, die pro Suche mehrere Minuten dauert, aber detaillierte Eigentums-, Registrierungs- und Alias-Informationen für eine Domain oder App zurückgibt. Diese Funktion verbindet Domains mit Adtech-Unternehmen und anderen Websites. Zum Beispiel berichtete KrebsOnSecurity zuvor über Forscher von Bitsight, die herausfanden, dass H96 TV-Streaming-Sticks heimlich die Internetverbindung jedes Nutzers an Fremde vermieten und sich im Leerlauf als Mobiltelefone ausgeben, die Anzeigen auf KI-generierten Slop-Websites anklicken. Bitsight kam zu dem Schluss, dass das chinesische Unternehmen Fengwo Group mehrere bösartige Apps erstellte, die auf diesen Geräten verbreitet sind, und auch das Netzwerk von Anzeigen- und Slop-Websites betrieb. Ein DecryptAds-Legal-Dossier zu einer inzwischen inaktiven Fengwo-Group-Domain für die Slop-Website medicalbeautyhub dot com zeigt, dass sie eine Verkäufer-ID, 1674071, mit einer Gaming-Website, giacoloredstones dot com, teilt, die eine weitere Verkäufer-ID, 103488000, hat. Ein Wechsel auf diese letztere ID offenbart Hunderte aktiver Websites im russischen Yandex-Anzeigensystem mit minderwertigen Spielen oder einfachen Dienstprogrammen, die Besucher mit Anzeigen überschütten.

DecryptAds zeichnet auch auf, was Edwards stille Entfernungen nennt. Wenn Werbenetzwerke einen Werbetreibenden verdächtigen, unauthentische Klicks oder bösartige Anzeigen zu verwenden, entfernen sie den Übeltäter oft aus ihrer genehmigten Partnerliste, ohne es jemand anderem mitzuteilen. DecryptAds hat einen Feed für stille Entfernungen, der Verkäuferentfernungen über Werbebörsen für dieselbe Verkäuferdomain oder denselben Namen korreliert. Edwards sagte, die Branche halte Betrugsberichte oft privat, sodass die Öffentlichkeit nur sieht, wie ein Verkäufer ohne Erklärung aus sellers.json verschwindet. Das macht es schwierig zu wissen, wer verdächtig ist.

Edwards sagte, Malvertising – die Praxis, bösartige Anzeigen zu schalten, die Malware oder Phishing-Seiten verbreiten – sei heute auf neu generierten KI-Slop-Websites weitaus häufiger als auf stark frequentierten Zielen, die für Werbequalitätsschutz bezahlen. Diese Slop-Websites sind voll mit maschinell generierten Blogbeiträgen und Bildern zu Themen wie Heimwerken, Rezepte, Jagd, Autos und Unterhaltungselektronik. Wenn Organisationen von bösartigen Anzeigen getroffen werden, sagte Edwards, erkennen viele nicht, dass die Antwort oft in einem der in der ads.txt- oder app-ads.txt-Datei der Website aufgeführten Unternehmen liegt. Er sagte, seriöse Organisationen beginnen zu verstehen, dass sie ohne Aufschlüsselung dieser Werbedaten nicht wissen werden, wer Menschen mit Zero-Click-Payloads angreift.

Edwards behauptet, dass die Lösung von Malvertising und KI-Slop mehr Datenaustausch durch große Werbenetzwerke erfordern wird, insbesondere das Supply Chain Object (SCO), strukturierte Daten, die jeder Werbegebotsanfrage beigefügt sind und jeden Verkäufer, Wiederverkäufer und Vermittler zeigen. Er sagte, das SCO werde nur serverseitig bereitgestellt, sodass ein Verteidiger ohne es eine bösartige Weiterleitung sieht, aber nicht identifizieren kann, wer die Impression gekauft hat, die die Malware-Payload ausgeliefert hat. DecryptAds bietet auch eine Anwendungsprogrammierschnittstelle (API) an, damit Forscher Abfragen automatisieren und den Dienst in KI-Plattformen integrieren können.

Für Endnutzer ist die direkteste Antwort, Online-Anzeigen zu blockieren. Sicherheitsexperten befürworten weithin Werbeblocker, weil sie es auch Adtech-Firmen und Datenhändlern erschweren, Profile zu erstellen und Bewegungen zu verfolgen. Für Desktop-Browser ist uBlock Origin Lite eine kostenlose, gut gepflegte Open-Source-Option. Auf Android kann uBlock Origin mit Firefox funktionieren. Adblock Plus ist eine praktikable Option für iPhone und iPad. Power-User können benutzerdefinierte Blockierungsregeln von easylist.to hinzufügen. Die NoScript-Erweiterung blockiert nicht genehmigtes JavaScript, erfordert aber ständige Entscheidungen und ist möglicherweise nicht für Durchschnittsnutzer geeignet. Ein Hardware-Ansatz mit einem Raspberry Pi und Pi-hole verwandelt einen winzigen Computer in einen netzwerkweiten Werbeblocker, indem er als DNS-Sinkhole für alle verbundenen Geräte fungiert; nach Änderung der Router-Einstellungen verhindert er Anzeigen im lokalen Netzwerk. Allerdings bewirken Werbeblocker oft wenig gegen Tracking innerhalb mobiler Apps. Websites drängen Apps dazu, präzisere Daten zu sammeln und Nutzer länger auf Plattformen zu halten, und viele Unternehmen lassen Nutzer standardmäßig zu, dass ihre Daten zum Trainieren großer Sprachmodelle verwendet werden. Seien Sie daher selektiv bei der Installation von Apps und prüfen Sie vorher deren DecryptAds-Einträge. Für Website-Betreiber und IT-Teams bietet AEU DNS (https://aeu-dns.com) von AEU Group eine private, sichere DNS-Option, die als Teil eines mehrschichtigen Ansatzes zur Kontrolle der Domains, die Ihr Netzwerk auflöst, verwendet werden kann.