Хакеры научились отслеживать пользователей Starlink

Как обычная реклама превращается в инструмент шпионажа

Рекламная инфраструктура в интернете все чаще превращается в полноценный канал слежения, способный отслеживать передвижения людей в чувствительных зонах. Согласно исследованию экспертов по безопасности TrendAI, специалисты раскрыли масштабную шпионскую операцию под кодовым названием SHADOW-EARTH-79. Главной мишенью злоумышленников стали пользователи спутниковой сети Starlink.

Группировка оказалась крупнейшим победителем рекламных аукционов в 49 странах и доминировала в рекламном трафике сети Starlink в 105 государствах. Механизм основан на злоупотреблении системой торгов в реальном времени (RTB), которая продает показы рекламы за считанные миллисекунды. При поступлении запросов участники торгов видят IP-адреса, геолокацию, номера автономных систем и точные характеристики гаджетов пользователей.

Масштабы цифровой охоты на Starlink

Совмещая рекламные идентификаторы с историей перемещений и кликов, злоумышленники создают подробные цифровые досье даже без прямого взаимодействия пользователя с баннером. Кроме того, победители аукционов транслируют рекламу с кодом JavaScript, что позволяет дополнительно идентифицировать устройство.

За 90 дней операция SHADOW-EARTH-79 приобрела 66 208 показов рекламы для пользователей Starlink. Это составило 12,9% от всего зафиксированного объема такой рекламы, тогда как обычный базовый показатель держится на уровне всего 2,6%. Исследователи зафиксировали 4,9-кратный рост интереса именно к спутниковой сети, которая имеет жизненно важное значение в регионах боевых действий и в зонах с нестабильной связью.

В общем рекламном трафике кампания заняла 91,1% ставок в Венгрии, 90,1% в Израиле и 77,2% в Египте. Всего исследователи проанализировали 84 710 348 запросов за период с 31 декабря 2025 года по 15 августа 2026 года.

Интересно, что Украины в списке нет. Однако тот факт, что эти хакеры не интересовались украинцами, не означает, что не заинтересуются другие. Если SpaceX не устранит эту уязвимость, рано или поздно Россия доберется до нее.

Как злоумышленники настраивали программное обеспечение и как защититься

С помощью анализа искусственного интеллекта специалисты реконструировали интерфейс злоумышленников на основе открытых фрагментов кода JavaScript. Программа содержала функции ручного внедрения скриптов, деанонимизации пользователей и глубокой фильтрации IP-адресов, что свидетельствует об использовании платформы исключительно для разведки.

Аналитики подчеркивают, что простое скрытие или блокировка изображений не спасает от отправки фоновых запросов. Для надежной защиты необходимо фильтровать подключения к рекламным серверам на уровне сети, ограничивать разрешения приложениям, сбрасывать рекламные идентификаторы гаджетов и отключать персонализацию коммерческих объявлений.

• В случае необходимости разрешайте только надежный рекламный трафик или фильтруйте рекламный трафик в особо уязвимых районах, а также на устройствах, принадлежащих лицам, которые, вероятно, могут стать мишенью.
• Людям, работающим в зонах конфликтов или на любых должностях, где характер передвижений является конфиденциальной информацией, может быть полезно сбросить рекламный идентификатор, отключить персонализацию рекламы и ограничить использование приложений, финансируемых за счет рекламы, на устройствах, которые они имеют при себе.
• Некоторые мобильные устройства поддерживают такие функции, как "Режим блокировки" на iPhone; они затрудняют посторонним лицам доставку и успешное выполнение вредоносных программ. Включение таких режимов на устройствах затруднит проведение операций слежения.
• Соблюдайте принцип минимальных привилегий при предоставлении доступа к приложениям на вашем мобильном устройстве. Хотя само приложение может не наносить вреда, существует риск, связанный с потенциально вредоносным контентом, который может быть загружен через рекламную сеть или если приложение интегрировано с рекламным набором средств разработки (SDK). Многие бесплатные приложения используют такие интеграции в качестве основного средства получения прибыли от распространения бесплатных мобильных приложений. В этом случае может помочь отмена разрешений у сторонних приложений, что не помешает функционированию самого приложения.
• Рассмотрите возможность использования программ для блокировки рекламы, но не полагайтесь на них на 100%. Даже если программа предотвращает показ рекламы пользователю, отслеживание, вероятно, все равно происходит. Вместо этого отдавайте предпочтение блокировщикам рекламы, обладающим такими возможностями: возможность перехватывать веб-трафик и удалять рекламные теги из веб-контента; возможность предотвращать связь приложений, финансируемых за счет рекламы, с серверной частью рекламных систем; возможность в целом предотвращать отправку конфиденциальной информации об отслеживании в рекламные сети.

Общая цель заключается в снижении рисков: уменьшение уязвимости без необходимости идентифицировать каждого участника аукциона, который может злоупотребить этой уязвимостью. Если доступна инфраструктура размещения рекламы известного подозрительного оператора (например, SHADOW-EARTH-79), блокируйте трафик к этим серверам и конечным точкам облачных провайдеров.

Отслеживание инфраструктуры SHADOW-EARTH-79 с помощью TrendAI доступно в TrendAI Vision One, а также дополнительная информация от надежных источников через авторитетные отраслевые сообщества.