Malvertising: hoe kwaadaardige advertenties je apparaat besmetten
Malvertising is een samentrekking van "malicious" (kwaadaardig) en "advertising" (adverteren). Het is een manier om schadelijke software te verspreiden via de gewone advertentienetwerken die ook op betrouwbare websites draaien. Je hoeft dus niet eerst op een verdachte site te belanden: de besmette advertentie kan gewoon op het nieuwsplatform, de weerwebsite of de pagina van je favoriete tijdschrift staan, naast alle andere, volkomen onschuldige banners.
Vergelijk het met een krantenkiosk die advertentieruimte verhuurt aan bedrijven. De kioskhouder controleert de advertenties die binnenkomen, maar een oplettende crimineel kan een flyer insturen die bij controle onschuldig lijkt, en die pas na plaatsing stiekem wordt vervangen door een vervalste versie met een verborgen boodschap. De krant zelf is nog steeds te vertrouwen, maar iemand heeft misbruik gemaakt van het systeem waarmee advertenties worden ingekocht en getoond. Zo werkt malvertising ook: de website die je bezoekt is meestal het slachtoffer, niet de dader.
Wat is het precies?
Advertenties op het web komen zelden rechtstreeks van de website waarop je ze ziet. Ze worden meestal ingekocht via een ingewikkeld systeem van advertentienetwerken en -beurzen, waarbij in een fractie van een seconde wordt geveild wie welke advertentieruimte mag vullen. Dit heet real-time bidding. Een website toont dus eigenlijk alleen een "venster" waarin razendsnel een advertentie van een willekeurige, extern aangesloten partij wordt geladen.
Criminelen maken misbruik van deze keten door zich voor te doen als gewone adverteerder. Ze registreren een account bij een advertentienetwerk en leveren een advertentie aan die bij automatische controle onschuldig lijkt. Een bekende truc hierbij is cloaking: de advertentie herkent of de bezoeker een controlebot van het netwerk is of een echte gebruiker, en toont alleen aan echte bezoekers de kwaadaardige versie.
Zodra de advertentie live staat en door een echte gebruiker wordt bekeken, start vaak een reeks van onzichtbare doorverwijzingen (redirects) naar een kwaadaardige pagina. Daar gebeurt het eigenlijke werk op twee manieren. Bij de klassieke, technische aanpak probeert een zogeheten exploit kit automatisch een lek in de browser of een verouderde plug-in te misbruiken, zodat malware wordt geïnstalleerd zonder dat de gebruiker iets hoeft te doen (een drive-by download). Bij de nieuwere, meer sociale aanpak wordt de gebruiker overgehaald om zelf iets te doen: een nepmelding dat de browser verouderd is, een valse software-download, of een nep-"ik ben geen robot"-controle die je vraagt een commando te plakken en uit te voeren. Die laatste truc, bekend als ClickFix, is sinds 2024 sterk in opkomst.
Het resultaat is meestal de installatie van infostealers (programma's die wachtwoorden en inloggegevens stelen), ransomware, of een zogeheten loader die later verdere malware kan nainstalleren.
Wat wil men ermee bereiken?
Het motief is bijna altijd financieel. Gestolen inloggegevens en creditcardgegevens worden doorverkocht op onderaardse marktplaatsen. Toegang tot een bedrijfsnetwerk die zo wordt verkregen, wordt vaak doorverkocht aan zogeheten initial access brokers, die hem weer doorspelen aan ransomwaregroepen. Soms wordt het geïnfecteerde apparaat simpelweg gebruikt om cryptomunten te minen of om nepverkeer te genereren waarmee andere advertentiefraude wordt gepleegd.
Malvertising is voor criminelen aantrekkelijk omdat het schaalbaar is en vertrouwen koopt: een advertentie op een bekend nieuwsplatform wordt niet snel als verdacht gezien, en de advertentie-industrie zelf is zo groot en versnipperd dat verantwoordelijkheid lastig te herleiden is. Voor de advertentie-industrie en beveiligingsbedrijven is het doel juist het omgekeerde: detecteren en blokkeren voordat gebruikers schade ondervinden, om het vertrouwen in online advertenties en daarmee een belangrijke inkomstenbron voor websites te behouden.
Voorbeelden uit de praktijk
Yahoo, 2015: onderzoekers van beveiligingsbedrijf Malwarebytes ontdekten dat kwaadaardige advertenties op Yahoo.com, destijds een van de drukstbezochte sites ter wereld, bezoekers doorstuurden naar de Angler exploit kit, die onopgemerkte browserlekken misbruikte.
BBC, New York Times, MSN en AOL, 2016: een grote malvertising-campagne, eveneens gelinkt aan de Angler exploit kit, trof advertenties op het netwerk dat deze grote nieuwssites bediende. Miljoenen bezoekers liepen risico, al kreeg niet iedereen daadwerkelijk malware binnen.
Spotify, rond 2011: gebruikers van de gratis, met advertenties gefinancierde versie van Spotify meldden besmettingen via Flash-gebaseerde advertenties binnen de applicatie, nog voordat Flash in onbruik raakte.
Nepadvertenties voor populaire software, 2023-2024: beveiligingsonderzoekers (onder meer van Malwarebytes) rapporteerden herhaaldelijk zoekmachine-advertenties die zich voordeden als downloadpagina's voor bekende, legitieme programma's zoals Notepad++, KeePass of AnyDesk. Wie erop klikte, kreeg in plaats daarvan een zogeheten loader binnen, die vervolgens infostealer-malware installeerde.
ClickFix-campagnes, vanaf 2024: meerdere beveiligingsbedrijven beschreven een nieuwe golf waarbij kwaadaardige advertenties en gecompromitteerde websites bezoekers een nep-CAPTCHA tonen die hen vraagt een "oplossing"-commando handmatig te plakken in een Windows-uitvoervenster, wat leidt tot infectie met stealers zoals Lumma. Omdat het slachtoffer zelf op zijn eigen toetsenbord typt, omzeilt deze methode veel technische beveiligingen.
Hoe ver is de techniek?
Malvertising bestaat al meer dan vijftien jaar en is een voortdurende kat-en-muisspel tussen aanvallers en de advertentie-industrie. De techniek is dus niet "nieuw", maar verandert voortdurend van vorm. De klassieke drive-by download via exploit kits, die vooral werkte dankzij lekke Flash-plug-ins, is sinds de uitfasering van Flash in 2020 en strengere browserbeveiliging flink afgenomen.
Daardoor zijn criminelen verschoven naar sociale manipulatie: nepadvertenties op zoekmachines die doorverwijzen naar valse downloadpagina's, en trucs als ClickFix die de gebruiker zelf laten handelen. Deze vormen zijn lastiger automatisch te detecteren, omdat de schadelijke code vaak pas na een menselijke actie wordt opgehaald en de advertentie zelf bij geautomatiseerde controle onschuldig blijft (cloaking).
Grote advertentieplatforms zoals Google hebben de afgelopen jaren hun scanning en sandboxing (het testen van advertenties in een afgeschermde omgeving) verbeterd, en rapporteren jaarlijks hoeveel miljoenen advertenties ze weren. Toch blijft volledige preventie onmogelijk: de keten van tussenpartijen in real-time bidding is zo complex en internationaal dat verantwoordelijkheid en handhaving versnipperd blijven. Er is dan ook geen reden om aan te nemen dat malvertising op korte termijn zal verdwijnen; het past zich simpelweg aan nieuwe verdedigingen aan.
Wie werken eraan?
Aan de verdedigingskant zijn grote advertentieplatforms zoals Google en Microsoft Advertising actief met eigen trust-and-safety-teams die advertenties scannen. Gespecialiseerde bedrijven als Confiant, GeoEdge en HUMAN Security bouwen detectietechnologie die advertentienetwerken en uitgevers inzetten om malvertising te signaleren voordat deze schade aanricht.
Beveiligingsbedrijven zoals Malwarebytes, Check Point, Trend Micro en SentinelOne publiceren regelmatig onderzoek waarin nieuwe campagnes worden blootgelegd, vaak de eerste bron waaruit journalisten en andere bedrijven putten. Brancheorganisaties als de Interactive Advertising Bureau (IAB) en het samenwerkingsverband Coalition for Better Ads stellen standaarden op voor veilige advertentiepraktijken.
Op overheidsniveau houden instanties als het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) en het Europese ENISA zich bezig met dreigingsinformatie en adviezen, al richten zij zich breder op cybersecurity dan specifiek op malvertising. Nationale computer-emergency-response-teams, waaronder het Nederlandse NCSC, waarschuwen incidenteel voor grote campagnes wanneer die relevant zijn voor Nederlandse organisaties.