Хакери навчилися відстежувати користувачів Starlink

Рекламна інфраструктура в інтернеті дедалі частіше перетворюється на повноцінний канал стеження, здатний відстежувати пересування людей у чутливих зонах. Згідно з дослідженням експертів із безпеки TrendAI, фахівці викрили масштабну шпигунську операцію під кодовою назвою SHADOW-EARTH-79. Головною мішенню зловмисників стали користувачі супутникової мережі Starlink.

Угруповання виявилося найбільшим переможцем рекламних аукціонів у 49 країнах та домінувало у рекламному трафіку мережі Starlink у 105 державах. Механізм базується на зловживанні системою торгів у реальному часі (RTB), яка продає покази реклами за лічені мілісекунди. Під час надходження запитів учасники торгів бачать IP-адреси, геолокацію, номери автономних систем і точні характеристики гаджетів користувачів.

Масштаби цифрового полювання за Starlink

Поєднуючи рекламні ідентифікатори з історією пересувань і кліків, зловмисники створюють докладні цифрові досьє навіть без прямої взаємодії користувача з банером. Окрім цього, переможці аукціонів транслюють рекламу з кодом JavaScript, що дає змогу додатково ідентифікувати пристрій.

За 90 днів операція SHADOW-EARTH-79 викупила 66 208 показів реклами для користувачів Starlink. Це склало 12,9% від усього зафіксованого обсягу такої реклами, тоді як звичайний базовий показник тримається на рівні лише 2,6%. Дослідники зафіксували 4,9-кратне зростання інтересу саме до супутникової мережі, яка має життєво важливе значення в регіонах бойових дій та у зонах із нестабільним зв'язком.

У загальному рекламному трафіку операція захопила 91,1% ставок в Угорщині, 90,1% в Ізраїлі та 77,2% в Єгипті. Загалом дослідники проаналізували 84 710 348 запитів за період з 31 грудня 2025 року до 15 серпня 2026 року.

Середні ціни в мережі АЗС «Amic Energy» станом на

Цікаво, що України в списку немає. Однак той факт, що ці хакери не цікавилися українцями, не означає, що не зацікавляться інші. Якщо SpaceX не закриє цю прогалину, рано чи пізно Росія добереться до цієї вразливості.

Як зловмисники налаштовували софт та як захиститися

За допомогою аналізу штучного інтелекту фахівці реконструювали інтерфейс зловмисників через відкриті фрагменти коду JavaScript. Програма містила функції ручного впровадження скриптів, деанонімізації користувачів та глибокої фільтрації IP-адрес, що свідчить про використання платформи виключно для розвідки.

Аналітики підкреслюють, що просте приховування або блокування картинок не рятує від надсилання фонових запитів. Для надійного захисту необхідно фільтрувати підключення до серверів реклами на рівні мережі, обмежувати дозволи додаткам, скидати рекламні ідентифікатори гаджетів та вимикати персоналізацію комерційних оголошень.

• У разі необхідності дозволяйте лише надійний рекламний трафік або фільтруйте рекламний трафік в особливо чутливих місцевостях, а також на пристроях, що належать особам, які, ймовірно, можуть стати мішенню.
• Людям, які працюють у зонах конфліктів або на будь-яких посадах, де характер пересувань є конфіденційною інформацією, може бути корисно скинути рекламний ідентифікатор, вимкнути персоналізацію реклами та обмежити використання додатків, що фінансуються за рахунок реклами, на пристроях, які вони мають при собі.
• Деякі мобільні пристрої підтримують такі функції, як "Режим блокування" на iPhone; вони ускладнюють стороннім особам доставку та успішне виконання шкідливих програм. Увімкнення таких режимів на пристроях ускладнить проведення операцій стеження.
• Дотримуйтесь принципу мінімальних привілеїв під час надання доступу до додатків на вашому мобільному пристрої. Хоча сам додаток може не завдавати шкоди, існує ризик, пов’язаний із потенційно шкідливим вмістом, який може бути завантажений через рекламну мережу або якщо додаток інтегрований із рекламним набором засобів розробки (SDK). Багато безкоштовних додатків використовують такі інтеграції як основний засіб отримання прибутку від розповсюдження безкоштовних мобільних додатків. У цьому випадку може допомогти позбавлення сторонніх додатків дозволів, що не заважатиме функціонуванню самого додатка.
• Розгляньте можливість використання програм для блокування реклами, але не покладайтеся на них на 100%. Навіть якщо програма запобігає показу реклами користувачеві, подія відстеження, ймовірно, все одно відбувається. Натомість віддавайте перевагу блокувальникам реклами, які мають такі можливості: можливість перехоплювати вебтрафік і видаляти рекламні теги з вебвмісту; можливість запобігати зв’язку додатків, що фінансуються за рахунок реклами, із серверною частиною рекламних систем; можливість загалом запобігати надсиланню конфіденційної інформації про відстеження до рекламних мереж.

Загальна мета полягає у зниженні ризиків: зменшення вразливості без необхідності ідентифікувати кожного учасника аукціону, який може зловживати цією вразливістю. Якщо доступна інфраструктура розміщення реклами відомого підозрілого оператора (наприклад, SHADOW-EARTH-79), блокуйте трафік до цих серверів та кінцевих точок хмарних провайдерів.

Відстеження інфраструктури SHADOW-EARTH-79 за допомогою TrendAI доступне в TrendAI Vision One, як і додаткова інформація від надійних контактів через авторитетні галузеві спільноти.