Нуль-клік шпигун інфікує телефони через цільову рекламу, дослідники попереджають

Шпигун, схований у рекламі

Дослідники з Citizen Lab при Університеті Торонто виявили кампанію AdFection, під час якої шпигун таємно інфікував пристрої під час перегляду реклами. Опубліковане в четвер розслідування пов’язує сервери з рекламною компанією, зареєстрованою в Ізраїлі, Candiru.

За даними Citizen Lab, у 2024 та 2025 роках цільові атаки нуль-клік поразили 45 пристроїв Al Jazeera. Згідно з аналізом, заражені пристрої спочатку з’єднувалися з доменами Discover-Tech, а потім з інфраструктурою Candiru. Дослідники вважають це першим детальним публічним технічним доказом розповсюдження вдосконаленого шпигунського ПЗ через цифрову рекламу.

Атаки нуль-клік встановлюють шкідливе ПЗ без взаємодії з ціллю. Старший дослідник Bill Marczak зазначає, що жертва не помітила нічого незвичайного і, можливо, навіть не побачила реклами.

Реакція галузі

Google заблокував Discover-Tech на своїх рекламних платформах після того, як спільне розслідування Citizen Lab та Confiant підтверділо зв’язок із шпигунським ПЗ. Компанія також додала попередження Safe Browsing.

IAB Europe припинила членство Discover-Tech у списку глобальних постачальників після політичного аудиту й зазначила, що підтвердження висновків призведе до остаточного виключення. Beeswax, онлайн-рекламна компанія Comcast, видалила Discover-Tech зі своєї платформи та дотримується нульової толерантності до шкідливої реклами.

Discover-Tech та її генеральний директор не коментують. Integrity Partners, яка після санкцій США 2021 року володіє активами Candiru, мовчить. Al Jazeera, яка надала дослідникам логи пристроїв, не відповіла.

Як відбувається націлювання

За словами Citizen Lab, Discover-Tech керує рекламною платформою Controlium, яка здатна деанонімізувати пристрої, ідентифікувати їх і миттєво інфікувати під час показу реклами. Дослідники оцінюють, що мільйони пристроїв були перенаправлені на сервери Candiru.

Згідно з аналізом публічно розкритих записів торговель на вебсайті Discover-Tech, з березня до червня реклама, пов’язана з компанією, з’являлася понад в 70 000 застосунках і на понад 120 000 вебсайтах. Деякі застосунки демонстрували понад мільйон таких рекламних оголошень. Покази також відбувалися в таких мережах, як NATO, ООН, регуляторні органи Європи, постачальники критичної інфраструктури Австралії, а також збройні сили та урядові агентства Норвегії та Швеції.

Старший дослідник Citizen Lab Wolfie Christl каже, що ризик зараження через використання лише рекламного вебсайту чи застосунку — це жахливий сценарій, а головний захист для людей — повне блокування реклами.

Джерела: Wired · Cyberscoop · Citizen Lab · Techmeme