Цільова реклама поширювала шпигунське ПЗ через zero-click експлойти

Дослідники Citizen Lab заявили, що цільова реклама застосовувалася для встановлення шпигунського програмного забезпечення на пристрої користувачів iOS та Android без будь-яких дій з їхнього боку. Кампанія, яку назвали AdFection, використовувала zero-click експлойти: шкідливий код спрацьовував під час завантаження вебсайту або відкриття встановленого застосунку.

Як повідомляє Ars Technica, Citizen Lab підтвердила зараження 45 пристроїв міжнародної медіаорганізації Al Jazeera у 2024 та 2025 роках. Дослідники вважають цей випадок, імовірно, першим підтвердженням поширення найманського шпигунського ПЗ через таргетовані рекламні оголошення.

Реклама як канал атаки

За даними Citizen Lab, оголошення постачала ізраїльська компанія Discover-Tech, що позиціонує себе як рекламна компанія. Лабораторія стверджує, що фірма була посередником між рекламодавцями та видавцями або розробниками застосунків, а також сприяла роботі кількох партнерів у сфері найманського шпигунського ПЗ.

Цільові аудиторії визначалися за мобільними ідентифікаторами, даними про місцеперебування, IP-адресами та іншими цифровими слідами. Citizen Lab повідомила, що отримала понад 4 млрд записів торгів, які обробляла Discover-Tech. Згідно з цими даними, з березня до червня 2026 року її рекламу показували у понад 70 тисячах мобільних застосунків і більш як на 120 тисячах сайтів.

Реакція рекламних платформ

У Citizen Lab заявили, що кампанія використовувала шкідливе ПЗ, розроблене й поширене Candiru, яка змінила назву на Integrity Labs. За описом дослідників, реклама для відібраних цілей містила JavaScript або інший код, що з'єднував пристрій із серверами керування Candiru. Після цього сервери надсилали експлойт і zero-click навантаження.

Google та IAB Europe виключили Discover-Tech зі своїх реєстрів рекламних постачальників, а Google також припинила доступ компанії до платформ рекламної біржі. Beeswax прибрала Discover-Tech зі своєї платформи купівлі реклами; Vungle, що належить Liftoff, призупинила доступ компанії на час перевірки. Eskimi заблокувала її облікові записи та домени.

Citizen Lab рекомендувала рекламодавцям і державним посадовцям вживати заходів для запобігання таким кампаніям. Користувачам радять своєчасно встановлювати оновлення, застосовувати блокувальники реклами та скидати рекламний ідентифікатор у налаштуваннях iOS або Android.