Цільова реклама встановлювала шпигунське ПЗ без дій користувачів
Citizen Lab заявила, що цільова реклама заражала iOS і Android шпигунським ПЗ через атаки нульового кліку
Дослідники Citizen Lab заявили, що цільова інтернет-реклама використовувалася для атак із експлойтами нульового кліку, які встановлювали складне шпигунське програмне забезпечення на пристрої iOS та Android. Для зараження користувачам було достатньо відкрити вебсайт або встановлений застосунок, у якому завантажувалася реклама.
Як повідомляє Ars Technica, Citizen Lab назвала кампанію AdFection і вважає її, ймовірно, першим підтвердженим випадком поширення найманського шпигунського ПЗ через таргетовані рекламні оголошення з використанням атак нульового кліку.
Уражені пристрої Al Jazeera
За даними лабораторії Університету Торонто, у 2024 і 2025 роках кампанія заразила 45 пристроїв міжнародної медіаорганізації Al Jazeera. Дослідники наголосили, що такі атаки не потребують взаємодії з боку цілі та можуть лишатися непомітними без спеціального криміналістичного обладнання або програмного забезпечення.
Citizen Lab попередила, що через новий тип загрози під прицілом можуть опинятися редакції, а також журналісти, редактори й інші працівники медіа. У звіті зазначається, що поширення шпигунського ПЗ через персоналізовану рекламу становить ризик не лише для потенційних жертв, а й для держав і громадянського суспільства.
Роль рекламного посередника
За висновком Citizen Lab, оголошення поширювала ізраїльська компанія Discover-Tech, яку дослідники назвали посередником між рекламним ринком і кількома постачальниками найманського шпигунського ПЗ. Компанія працює як брокер: рекламодавці роблять ставки, щоб показати оголошення людям із визначеними характеристиками, а видавці сайтів і розробники застосунків отримують за це дохід.
Дослідники отримали понад 4 мільярди записів про рекламні ставки, які обробляла Discover-Tech. Вони свідчать, що з березня до червня 2026 року її рекламу показували у понад 70 тисячах мобільних застосунків і на більш як 120 тисячах вебсайтів. Для формування профілів користувачів використовувалися, зокрема, мобільні ідентифікатори, геолокація та IP-адреси.
Реакція рекламних платформ
Citizen Lab стверджує, що шкідливе ПЗ для AdFection розробляла та поширювала Candiru, яка тепер працює під назвою Integrity Labs. За описом дослідників, рекламні оголошення містили JavaScript або інший код, що з'єднував пристрій із серверами керування Candiru, звідки доставлявся експлойт і корисне навантаження.
Google та IAB Europe вилучили Discover-Tech зі своїх реєстрів рекламних постачальників, а Google також припинила її доступ до своїх рекламних бірж. Beeswax видалила компанію зі своєї платформи закупівлі реклами; Vungle, що працює під брендом Liftoff, призупинила доступ на час перевірки. Eskimi заблокувала облікові записи та домени Discover-Tech.
Citizen Lab радить зменшувати ризик через блокувальники реклами, скидання рекламного ідентифікатора в налаштуваннях iOS та Android, блокування реклами на домашніх або офісних мережах і своєчасне встановлення оновлень.
