Das Citizen Lab der University of Toronto hat eine Cyberkampagne aufgedeckt, bei der gezielte Werbung genutzt wurde, um hochentwickelte Spyware ohne Klick oder sonstige Interaktion des Opfers auf iOS- und Android-Geräten zu installieren. Das Labor nannte die Kampagne „AdFection“ und erklärte, sie habe 2024 und 2025 45 Geräte der Al-Jazeera-Medienorganisation infiziert.
Die Bedeutung der Kampagne liegt den Untersuchungsergebnissen zufolge darin, dass sie als erste wahrscheinliche Bestätigung dafür gilt, dass Söldner-Spyware über gezielte Werbung ausgeliefert wurde. In diesem Szenario reicht das Laden einer Webseite oder das Öffnen einer installierten App aus, damit der Exploit-Ablauf beginnt. Für den Nutzer ist die Infektion normalerweise nicht erkennbar, sofern keine speziellen forensischen Werkzeuge oder Programme eingesetzt werden.
Wie wurde das Werbesystem genutzt?
Citizen Lab erklärte, die Werbung sei von dem israelischen Unternehmen Discover-Tech bereitgestellt worden, das sich als legitimes Werbeunternehmen darstelle. Das Labor beschrieb Discover-Tech jedoch als Vermittler zwischen Werbekäufern und Publishern beziehungsweise App-Entwicklern, der dazu beitrage, den Werbemarkt mit dem Ökosystem für Söldner-Spyware zu verbinden.
Diese Art der Vermittlung beruht auf Werbeauktionen, die mithilfe von Mobilgerätekennungen, Standortdaten, IP-Adressen und weiteren Daten bestimmte Gruppen ansprechen. Das Labor erhielt mehr als 4 Milliarden von Discover-Tech verarbeitete Gebotsdatensätze. Diese zeigten, dass die Werbung des Unternehmens zwischen März und Juni 2026 in mehr als 70.000 mobilen Apps und 120.000 Webseiten ausgespielt wurde.
Den Ergebnissen zufolge nutzte Discover-Tech mit der Datenschutz-Grundverordnung verbundene Einwilligungsrahmen, um Nutzer innerhalb der Europäischen Union anzusprechen. Außerdem schaltete das Unternehmen seine Werbung über die Netzwerke von Google, Yandex und Beeswax. Google und IAB Europe hatten das Unternehmen zuvor als „autorisierten“ oder „verifizierten“ Anbieter geführt, bevor sein Name aus den Verzeichnissen entfernt wurde. Google beendete zudem den Zugang des Unternehmens zu seinen Werbebörsen. Beeswax entfernte Discover-Tech ebenfalls von seiner Plattform, die zu Liftoff gehörende Plattform Vungle setzte den Zugang des Unternehmens zur Überprüfung vorübergehend aus, und Eskimi sperrte seine Konten und Domains.
Was hat sich praktisch verändert?
Der Untersuchung zufolge wurde die Werbung Personen angezeigt, die bestimmten Profilen entsprachen. Anschließend verband sich JavaScript- oder anderer Code mit den Command-and-Control-Servern von Candiru, die ihrerseits einen Exploit zurücklieferten, der die Schadsoftware ohne Interaktion des Nutzers einschleuste. Citizen Lab erklärte, Candiru habe die Software entwickelt und verbreitet und arbeite inzwischen unter dem Namen Integrity Labs.
Der Bericht nannte weder die ausgenutzten Schwachstellen noch die endgültige Software, die von der Kampagne installiert wurde. Die Quelle vermutet, dass es sich um Zero-Day-Schwachstellen handelte, die nach der Entdeckung der Kampagne durch Citizen Lab behoben wurden. Dieser Punkt wurde jedoch nicht durch veröffentlichte technische Details bestätigt. Discover-Tech und Candiru reagierten ebenfalls nicht auf Anfragen zur Stellungnahme.
Warum ist diese Nachricht wichtig?
Citizen Lab erklärte, mit Discover-Tech verbundene Werbung sei in Netzwerken der North Atlantic Treaty Organization und der Vereinten Nationen sowie europäischer gesetzgebender Institutionen erschienen. Hinzu kamen Anbieter kritischer Infrastruktur in Australien sowie staatliche Behörden und Streitkräfte in Norwegen und Schweden. Das Labor warnt, dass Redaktionen, Journalisten, Redakteure und dort Beschäftigte direkt angegriffen werden könnten.
Die Kampagne macht ein Problem sichtbar, das über das Gerät des Opfers hinausgeht: Werbe-Targeting-Werkzeuge, die zur Bestimmung großer kommerzieller Zielgruppen entwickelt wurden, können zu einem Kanal für die Zustellung hochspezialisierter Spyware werden. Deshalb rief Citizen Lab Werbetreibende und Regierungsvertreter zu proaktiven Maßnahmen auf, um diese Art von Kampagnen zu verhindern.
Zur Verringerung der Risiken empfahl die Quelle den Einsatz von Werbeblockern, das Zurücksetzen der Werbekennung unter iOS und Android sowie die Installation von Blockierwerkzeugen in Heim- oder Büronetzwerken. Außerdem sollten System- und Softwareupdates unmittelbar nach ihrer Veröffentlichung installiert werden. Das bedeutet jedoch nicht, dass diese Maßnahmen eine Infektion in allen Fällen sicher verhindern, insbesondere weil die Details der Schwachstellen und der endgültigen Schadsoftware nicht veröffentlicht wurden.