Eine mit dem israelischen Unternehmen Discovere-Tech verbundene Akteurin nutzte gezielte digitale Anzeigen, um die Candiru-Spionagesoftware auf Geräte des Al Jazeera Media Network zu bringen – in einem „Zero-Click“-Angriff, bei dem das Opfer lediglich die Anzeige auf seinem Gerät sehen musste. Die Forschenden von Citizen Lab bezeichneten diese Technik als AdFection und werteten sie als erste öffentlich bestätigte technische Evidenz dafür, dass Söldner-Spionagesoftware über gezielte Anzeigen zugestellt wurde.
Die Untersuchung stützte sich auf von Al Jazeera bereitgestellte Beweise, Netzwerkprotokolle und eine DLL-Datei, die von einem kompromittierten Windows-System wiederhergestellt wurde. Die Beweise deuten darauf hin, dass zwischen 2024 und 2025 mindestens 45 Geräte angegriffen wurden. Die Kommunikationskette begann bei der Infrastruktur von Discovere-Tech, führte anschließend über die Verifizierungsserver von Candiru und endete bei den Command-and-Control-Servern der Software.
Wie funktionierte die Infektionskette?
Die angreifende Akteurin kaufte Werbeflächen über bekannte Werbenetzwerke und Anzeigenbörsen und fügte den Anzeigen JavaScript-Code hinzu, der beim Anzeigen eine Verbindung zu einem von Discovere-Tech als NOAS oder getAd-Server bezeichneten Server herstellte. Der Server nutzte Indikatoren wie die IP-Adresse und Werbekennungen, um festzustellen, ob das Gerät den Merkmalen des Ziels entsprach.
Wenn das Gerät die Überprüfung bestand, wurde zusätzlicher Code an es gesendet; andere Geräte zeigten die Anzeige dagegen an, ohne die Schadsoftware-Payload zu erhalten. Diese Auswahl verringert das Rauschen und hilft dabei, den Vorgang im üblichen Anzeigenverkehr zu verbergen.
Das Ausmaß des Vorgangs entspricht nicht der Zahl der Infektionen
Zwischen März und Juni 2026 führte der Vorgang laut Schätzungen von Citizen Lab zu 3,77 Milliarden Anzeigengeboten und gewann 442 Millionen Auktionen. Anzeigen, die die Tags des angreifenden Codes enthielten, erschienen in 75.373 Android- und iOS-Apps sowie auf 120.768 Websites. Diese Zahlen bedeuten nicht, dass alle diese Apps und Websites oder ihre Nutzer infiziert wurden.
Die Forschenden schätzten, dass Hunderttausende bis Millionen Nutzer auf Domains weitergeleitet wurden, die mit den Anzeigen von Discovere-Tech verbunden waren. Nach dem Erhalt der Berichte von Citizen Lab ergriffen Google, IAB Europe, Beeswax, Eskimi und Vungle Maßnahmen, darunter die Entfernung regelwidriger Konten und die Sperrung des Zugangs zu bestimmten Domains.
Warum ist diese Methode von Bedeutung?
Der Vorfall zeigt, dass sich die Kette digitaler Anzeigen in einen Kanal für die Zustellung hochentwickelter Spionagesoftware verwandeln kann – selbst ohne direkte Interaktion des Nutzers. Die gezielte Ansprache bestimmter Geräte erschwert zudem die Entdeckung der Kampagne im Vergleich zu breit angelegten Schadkampagnen, während der Kauf von Anzeigen über große Netzwerke die potenzielle Reichweite vergrößert.
Candiru wird mit Spionagesoftware in Verbindung gebracht, die das Unternehmen offiziell an Regierungen verkauft, darunter DevilsTongue für Windows, die Dateien, Zugangsdaten und Nachrichten stehlen kann. Zuvor wurden Werkzeuge des Unternehmens mit der Ausnutzung von Zero-Day-Schwachstellen in Windows und Chrome in Verbindung gebracht, um Journalisten, Aktivisten und Politiker anzugreifen.
Eine ähnliche Methode wurde Ende 2025 unter dem Namen Aladdin dokumentiert, als Anzeigen genutzt wurden, um Ziele ohne Klick mit der Predator-Software zu infizieren. Diese Untersuchung stützte sich jedoch auf geleakte Dateien und Marketingunterlagen des Unternehmens Intellexa. AdFection dagegen basierte auf tatsächlichen Angriffen und forensischen Beweisen, die den Vorgang mit Discovere-Tech in Verbindung brachten. Citizen Lab bezeichnete das Unternehmen als Bindeglied zwischen Söldner-Spionageunternehmen und dem Anzeigenökosystem.