イスラエル企業Discovere-Techに関連する組織が、デジタル標的型広告を利用して、Al Jazeera Media Networkの端末にCandiruスパイウェアを送り込んだ。これは、被害者が端末で広告を表示するだけで成立し、クリックを必要としない「ゼロクリック」攻撃だった。Citizen Labの研究者はこの手法をAdFectionと呼び、標的型広告を介した傭兵スパイウェアの配信について、技術的に公に確認された初の事例だと評価した。
調査は、Al Jazeeraが提供した証拠、ネットワークログ、侵害されたWindowsシステムから復元されたDLLファイルに基づいている。証拠は、2024年から2025年にかけて少なくとも45台の端末が標的になったことを示している。通信はDiscovere-Techのインフラから始まり、Candiruの検証サーバーを経由して、最終的にスパイウェアのコマンド・アンド・コントロールサーバーに到達していた。
感染チェーンはどのように機能したのか？
攻撃者は、著名な広告ネットワークや広告取引プラットフォームを通じて広告枠を購入し、広告にJavaScriptコードを埋め込んだ。このコードは、広告が表示されると、Discovere-TechがNOAS、またはgetAdサーバーと呼んでいたサーバーに接続した。サーバーは、IPアドレスや広告識別子などの指標を使い、端末が標的の条件に一致するかどうかを判定した。
端末が検証を通過すると、追加のコードが送信された。一方、それ以外の端末には、悪意のあるペイロードを受信させずに広告だけが表示された。この選別によりノイズが減り、通常の広告トラフィックの中に作戦を隠しやすくなった。
作戦の規模は感染数を意味しない
Citizen Labの推計によると、2026年3月から6月にかけて、この作戦は37億7,000万件の広告入札インプレッションを配信し、4億4,200万件のオークションを落札した。攻撃コードのタグを含む広告は、AndroidおよびiOS上の75,373個のアプリと、120,768のウェブサイトに表示された。ただし、これらすべてのアプリやウェブサイト、またはその利用者が感染したことを意味するわけではない。
研究者らは、数十万から数百万人の利用者がDiscovere-Techの広告に関連するドメインへ誘導されたと推定した。Citizen Labから報告を受けたGoogle、IAB Europe、Beeswax、Eskimi、Vungleは、規約違反アカウントの削除や特定ドメインへのアクセス遮断などの措置を講じた。
なぜこの手法が重要なのか？
この事案は、ユーザーの直接的な操作がなくても、デジタル広告チェーンが高度なスパイウェアを配信する経路になり得ることを示している。また、特定の端末を狙うことで、大規模な悪意あるキャンペーンよりも発見が難しくなる一方、主要ネットワークを通じて広告を購入することで、到達する可能性のある範囲が広がる。
Candiruは、同社が政府向けに公式に販売しているスパイウェアと関連しており、その中にはWindows向けのDevilsTongueも含まれる。DevilsTongueは、ファイル、認証情報、メッセージを窃取できる。同社のツールはこれまでにも、WindowsやChromeのゼロデイ脆弱性を悪用して、ジャーナリスト、活動家、政治家を標的にしたものと関連付けられている。
同様の手法は、2025年後半にAladdinという名称で記録されている。その際には、クリックなしで広告を使って標的をPredatorスパイウェアに感染させていたが、その調査はIntellexaから流出したファイルとマーケティング資料に基づいていた。一方、AdFectionは実際の攻撃とフォレンジック証拠に基づいており、Citizen Labは、傭兵スパイウェア企業と広告エコシステムをつなぐ存在だと説明したDiscovere-Techとの関連を明らかにした。