Лаборатория Citizen Lab при Университете Торонто выявила киберкампанию, в рамках которой таргетированная реклама использовалась для установки сложного шпионского ПО на устройства iOS и Android без того, чтобы жертва нажимала на рекламу или взаимодействовала с ней. Лаборатория назвала кампанию «AdFection» и сообщила, что в 2024 и 2025 годах она заразила 45 устройств в медиакомпании Al Jazeera.
Значимость кампании заключается в том, что, согласно результатам расследования, она представляет собой первое убедительное подтверждение доставки наёмного шпионского ПО через таргетированную рекламу. В этом сценарии достаточно загрузить веб-страницу или открыть установленное приложение, чтобы начался процесс эксплуатации, тогда как заражение обычно остаётся незаметным для пользователя без специальных криминалистических инструментов или программного обеспечения.
Как использовалась рекламная экосистема?
Citizen Lab заявила, что рекламу размещала израильская компания Discover-Tech, представляющая себя легитимной рекламной компанией. Однако лаборатория охарактеризовала её как посредника между покупателями рекламы и издателями либо разработчиками приложений, играющего роль связующего звена между рекламным рынком и экосистемой наёмного шпионского ПО.
Такой вид посредничества основан на рекламных аукционах, нацеленных на определённые группы с использованием идентификаторов мобильных устройств, данных о местоположении, IP-адресов и другой информации. Лаборатория получила более 4 миллиардов записей об участии в торгах, обработанных Discover-Tech. Они показали размещение рекламы компании более чем в 70 тысячах мобильных приложений и на 120 тысячах веб-сайтов в период с марта по июнь 2026 года.
Согласно результатам, Discover-Tech использовала платформы управления согласием, связанные с Общим регламентом по защите данных Европейского союза, для таргетирования пользователей внутри ЕС, а также размещала рекламу через сети Google, Yandex и Beeswax. Google и IAB Europe ранее включали компанию в перечень «авторизованных» или «проверенных» поставщиков, прежде чем удалить её название из реестров, а Google прекратила её доступ к рекламным биржам. Beeswax также удалила компанию со своей платформы, Vungle, принадлежащая Liftoff, временно приостановила её доступ для проведения проверки, а Eskimi заблокировала её аккаунты и домены.
Что изменилось на практике?
Согласно расследованию, реклама показывалась целям, соответствовавшим определённым профилям, после чего код JavaScript или другой код связывался с серверами управления Candiru. Те, в свою очередь, отправляли эксплойт, устанавливавший вредоносную нагрузку без взаимодействия с пользователем. Citizen Lab заявила, что Candiru разработала и распространяла это ПО, а в настоящее время работает под названием Integrity Labs.
В отчёте не раскрываются эксплуатированные уязвимости или конечное программное обеспечение, установленное кампанией. Источник предполагает, что это были уязвимости «нулевого дня», устранённые после того, как Citizen Lab обнаружила кампанию, однако этот вывод не подтверждён опубликованными техническими подробностями. Discover-Tech и Candiru также не ответили на запросы о комментариях.
Почему эта новость важна?
Citizen Lab заявила, что связанная с Discover-Tech реклама появлялась в сетях, принадлежащих Организации Североатлантического договора и Организации Объединённых Наций, а также в европейских законодательных органах, у поставщиков критически важной инфраструктуры в Австралии и в государственных военных ведомствах и вооружённых силах Норвегии и Швеции. Лаборатория предупреждает, что редакции, журналисты, редакторы и сотрудники СМИ могут быть непосредственными целями.
Кампания выявляет проблему, выходящую за пределы устройства жертвы: инструменты рекламного таргетинга, созданные для определения широкой коммерческой аудитории, могут превратиться в канал доставки узкоспециализированного шпионского ПО. Поэтому Citizen Lab призвала рекламодателей и государственных должностных лиц принимать упреждающие меры для предотвращения подобных кампаний.
Для снижения рисков источник рекомендовал использовать блокировку рекламы, сбрасывать рекламный идентификатор на iOS и Android, устанавливать инструменты блокировки в домашних или офисных сетях, а также устанавливать обновления операционной системы и программ сразу после их выпуска. Это не означает, что такие меры гарантированно предотвращают заражение во всех случаях, особенно поскольку сведения об уязвимостях и конечной нагрузке не были опубликованы.