Связанная с израильской компанией Discovere-Tech сторона использовала таргетированную цифровую рекламу для доставки шпионского ПО Candiru на устройства, принадлежащие Al Jazeera Media Network, в атаке «без клика», при которой от жертвы требовалось лишь просмотреть рекламу на своём устройстве. Исследователи Citizen Lab назвали эту технику AdFection, сочтя её первым публичным техническим подтверждением доставки наёмного шпионского ПО через таргетированную рекламу.
Расследование основывалось на предоставленных Al Jazeera доказательствах, сетевых журналах и DLL-файле, восстановленном из взломанной системы Windows. Доказательства указывают на таргетирование как минимум 45 устройств в период с 2024 по 2025 год: цепочка соединений начиналась с инфраструктуры Discovere-Tech, затем проходила через серверы проверки Candiru и завершалась на серверах управления и контроля ПО.
Как работала цепочка заражения?
Атакующая сторона покупала рекламные места через известные рекламные сети и биржи, встраивая в объявления код JavaScript, который при отображении устанавливал соединение с сервером, названным Discovere-Tech NOAS, или сервером getAd. Сервер использовал такие индикаторы, как IP-адрес и рекламные идентификаторы, чтобы определить, соответствует ли устройство характеристикам цели.
Если устройство проходило проверку, ему отправлялся дополнительный код; на остальных устройствах реклама отображалась без получения вредоносной нагрузки. Такой отбор снижает уровень шума и помогает скрыть операцию внутри обычного рекламного трафика.
Масштаб операции не равен числу заражений
С марта по июнь 2026 года в рамках операции было проведено 3,77 миллиарда рекламных торгов и выиграно 442 миллиона аукционов, согласно оценкам Citizen Lab. Объявления, содержавшие теги атакующего кода, появились в 75 373 приложениях для Android и iOS и на 120 768 веб-сайтах. Эти цифры не означают, что все эти приложения и сайты или их пользователи были заражены.
Исследователи оценили, что от сотен тысяч до миллионов пользователей были направлены на домены, связанные с рекламой Discovere-Tech. После получения сообщений от Citizen Lab компании Google, IAB Europe, Beeswax, Eskimi и Vungle приняли меры, включая удаление нарушающих правила аккаунтов и блокировку доступа к определённым доменам.
Почему этот метод важен?
Этот случай показывает, что цифровая рекламная цепочка может превратиться в канал доставки сложного шпионского ПО даже без непосредственного взаимодействия пользователя. Кроме того, таргетирование конкретных устройств затрудняет обнаружение кампании по сравнению с широкомасштабными вредоносными кампаниями, тогда как покупка рекламы через основные сети расширяет потенциальный охват.
Candiru связана со шпионским ПО, которое компания официально продаёт правительствам, включая DevilsTongue для Windows, способное красть файлы, учётные данные и сообщения. Ранее инструменты компании связывали с эксплуатацией уязвимостей типа zero-day в Windows и Chrome для таргетирования журналистов, активистов и политиков.
Похожий метод ранее документировали под названием Aladdin в конце 2025 года, когда реклама использовалась для заражения целей ПО Predator без клика, однако это расследование основывалось на утёкших файлах и маркетинговых документах компании Intellexa. В отличие от него, AdFection основывался на реальных атаках и криминалистических доказательствах, связавших его с Discovere-Tech, которую Citizen Lab охарактеризовала как связующее звено между компаниями, продающими наёмное шпионское ПО, и рекламной экосистемой.