一个与以色列 Discovere-Tech 公司有关的实体利用定向数字广告，将 Candiru 间谍软件送达半岛电视台媒体网络（Al Jazeera Media Network）的设备，发动了一次“无点击”攻击，受害者只需在设备上看到广告即可。Citizen Lab 研究人员将这项技术称为 AdFection，并认为这是首次公开的技术确认：雇佣型间谍软件通过定向广告实现投递。
调查依据包括半岛电视台提供的证据、网络日志，以及从遭入侵的 Windows 系统中恢复的一份 DLL 文件。证据显示，至少有 45 台设备在 2024 年至 2025 年间成为目标。通信链条始于 Discovere-Tech 的基础设施，随后经过 Candiru 的验证服务器，最终抵达该软件的命令与控制服务器。
感染链是如何运作的？
攻击方通过知名广告网络和广告交易平台购买广告位，并在广告中嵌入 JavaScript 代码。广告展示时，该代码会连接到一个由 Discovere-Tech 称为 NOAS 或 getAd 服务器的服务器。该服务器利用 IP 地址和广告标识符等指标，确定设备是否符合目标规格。
如果设备通过验证流程，服务器便会向其发送额外代码；其他设备则只会显示广告，不会接收恶意载荷。这种筛选可以减少噪声，并帮助将行动隐藏在正常的广告流量中。
行动规模不等于感染数量
根据 Citizen Lab 的估计，2026 年 3 月至 6 月期间，该行动参与了 37.7 亿次广告竞价展示，并赢得了 4.42 亿次竞价。含有攻击代码标签的广告出现在 Android 和 iOS 平台的 75,373 个应用程序以及 120,768 个网站中。这些数字并不意味着所有这些应用程序和网站，或其用户，都遭到了感染。
研究人员估计，有数十万至数百万用户被引导至与 Discovere-Tech 广告有关联的域名。在收到 Citizen Lab 的报告后，Google、IAB Europe、Beeswax、Eskimi 和 Vungle 采取了行动，包括删除违规账户以及阻止访问特定域名。
为什么这种方式很重要？
这一事件表明，数字广告链条可以转变为投递高级间谍软件的渠道，即使用户没有进行直接互动。针对特定设备的做法也使行动比大规模恶意活动更难被发现，而通过主要网络购买广告则扩大了潜在覆盖范围。
Candiru 与该公司正式向政府出售的间谍软件有关，其中包括面向 Windows 的 DevilsTongue，能够窃取文件、凭据和消息。此前，该公司的工具曾被关联到利用 Windows 和 Chrome 中的零日漏洞，以攻击记者、活动人士和政治人士。
类似的方法此前曾于 2025 年底以 Aladdin 的名称被记录：当时攻击者利用广告，在无需点击的情况下使目标感染 Predator 软件。不过，那项调查依据的是从 Intellexa 公司泄露的文件和营销材料；而 AdFection 则依据实际攻击和取证证据，将其与 Discovere-Tech 联系起来。Citizen Lab 将 Discovere-Tech 描述为雇佣型间谍软件公司与广告生态系统之间的纽带。