Citizen Lab: шпионское ПО Candiru доставлялось через таргетированную рекламу без клика пользователя

Citizen Lab впервые представила техническое подтверждение доставки коммерческого шпионского ПО через таргетированную рекламу без действий пользователя. Исследователи связали атаки на не менее чем 45 устройств Al Jazeera с инфраструктурой рекламной компании Discover-Tech и разработчиком spyware Candiru.

Исследовательская лаборатория Университета Торонто Citizen Lab описала технику AdFection, при которой показа таргетированного объявления достаточно для запуска цепочки заражения устройства. Исследователи называют свою работу первым публичным техническим подтверждением доставки коммерческого zero-click spyware через интернет-рекламу.

В 2024 и 2025 годах целью таких атак стали не менее 45 Windows-компьютеров международной медиасети Al Jazeera. Анализ сетевых журналов показал последовательные соединения с рекламной инфраструктурой израильской компании Discover-Tech, проверочным сервером Candiru, сервером с эксплойтом и системой командования шпионского ПО. На одном из скомпрометированных устройств также обнаружили DLL-файл, который Citizen Lab с высокой степенью уверенности связала с Candiru, позднее переименованной в Integrity Labs.

По данным исследователей, платформа Discover-Tech под названием Controlium позволяла выбирать цель по рекламному идентификатору мобильного устройства, cookie браузера или IP-адресу и передавать ей JavaScript вместе с рекламой. Citizen Lab также выявила связи платформы с разработчиком шпионского ПО Bindecy, однако подтвержденную цепочку заражения Al Jazeera отнесла к Candiru.

Анализ почти четырех миллиардов записей рекламных торгов показал, что за четыре месяца объявления Discover-Tech демонстрировались почти на 200 тысячах сайтов и в приложениях для Android и iOS. Сам факт показа не означает заражения: реклама попадала в том числе на устройства в сетях государственных органов, военных организаций и критической инфраструктуры, но подтверждений их компрометации нет.

После раскрытия результатов Google и отраслевая ассоциация IAB Europe исключили Discover-Tech из списков рекламных поставщиков. Google, Beeswax, Vungle и Eskimi также прекратили или приостановили доступ компании к своим рекламным платформам.