Gezielte Werbung nutzt Zero-Click-Schwachstellen aus, um Söldnerspyware zu verbreiten

Image: Ars Technica · Source

Citizen Lab enthüllt, dass die israelische Firma Discover-Tech gezielte Werbung mit Zero-Click-Exploits bereitstellte, die die Candiru-Spionagesoftware auf iOS- und Android-Geräten bei Al Jazeera und weiteren installierten.

Detaillierte Untersuchung entdeckt Spyware-Kampagne über gezielte Werbung

Eine genaue Untersuchung des Citizen Lab der Universität Toronto hat eine ausgeklügelte Spyware-Kampagne aufgedeckt, die gezielte Werbung nutzt, um Zero-Click-Exploits auf mobilen Geräten auszuliefern. Die Kampagne, AdFection genannt, infizierte Berichten zufolge mindestens 45 Geräte von Mitarbeitern bei Al Jazeera in den Jahren 2024 und 2025, was den ersten bestätigten Fall einer Söldnerspyware-Verbreitung über gezielte Werbung darstellt.

Verbreitung und Funktionsweise

Der Bericht von Citizen Lab zeigt, dass die Spyware über Anzeigen verteilt wurde, die von Discover-Tech bereitgestellt wurden, einem israelischen Unternehmen, das als Vermittler zwischen Werbetreibenden mit spezifischen Nutzerprofilen und Publishern oder App-Entwicklern agiert. Diese Vereinbarung erlaubte es Discover-Tech, bösartige Anzeigen mit Zero-Click-Angriffscode zu schalten, die iOS- und Android-Geräte infizierten, sobald Nutzer lediglich eine Webseite oder App luden, ohne direkte Interaktion.

Globaler Umfang und Profiling-Techniken

Durch umfangreiche Analyse von über 4 Milliarden Gebotsdatensätzen, die von Discover-Tech verwaltet wurden, ergab die Forschung, dass die Anzeigen des Unternehmens zwischen März und Juni 2026 auf mehr als 70.000 mobilen Apps und 120.000 Websites weltweit erschienen. Die Kampagne zielte auf Nutzer ab, indem detaillierte Profile aus einzigartigen mobilen IDs, Geolokationsdaten, IP-Adressen und weiteren Identifikatoren erstellt wurden. Bemerkenswert ist, dass Discover-Tech auch GDPR-Mechanismen ausnutzte, um Angriffe innerhalb der Europäischen Union zu fokussieren.

Exposition gegenüber sensiblen Einrichtungen und Versagen des Werbe-Ökosystems

Weiterhin alarmierend ist, dass Anzeigenimpressionen von Discover-Tech auf Netzwerken aufgedeckt wurden, die mit Regierungen, nationaler Sicherheit und kritischer Infrastruktur verbunden sind, darunter NATO, Vereinte Nationen, europäische gesetzgebende Körperschaften und diverse Streitkräfte. Diese weite Verbreitung unterstreicht grundlegende Schwachstellen im Online-Werbebereich, die den Missbrauch nicht erkannt oder verhindert haben.

Branchenreaktion

Nach Offenlegung reagierten große Akteure der Branche wie Google, IAB Europe, Beeswax, Vungle und Eskimi rasch, indem sie Discover-Tech von ihren Plattformen entfernten oder suspendierten und somit die Werbeverbreitung der Firma einschränkten.

Attribution und technische Details

Citizen Lab führt die zugrundeliegende Spyware auf Candiru (auch bekannt als Integrity Labs) zurück, eine Söldner-Hacking-Firma. Candiru lieferte die Zero-Click-Exploits und Spyware-Payloads, die über die Werbeinfrastruktur von Discover-Tech verteilt wurden.

Die Untersuchung nennt nicht die genauen ausgenutzten Schwachstellen, vermutet jedoch, dass es sich wahrscheinlich um Zero-Day-Angriffe handelte, die nach Bekanntwerden der Kampagne gepatcht wurden. Versuche, von Discover-Tech und Candiru Stellungnahmen einzuholen, blieben unbeantwortet.

Empfehlungen und Reformaufruf

Als Reaktion auf die Erkenntnisse fordert Citizen Lab Werbetreibende und Regierungsbehörden dazu auf, robuste Schutzmaßnahmen gegen derartige Bedrohungen zu implementieren. Sie empfehlen Nutzern individuell, Werbeblocker einzusetzen, mobile Werbe-IDs regelmäßig zurückzusetzen und rechtzeitig Software-Updates durchzuführen, um Infektionsrisiken zu verringern. Die Forschung betont dringend die Notwendigkeit systemischer Reformen im digitalen Werbebereich, um die Ausbreitung von Söldnerspyware-Kampagnen über vertrauenswürdige kommerzielle Kanäle zu verhindern.