Målrettede annonser utnytter null-klikk-sårbarheter for å distribuere leiesoldat-spionvare

Bilde: Ars Technica · Kilde

Citizen Lab avslører at det israelske selskapet Discover-Tech fasiliterte målrettede annonser med null-klikk-utnyttelser som installerte Candiru-spionvare på iOS- og Android-enheter hos Al Jazeera og flere.

En detaljert etterforskning utført av University of Torontos Citizen Lab har avdekket en sofistikert spionvarekampanje som benytter målrettet annonsering for å levere null-klikk-utnyttelser på mobile enheter. Kampanjen, kalt AdFection, infiserte ifølge rapporten minst 45 enheter tilhørende ansatte ved Al Jazeera i 2024 og 2025, og markerer det første bekreftede tilfellet av leiesoldat-spionvare distribuert gjennom målrettede annonser.

Citizen Labs rapport indikerer at spionvaren ble distribuert via annonser levert av Discover-Tech, et israelsk firma som fungerer som mellomledd mellom annonsører som søker spesifikke brukerprofiler og utgivere eller apputviklere. Dette oppsettet gjorde det mulig for Discover-Tech å serve ondsinnede annonser med innebygd null-klikk-angrepskode, som infiserte iOS- og Android-enheter når brukere bare lastet en nettside eller app uten noen direkte interaksjon.

Gjennom en omfattende analyse av over 4 milliarder budposter administrert av Discover-Tech, avslørte forskningen at selskapets annonser dukket opp i mer enn 70 000 mobilapper og 120 000 nettsteder globalt mellom mars og juni 2026. Kampanjen målrettet brukere ved å utnytte detaljerte profiler laget av unike mobil-IDer, geolokaliseringsdata, IP-adresser og andre identifikatorer. Merkbart er det at Discover-Tech også utnyttet GDPR-mekanismer for å fokusere angrep innen EU.

Ytterligere alarmerende var at Discover-Techs annonsevisninger ble oppdaget på nettverk knyttet til regjeringer, nasjonal sikkerhet og kritisk infrastruktur, inkludert NATO, FN, europeiske lovgivende organer og ulike militære styrker. Denne omfattende eksponeringen understreker iboende sårbarheter i online annonseringsøkosystemet, som ikke klarte å identifisere eller blokkere misbruket.

Etter avsløringen handlet store aktører som Google, IAB Europe, Beeswax, Vungle og Eskimi raskt for å fjerne eller suspendere Discover-Tech fra sine plattformer, og begrenset dermed selskapets mulighet til å distribuere annonser.

Citizen Lab tilskriver den underliggende spionvaren til Candiru (også kjent som Integrity Labs), et leiesoldat-hackerfirma. Candiru leverte null-klikk-utnyttelsene og spionvarepayloadene som ble levert via Discover-Techs annonsestruktur.

Undersøkelsen går ikke i detalj på de eksakte sårbarhetene som ble utnyttet, men antyder at dette sannsynligvis var null-dagers angrep som ble rettet opp etter at kampanjen ble avslørt. Forsøk på å få kommentarer fra Discover-Tech og Candiru forble ubesvart.

Som svar på disse funnene oppfordrer Citizen Lab annonsører og offentlige myndigheter til å implementere robuste beskyttelsestiltak mot slike trusler. De anbefaler at enkeltbrukere benytter annonseblokkere, regelmessig tilbakestiller mobile annonseidentifikatorer og sørger for oppdatert programvare for å redusere risiko for infeksjon. Forskningen understreker et kritisk behov for systemiske reformer i digital annonsering for å hindre at leiesoldat-spionvarekampanjer sprer seg via pålitelige kommersielle kanaler.