Citizen Lab ujawnia, że rządy wykorzystują reklamy internetowe do rozsyłania oprogramowania szpiegowskiego zero-click

Image: TechCrunch · Source

Badacze z Citizen Lab odkryli, że deweloperzy oprogramowania szpiegowskiego powiązani z rządami wykorzystują platformy reklamowe online do cichego hakowania urządzeń na całym świecie za pomocą oprogramowania zero-click, w tym przypadków ataków na komputery stacji Al Jazeera.

Naukowcy zajmujący się bezpieczeństwem z Citizen Lab Uniwersytetu Toronto poinformowali, że operatorzy oprogramowania szpiegowskiego powiązanego z rządami wykorzystują sieci reklamowe online do przeprowadzania ataków typu zero-click. Ich śledztwo zwróciło uwagę na izraelską firmę Discover-Tech, której platforma służy producentom oprogramowania szpiegowskiego, umożliwiając dostarczanie złośliwych reklam dostosowanych do infekowania wybranych urządzeń na całym świecie.

Według raportu Citizen Lab z października 2026 roku Discover-Tech podaje się za legalną firmę reklamową, ale działa jako pośrednik łączący reklamy komercyjne z najemnymi dostawcami oprogramowania szpiegowskiego, takimi jak Candiru i Bindecy. Firmy te tworzą oprogramowanie zero-click, które potrafi zainfekować urządzenia bez interakcji użytkownika, na przykład bez otwierania wiadomości czy klikania linków.

Badacze udokumentowali atak na co najmniej 45 komputerów z systemem Windows w mediach Al Jazeera. Urządzenia te zostały zainfekowane w latach 2024 i 2025 poprzez wystawienie na reklamy internetowe zawierające ukryty złośliwy kod powiązany z oprogramowaniem Candiru.

Choć dokładni aktorzy rządowi stojący za tymi kampaniami hakerskimi pozostają nieujawnieni, Citizen Lab podkreślił, że jest to pierwsza potwierdzona sytuacja, w której rządowe oprogramowanie zero-click zostało rozpowszechnione poprzez kanały reklam internetowych. To ujawnienie ukazuje potencjalne szerokie ryzyko dla milionów podłączonych urządzeń.

Bill Marczak, starszy badacz Citizen Lab, stwierdził: „Sprawa wzbudzała dużo zainteresowania — reklamy internetowe mogą być używane do identyfikacji i automatycznego atakowania celów z precyzją, ale dopiero teraz posiadamy konkretne techniczne dowody pokazujące ten proces w działaniu.”

Citizen Lab ujawnił także kilka szczegółów operacyjnych dotyczących platformy Discover-Tech, znanej wewnętrznie jako Controlium. Publicznie dostępne strony logowania platformy przypadkowo ujawniły kod źródłowy, pozwalając badaczom na odtworzenie panelu kontrolnego służącego do bezpośredniego wysyłania złośliwych treści wraz z reklamami do wybranych celów.

Ponadto zespół odkrył niechronione rekordy logowań użytkowników Controlium, w tym pracowników powiązanych z Candiru i Bindecy, potwierdzając bezpośrednie użycie platformy przez znanych producentów oprogramowania szpiegowskiego. Znaleziono również miliardy rekordów licytacji reklam, ujawniające, że reklamy były wyświetlane na dziesiątkach tysięcy aplikacji i stron internetowych od marca do czerwca 2026 roku. Reklamy te trafiały do urządzeń w sektorach wrażliwych, takich jak wojsko, rząd, infrastruktura krytyczna i agencje cybernetyczne, choć nie jest jasne, ile z nich zakończyło się skutecznymi infekcjami.

Dalsza współpraca z firmą zajmującą się jakością reklam, Confiant, ujawniła podobne kampanie malvertisingu wpływające na sieci Międzynarodowej Agencji Energii Atomowej i Międzynarodowego Trybunału Karnego.

Marczak ostrzegł, że Discover-Tech to prawdopodobnie tylko część takich operacji i wezwał potencjalne cele do wyłączania śledzenia reklam lub korzystania z narzędzi blokujących reklamy, by zmniejszyć ryzyko.

Ani Al Jazeera, ani Discover-Tech nie odpowiedziały na prośby o komentarz, a próby kontaktu z firmą macierzystą Candiru, Integrity Labs, nie powiodły się.

To śledztwo podkreśla znaczące zwiększenie zaawansowania metod dostarczania oprogramowania szpiegowskiego, wykorzystującego infrastruktury reklam komercyjnych do cichego i precyzyjnego atakowania ofiar bez jakichkolwiek działań z ich strony, co rodzi pilne pytania o cyfrowe bezpieczeństwo i prywatność na całym świecie.