Reklamy kierowane wykorzystują luki zero-click do instalacji najemnego oprogramowania szpiegującego

Image: Ars Technica · Source

Citizen Lab ujawnia, że izraelska firma Discover-Tech umożliwiła dystrybucję reklam kierowanych z wykorzystaniem luk zero-click, które instalowały oprogramowanie szpiegowskie Candiru na urządzeniach z iOS i Androidem, w tym dla Al Jazeery.

Szczegółowe śledztwo przeprowadzone przez Citizen Lab Uniwersytetu w Toronto ujawniło zaawansowaną kampanię oprogramowania szpiegującego, wykorzystującą reklamy kierowane do dostarczania exploitów zero-click na urządzenia mobilne. Kampania, nazwana AdFection, miała rzekomo zainfekować co najmniej 45 urządzeń należących do personelu Al Jazeery w latach 2024 i 2025, co stanowi pierwszy potwierdzony przypadek użycia najemnego oprogramowania szpiegującego poprzez reklamy kierowane.

Raport Citizen Lab wskazuje, że oprogramowanie szpiegujące było dystrybuowane za pośrednictwem reklam dostarczanych przez Discover-Tech, izraelską firmę działającą jako pośrednik pomiędzy reklamodawcami poszukującymi określonych profili użytkowników a wydawcami lub deweloperami aplikacji. Układ ten pozwolił Discover-Tech na serwowanie złośliwych reklam z osadzonym kodem ataku zero-click, które infekowały urządzenia z iOS i Androidem jedynie przez załadowanie strony internetowej lub aplikacji, bez żadnej bezpośredniej interakcji użytkownika.

Dzięki szerokiej analizie ponad 4 miliardów rekordów ofert zarządzanych przez Discover-Tech, badanie wykazało, że reklamy firmy pojawiały się w ponad 70 000 aplikacji mobilnych i 120 000 stronach internetowych na całym świecie między marcem a czerwcem 2026 roku. Kampania celowała w użytkowników, wykorzystując szczegółowe profile stworzone na podstawie unikalnych identyfikatorów mobilnych, danych geolokalizacyjnych, adresów IP i innych identyfikatorów. Co warte podkreślenia, Discover-Tech wykorzystywał także mechanizmy RODO, aby skoncentrować ataki w Unii Europejskiej.

Budzi to dalsze obawy, ponieważ reklamy Discover-Tech zostały wykryte na sieciach powiązanych z rządem, bezpieczeństwem narodowym oraz krytyczną infrastrukturą, w tym NATO, ONZ, europejskimi organami ustawodawczymi oraz różnymi siłami zbrojnymi. Ta szeroka ekspozycja podkreśla wrodzone luki w ekosystemie reklamy internetowej, który nie zdołał zidentyfikować lub zablokować nadużycia.

Po ujawnieniu sprawy, główni gracze branżowi, tacy jak Google, IAB Europe, Beeswax, Vungle i Eskimi, podjęli szybkie działania, usuwając lub zawieszając Discover-Tech na swoich platformach, ograniczając możliwości dystrybucji reklam tej firmy.

Citizen Lab przypisuje użyte oprogramowanie szpiegujące firmie Candiru (znanej również jako Integrity Labs), najemnemu podmiotowi hakerskiemu. Candiru dostarczyło exploity zero-click oraz ładunki oprogramowania szpiegującego dostarczane za pośrednictwem infrastruktury reklamowej Discover-Tech.

Śledztwo nie podaje dokładnych szczegółów dotyczących wykorzystywanych luk, sugerując jednak, że mogły to być ataki zero-day, które zostały załatane po ujawnieniu kampanii. Próby uzyskania komentarza od Discover-Tech i Candiru nie przyniosły odpowiedzi.

W odpowiedzi na te ustalenia, Citizen Lab nawołuje reklamodawców i agencje rządowe do wdrożenia solidnych zabezpieczeń przeciwko takim zagrożeniom. Zalecają użytkownikom indywidualnym stosowanie blokad reklam, regularne resetowanie identyfikatorów reklam mobilnych oraz bieżące aktualizacje oprogramowania, aby zmniejszyć ryzyko infekcji. Badanie podkreśla pilną potrzebę systemowych reform w reklamie cyfrowej, aby zapobiec rozprzestrzenianiu się najemnych kampanii oprogramowania szpiegującego przez zaufane kanały komercyjne.