Целевые объявления используют уязвимости zero-click для установки наёмного шпионского ПО

Image: Ars Technica · Source

Citizen Lab раскрывает, что израильская компания Discover-Tech способствовала распространению целевых реклам с использованием эксплойтов zero-click, устанавливающих шпионское ПО Candiru на устройства с iOS и Android, в том числе для Al Jazeera.

Подробное расследование, проведённое Citizen Lab при Университете Торонто, выявило сложную кампанию шпионского ПО, использующую целевую рекламу для доставки эксплойтов zero-click на мобильные устройства. Кампания, получившая название AdFection, по сообщениям, инфицировала не менее 45 устройств сотрудников Al Jazeera в 2024 и 2025 годах, что стало первым подтверждённым случаем развертывания наёмного шпионского ПО через целевые рекламные объявления.

В отчёте Citizen Lab говорится, что шпионское ПО распространялось через рекламу, предоставляемую Discover-Tech — израильской компанией, выступающей посредником между рекламодателями, стремящимися охватить определённые пользовательские профили, и издателями либо разработчиками приложений. Такая схема позволила Discover-Tech размещать вредоносные объявления с встроенным кодом атаки zero-click, заражая устройства с iOS и Android при простой загрузке сайта или приложения без какого-либо прямого взаимодействия пользователя.

В результате обширного анализа более 4 миллиардов записей ставок, управляемых Discover-Tech, исследование показало, что объявления компании появлялись в более чем 70 000 мобильных приложений и 120 000 веб-сайтов по всему миру с марта по июнь 2026 года. Кампания нацеливалась на пользователей, используя детальные профили, построенные на основе уникальных мобильных идентификаторов, данных геолокации, IP-адресов и прочих идентификаторов. Примечательно, что Discover-Tech также использовала механизмы GDPR для концентрации атак в Европейском Союзе.

Дополнительное беспокойство вызывает обнаружение показов рекламы Discover-Tech в сетях, связанных с государственными структурами, службами национальной безопасности и критической инфраструктурой, включая НАТО, Организацию Объединённых Наций, европейские законодательные органы и различные вооружённые силы. Это широкое распространение подчёркивает врождённые уязвимости в экосистеме онлайн-рекламы, которая не смогла выявить или заблокировать злоупотребления.

После раскрытия информации ведущие игроки отрасли, такие как Google, IAB Europe, Beeswax, Vungle и Eskimi, оперативно приняли меры по удалению или приостановке деятельности Discover-Tech на своих платформах, ограничив возможности компании по распространению рекламы.

Citizen Lab относит основное шпионское ПО к Candiru (также известной как Integrity Labs) — наёмной хакерской фирме. Candiru поставляла эксплойты zero-click и шпионские полезные нагрузки, распространявшиеся через рекламную инфраструктуру Discover-Tech.

Расследование избегает подробностей о точных уязвимостях, предположительно это были zero-day эксплойты, которые были закрыты после раскрытия кампании. Попытки получить комментарии от Discover-Tech и Candiru не увенчались успехом.

В ответ на эти выводы Citizen Lab призывает рекламодателей и государственные агентства внедрять надёжные меры защиты от подобных угроз. Рекомендуется пользователям применять блокировщики рекламы, регулярно сбрасывать мобильные рекламные идентификаторы и своевременно обновлять программное обеспечение для снижения рисков заражения. Исследование подчёркивает критическую необходимость системных реформ в цифровой рекламе для предотвращения распространения наёмных кампаний шпионского ПО через доверенные коммерческие каналы.