Målinriktade annonser utnyttjar noll-klick-sårbarheter för att distribuera legosoldat-spionprogram

Bild: Ars Technica · Källa

Citizen Lab avslöjar att det israeliska företaget Discover-Tech möjliggjorde målinriktade annonser med noll-klick-exploater som installerade Candiru-spionprogram på iOS- och Android-enheter hos bland andra Al Jazeera.

En detaljerad undersökning av University of Torontos Citizen Lab har avslöjat en sofistikerad spionprogramkampanj som utnyttjar målinriktad annonsering för att leverera noll-klick-exploater på mobila enheter. Kampanjen, kallad AdFection, infekterade enligt rapporten minst 45 enheter tillhörande personal på Al Jazeera under 2024 och 2025, vilket markerar det första bekräftade fallet av legosoldat-spionprogram som distribueras via målinriktade annonser.

Citizen Labs rapport visar att spionprogrammet distribuerades via annonser från Discover-Tech, ett israeliskt företag som agerar som mellanhand mellan annonsörer som söker specifika användarprofiler och publicister eller apputvecklare. Denna ordning gjorde det möjligt för Discover-Tech att servera skadliga annonser med inbäddad noll-klick-angreppskod som infekterade iOS- och Android-enheter när användare enbart laddade en webbplats eller app utan någon direkt interaktion.

Genom omfattande analys av över 4 miljarder budposter som hanterats av Discover-Tech, avslöjade forskningen att företagets annonser visades i mer än 70 000 mobilappar och 120 000 webbplatser globalt mellan mars och juni 2026. Kampanjen riktade sig mot användare genom att utnyttja detaljerade profiler skapade från unika mobila ID:n, geolokaliseringsdata, IP-adresser och andra identifierare. Noterbart är att Discover-Tech även utnyttjade GDPR-mekanismer för att fokusera attacker inom Europeiska unionen.

Ytterligare alarmerande var att Discover-Techs annonsvisningar upptäcktes på nätverk kopplade till regeringar, nationell säkerhet och kritisk infrastruktur, inklusive NATO, Förenta nationerna, europeiska lagstiftande organ och olika försvarsmakter. Denna omfattande exponering belyser inneboende sårbarheter inom det digitala annonssystemet, som inte lyckades identifiera eller stoppa missbruket.

Efter avslöjandet agerade stora branschaktörer såsom Google, IAB Europe, Beeswax, Vungle och Eskimi snabbt för att ta bort eller tillfälligt stänga av Discover-Tech från sina plattformar, vilket begränsade företagets förmåga att distribuera annonser.

Citizen Lab tillskriver det bakomliggande spionprogrammet till Candiru (även känt som Integrity Labs), ett legosoldats-hackarföretag. Candiru levererade noll-klick-exploaterna och spionprogramspayloaden som distribuerades genom Discover-Techs annonsinfrastruktur.

Undersökningen går inte in på exakta sårbarheter som utnyttjades men antyder att det sannolikt rör sig om noll-dagarsattacker som senare åtgärdades efter kampanjens avslöjande. Försök att få kommentarer från Discover-Tech och Candiru förblev obesvarade.

Som svar på dessa fynd uppmanar Citizen Lab annonsörer och statliga myndigheter att införa robusta skydd mot sådana hot. De rekommenderar att individuella användare använder annonsblockerare, regelbundet återställer mobila annonsidentifierare och säkerställer att programvara uppdateras i tid för att minska risker för infektion. Forskningen understryker ett kritiskt behov av systematiska reformer inom digital annonsering för att förhindra att legosoldat-spionprogram sprids genom pålitliga kommersiella kanaler.