Главное в материале

  • Citizen Lab назвала технику «AdFection» — первое публичное техническое подтверждение доставки коммерческого шпионского ПО через таргетированную рекламу без клика
  • Как минимум 45 устройств Al Jazeera подвергались атакам в 2024–2025 годах; связь с Candiru установлена с высокой уверенностью
  • Реклама Discover-Tech появлялась на более чем 120 000 сайтов и 70 000 приложений, включая BBC, NYT, Duolingo; Google, IAB Europe и другие платформы разорвали сотрудничество

Шпионское ПО через рекламу без клика

Лаборатория Citizen Lab Университета Торонто опубликовала расследование, показавшее, как инфраструктура онлайн-рекламы использовалась для отслеживания устройств и доставки шпионского ПО, включая атаки на журналистов. Техника получила название «AdFection»; по словам исследователей, это первое публичное техническое подтверждение доставки «наемного» шпионского ПО через таргетированную рекламу без какого-либо взаимодействия со стороны жертвы. Расследование сосредоточено на израильской рекламной компании Discover-Tech и израильском производителе шпионского ПО Candiru, сменившем название на Integrity Labs. В ноябре 2021 года министерство торговли США внесло Candiru в торговый черный список, указав, что компания поставляла шпионское ПО иностранным правительствам для атак на журналистов, активистов и чиновников. Ранее в том же году Microsoft совместно с Citizen Lab выявила более 100 жертв шпионского ПО, связанного с компанией.

Атаки на Al Jazeera

Citizen Lab выявила как минимум 45 устройств Al Jazeera, ставших целями атак в 2024 и 2025 годах, и с высокой уверенностью связала операцию с шпионским ПО Candiru, доставлявшимся через рекламу Discover-Tech. Исследователи подтвердили заражения, однако цифра 45 относится к устройствам-целям, а не к подтвержденному числу успешных компрометаций. По сетевым журналам, предоставленным Al Jazeera, удалось восстановить ход атак: устройство загружало сайт или приложение с рекламой Discover-Tech, которая могла появиться на экране или загрузиться в фоне без клика. Код в рекламе обращался к серверам Discover-Tech, передавая рекламные идентификаторы и публичный IP-адрес. Сервер оценивал, соответствует ли устройство критериям атакующего: большинству пользователей дополнительный код не возвращался, а выбранным целям возвращался код, соединявший устройство с инфраструктурой Candiru. Связь с Candiru подтверждают также технические отпечатки инфраструктуры (сотни доменов и IP-адресов) и вредоносный файл с зараженного устройства Windows, содержавший адреса серверов, совпадающие с инфраструктурой Candiru. Ранее Citizen Lab описывала шпионское ПО Candiru как способное красть пароли и сообщения, делать скриншоты и активировать микрофон и веб-камеру. Al Jazeera осудила атаки на своих сотрудников, назвав таргетирование журналистов «нападением на свободу прессы» и потребовав привлечения виновных к ответственности.

Масштаб охвата

Исследователи изучили почти 4 миллиарда записей рекламных торгов с марта по июнь 2026 года и обнаружили рекламу Discover-Tech на более чем 120 000 сайтах и свыше 70 000 мобильных приложениях по всему миру. Реклама направляла миллионы устройств на серверы, связанные с Candiru, что потенциально позволяло масштабное отслеживание и разведку; это не означает заражения миллионов устройств, поскольку профилирование, выбор цели и установка шпионского ПО — разные этапы. Реклама достигала устройств в управляемых государствами сетях 24 стран, включая Италию, Данию, Норвегию, Австралию, Россию, Мексику и Израиль, а также американской территории Американское Самоа. Она появлялась на популярных сайтах и в приложениях, включая BBC, The New York Times, Duolingo и AccuWeather. Отдельно рекламная security-фирма Confiant обнаружила признаки рекламы в сетях, связанных с министерством обороны США, МАГАТЭ и Международным уголовным судом. Эти находки демонстрируют охват операции, но не доказывают, что пользователи этих сетей выбирались для атак или были заражены.

Почему это было возможно и реакция индустрии

Citizen Lab описывает экосистему онлайн-рекламы как «созревшую для злоупотреблений»: ставки в реальном времени, рекламные идентификаторы, сторонние скрипты и таргетинг позволяют точно нацеливаться и запускать код внутри сайтов и приложений. Избирательная доставка затрудняла обнаружение: платформа Eskimi сообщила Citizen Lab, что реклама загружала разный код в зависимости от устройства, IP-адреса и местоположения зрителя, помогая обходить автоматические проверки. Discover-Tech в 2020–2026 годах фигурировала в списках «сертифицированных» или «одобренных» поставщиков Google и отраслевой ассоциации IAB Europe и использовала крупные платформы, включая Google, Yandex, Vungle, Eskimi и принадлежащий Comcast Beeswax. После раскрытия информации Google и IAB Europe удалили Discover-Tech из своих реестров поставщиков; Google также прекратил доступ компании к своим рекламным биржам, Beeswax удалил ее со своей платформы, Vungle приостановил доступ до проверки, а Eskimi заблокировал аккаунты и домены компании.

Значение для цифровой безопасности

Citizen Lab выявила также другого действующего лица, названного Dark Cartographer, которое использовало инфраструктуру Discover-Tech и уязвимости в системах мобильных операторов для связывания рекламных идентификаторов с телефонными номерами, что могло обеспечить массовую деанонимизацию пользователей; подробности будут изложены в отдельном отчете. Исследователи призвали усилить регуляторный контроль над рекламными компаниями и рекомендовали организациям блокировать таргетированную рекламу на сетевых шлюзах. Директор Citizen Lab Рон Дайберт в интервью канадскому вещателю CBC заявил: «В момент, когда (реклама) отображается, устройство может быть взломано, поэтому против этого практически нет защиты, кроме отказа от смартфона или интернета». Он назвал выводы «сценарием худшего кошмара», объединяющим таргетированную рекламу и наемное шпионское ПО — «две плохо регулируемые и активно злоупотребляемые индустрии», и добавил: «Это рецепт катастрофы. Это глобальный шпионаж, который мы раскрыли в огромном масштабе».