Reclamele online au fost folosite pentru a identifica și a infecta cu spyware țintele cu o precizie extremă și fără „nicio interacțiune” din partea victimelor

O agenție de publicitate israeliană a difuzat milioane de reclame online care permit utilizarea spyware-ului de tip „zero-click” împotriva țintelor, au afirmat cercetătorii de la o universitate canadiană.

Cercetătorii numesc această tehnică „AdFection” și descriu descoperirile lor ca fiind prima confirmare tehnică publică a existenței spyware-ului mercenar, adică instrumentele de hacking vândute guvernelor, distribuit prin reclame țintite, relatează TheGuardian. Metoda fusese descrisă anterior pe baza unor documente ale companiei care au ajuns în presă, dar nu fusese demonstrată într-un atac real.

Citizen Lab, o unitate de cercetare în domeniul investigațiilor digitale de la Universitatea din Toronto, a declarat că, în opinia sa, zeci de dispozitive ale postului de televiziune qatarez Al Jazeera au fost compromise de programe spion distribuite prin reclame difuzate de Discover-Tech, care se descrie ca o agenție specializată în publicitate digitală.

Ancheta identifică compania israeliană de publicitate ca fiind intermediarul care leagă operatorii de programe spion de infrastructura publicitară mainstream.

Reclamele online sunt folosite ca arme pentru a distribui spyware

Discover-Tech se prezintă ca un furnizor de tehnologie publicitară și operează o platformă de achiziționare a reclamelor numită MyDSP. Citizen Lab a descoperit că platforma sa separată, Controlium, le permitea clienților să selecteze persoane pentru a le crea profiluri și a le selecta pentru infectare folosind identificatori de publicitate mobilă, identificatori de cookie-uri din browser și adrese IP. Platforma Controlium permitea clienților săi să „realizeze profilarea în masă și să elimine anonimatul” utilizatorilor de internet, apoi să pirateze în secret țintele cu ajutorul unor programe spion de la terți.

Conform raportului, Controlium este capabil să colecteze identitatea și adresa IP a unui utilizator atunci când acestuia i se afișează o reclamă personalizată aparent inofensivă, de exemplu, pentru un joc digital sau un serviciu de telecomunicații. Dacă utilizatorul a fost selectat ca țintă pentru hacking, o firmă de spyware mercenară poate trimite apoi un cod rău intenționat care conține spyware către dispozitivul său, afirmă cercetătorii.

Spre deosebire de infecțiile care se bazează pe interacțiunea utilizatorilor cu linkuri sau fișiere, programul spion nu necesită nicio interacțiune din partea victimei pentru a fi instalat, ceea ce îl transformă într-o nouă tehnică de distribuire, afirmă Citizen Lab. Infecțiile au loc fără știrea utilizatorului și în câteva secunde, potrivit cercetătorilor.

Jurnalele de rețea furnizate de difuzor au arătat că dispozitivele compromise au contactat infrastructura Discover-Tech, apoi serverele de validare Candiru și, ulterior, serverele de comandă și control. Candiru este o companie israeliană specializată în software de spionaj care a fost inclusă pe lista neagră a guvernului SUA.

Profilurile detaliate exploatate pentru a identifica și infecta țintele

„Ecosistemul [publicității online] este transformat în armă la scară masivă pentru a crea profiluri ale milioane de utilizatori, apoi pentru a infecta în tăcere țintele cu spyware mercenar de tip zero-click”, se menționează în raport.

Cercetătorii afirmă că milioane de utilizatori din întreaga lume au primit reclame de la Discover-Tech începând din 2024.

Cercetările conexe efectuate de grupul de cercetare Confiant sugerează, de asemenea, că reclamele Discover-Tech au fost afișate utilizatorilor rețelelor unor entități guvernamentale din Europa și SUA, precum și ale ONU, NATO, Curții Penale Internaționale și Agenției Internaționale pentru Energie Atomică, companii din domeniul apărării și operatorii de infrastructură critică.

„Este dezastruos faptul că marii furnizori de publicitate și organizațiile importante se pare că nu au fost capabili, timp de ani de zile, nici să detecteze, nici să prevină operațiunile publicitare rău intenționate ale companiei”, a declarat Wolfie Christl, cercetător la Citizen Lab. „Modul în care funcționează astăzi ecosistemul publicității online reprezintă o amenințare la adresa securității statelor, a sectorului privat, a societății civile și a tuturor celorlalți”.

Piața de reclame online automatizată permite accesul la milioane de potențiale victime

Când un utilizator accesează un site web care afișează reclame, datele sale devin parte a unei licitații automatizate care se desfășoară într-o fracțiune de secundă și la care participă zeci sau sute de companii, potrivit ArsTechnica. Aceste companii licitează automat pentru a afișa o reclamă în fața respectivului utilizator.

Agenții de publicitate oferă o sumă în schimbul afișării reclamelor lor pe dispozitivele persoanelor care se încadrează în anumite segmente demografice. Folosind ID-ul mobil unic al utilizatorilor, locația, adresa IP și alte urme digitale, intermediarii sunt capabili să alcătuiască profiluri detaliate ale a milioane de persoane prin urmărirea activității sale pe internet. De exemplu, companiile cărora li se furnizează profilul unei persoane de 35 de ani interesată de pariuri sportive și criptomonede ar putea licita pentru a-i afișa acelei persoane o reclamă la o băutură energizantă.

Citizen Lab a declarat că a obținut peste 4 miliarde de înregistrări de licitații gestionate de Discover-Tech. Acestea au relevat că reclamele Discover-Tech au fost afișate în peste 70.000 de aplicații mobile și pe mai mult de 120.000 de site-uri web între martie și iunie 2026.

Există puține reglementări privind această piață online automatizată, iar dovezile că aceasta este exploatată de actori rău intenționați sunt din ce în ce mai numeroase.

Procesul de infectarea cu spyware

Atacul începea atunci când Discover-Tech câștiga licitația automatizată pentru a plasa o reclamă pe un site web sau într-o aplicație deschisă pe dispozitivul țintei.

Codul de atac ascuns se executa în momentul în care o reclamă se încărca pe ecran, iar în unele cazuri reclama se încărca chiar și în fundal, fără a fi vizibilă.

Odată afișată, reclama solicită JavaScript de la un server Discover-Tech. Serverul respectiv returnează cod pe baza identificatorilor vizitatorului și a eligibilității aparente, direcționând dispozitivele selectate către infrastructura de spyware.

Această difuzare selectivă ajută, de asemenea, la ascunderea activității rău intenționate de scanerele de securitate publicitare. Majoritatea vizitatorilor nu primesc JavaScript suplimentar, în timp ce țintele alese pot fi supuse următoarei etape a atacului.

Laboratorul de cercetare a afirmat că malware-ul mercenar instalat prin AdFection a fost dezvoltat și distribuit de Candiru (rebotezat „Integrity Labs”). În cadrul acordului cu Discover-Tech, țintele cu profiluri specifice de interes pentru clienții Candiru primeau reclame care conțineau JavaScript sau alt cod care se conecta la serverele de control ale Candiru. Ca răspuns, aceste servere livrau un exploit care difuza încărcătura de tip „zero-click” atunci când reclama apărea pe dispozitivul unei persoane.

Cercetarea nu descrie vulnerabilitățile exploatate în atacurile de tip „zero-click” sau malware-ul final care a fost instalat prin acestea. Este probabil ca acestea să fi fost vulnerabilități de tip „zero-day” care au fost remediate după ce Citizen Lab a descoperit campania.

Al Jazeera a recuperat o bibliotecă DLL Windows de pe un dispozitiv compromis, care conținea adrese de comandă și control hardcodate. Citizen Lab a atribuit-o cu un grad ridicat de încredere grupului Candiru, pe baza amprentelor infrastructurii și a similitudinilor distinctive cu programele spion recuperate în 2021, inclusiv mecanismul său de persistență și ascunderea șirurilor de caractere.

Anunțurile evaluate ca conținând încărcătoare de scripturi la distanță ale Discover-Tech au apărut în 75.373 de aplicații Android și iOS și pe 120.768 de site-uri web. Printre acestea s-au numărat servicii de mesagerie, meteo, sănătate, întâlniri și jocuri, precum și publicații de știri importante.

O simplă afișare publicitară nu dovedește țintirea cu spyware sau infectarea. Cu toate acestea, Citizen Lab a avertizat că amploarea fenomenului a creat oportunități pentru profilare și potențiale compromiteri.

Ancheta a stabilit, de asemenea, o legătură între Discover-Tech și furnizorii de servicii de supraveghere Bindecy și Intelos. Un actor separat, urmărit sub numele de DARK CARTOGRAPHER, ar fi folosit infrastructura acestuia pentru a corela identificatorii publicitari cu numerele de telefon, exploatând vulnerabilitățile rețelelor mobile din peste 30 de țări.

Platformele publicitare au blocat accesul

Printre principalii furnizori care au inclus Discover-Tech pe lista furnizorilor „certificați” sau „verificați” s-au numărat Google și asociația din industria publicitară IAB Europe. Firma israeliană a utilizat, de asemenea, cadrele de consimțământ prevăzute de Regulamentul general privind protecția datelor (GDPR) pentru a viza utilizatori din Uniunea Europeană. Discover-Tech a mai difuzat reclame prin intermediul altor rețele majore, precum Yandex și Beeswax.

În urma anchetei, Google a întrerupt accesul Discover-Tech la platformele sale de publicitate și a implementat măsuri de protecție „Safe Browsing” împotriva domeniilor cunoscute ca fiind controlate de atacatori. IAB Europe a eliminat compania din registrul său de furnizori, Beeswax a eliminat-o de pe platforma sa de achiziții, Eskimi i-a blocat conturile și domeniile, iar Vungle a suspendat accesul până la finalizarea verificării.

Citizen Lab recomandă blocarea publicității și a urmăririi (tracking) la nivelul dispozitivului și al gateway-ului de rețea, dezactivarea identificatorilor publicitari acolo unde este posibil și verificarea traficului legat de publicitate pentru a depista conexiuni suspecte. Utilizatorii pot reduce expunerea prin utilizarea unor blocatoare de reclame (addblockere) de încredere și a unor browsere axate pe confidențialitate.

Utilizatorii mai pot reduce riscul de infectare prin resetarea ID-ului de publicitate mobilă din setările iOS și Android. Ca întotdeauna, instalarea la timp a actualizărilor este, de asemenea, o necesitate.

Articolul Reclamele online au fost folosite pentru a identifica și a infecta cu spyware țintele cu o precizie extremă și fără „nicio interacțiune” din partea victimelor apare prima dată în Go4IT.