Дослідники Citizen Lab описали схему, за якою звичайний показ онлайн-реклами міг стати початком зараження пристрою шпигунським ПЗ. Користувачеві не потрібно було відкривати вкладення, переходити за посиланням або натискати оголошення. Такий спосіб атаки називають zero-click, тобто атакою без дії з боку людини.
Citizen Lab назвала техніку AdFection. За висновками дослідників, ізраїльська компанія Discover-Tech через рекламну платформу Controlium могла бути посередником між рекламною інфраструктурою та постачальниками найманського шпигунського ПЗ. Лабораторія пов’язує платформу щонайменше з Candiru та Bindecy.
Реклама дає змогу обрати конкретний пристрій
Рекламні мережі створені, щоб показувати оголошення певній аудиторії: за пристроєм, місцем, мовою, інтересами та іншими ознаками. У схемі, описаній Citizen Lab, ці самі можливості використовували для вибору конкретних цілей і передачі їм шкідливого вмісту разом із рекламою.
За даними звіту, Controlium могла збирати відомості про пристрій, розпізнавати вибрані цілі та автоматично заражати їх під час показу оголошення. Це змінює характер ризику: небезпечним може бути не лише фальшивий банер, який спонукає щось завантажити, а й сам факт отримання реклами конкретним пристроєм.
Уражені Windows-пристрої Al Jazeera
Дослідники встановили, що щонайменше 45 комп’ютерів Windows міжнародної медіамережі Al Jazeera зазнали атак у 2024-2025 роках. За висновком Citizen Lab, на пристрої потрапило шпигунське ПЗ Candiru після показу таргетованої реклами. Які саме уряди стояли за цими атаками, дослідники не визначили.
Citizen Lab також повідомила, що у відкритому доступі опинилися записи облікових даних платформи Controlium, серед яких були дані працівників Candiru та Bindecy. Разом з аналізом роботи панелі це стало підставою пов’язати Discover-Tech з інфраструктурою для цільового розповсюдження шпигунського ПЗ.
Широке охоплення не означає масового зараження
Аналіз близько 4 мільярдів записів рекламних ставок показав, що оголошення Discover-Tech демонструвалися майже у 200 000 застосунків і сайтів на Android та iOS у десятках країн. Серед них були пристрої, якими користувалися державні структури, військові та організації критичної інфраструктури.
Сам показ такої реклами не означає, що кожен пристрій був заражений. Але масовість рекламних систем дає змогу непомітно доставити шкідливий вміст до вузько обраної цілі серед великої кількості звичайних показів. Citizen Lab зазначила, що Google припинив Discover-Tech доступ до своїх рекламних бірж після співпраці в розслідуванні.
Для людей, яких можуть обирати для цільового стеження через роботу або публічну роль, Citizen Lab радить вимкнути рекламне відстеження на пристроях або блокувати рекламу. Це скорочує кількість рекламних матеріалів, які можуть потрапити на пристрій, хоча повністю уникнути рекламної інфраструктури складно.