- Исследователи Citizen Lab и Confiant выявили технологию атак AdFection, заражающую гаджеты шпионским софтом через показ баннеров без каких-либо кликов.
- Израильская adtech-компания Discover-Tech выступала посредником для разработчика эксплойтов Candiru, атакуя десятки устройств медиахолдинга Al Jazeera.
- Рекламная платформа эксплуатировала RTB-аукционы и присутствовала в каталогах доверенных партнеров Google и IAB Europe с 2020 года.
Новый вектор атак: шпионское ПО в рекламных сетях
Лаборатория Citizen Lab при Университете Торонто в сотрудничестве с экспертами компании Confiant обнародовала масштабное расследование, раскрывшее новую схему целевого взлома мобильных устройств и компьютеров. Метод получил наименование AdFection: он превращает экосистему цифрового маркетинга в инфраструктуру доставки вредоносного кода так называемого класса «zero-click» (без участия жертвы).
Для успешного внедрения шпионской программы пользователю не требуется скачивать файлы или переходить по подозрительным ссылкам. Достаточно открыть легитимный веб-сайт или мобильное приложение, в которых подгружается рекламный блок. В ряде случаев скрытый вредоносный код активировался в фоновом режиме, даже не отображаясь в видимой области экрана устройства.
Механизм работы платформы Discover-Tech и участие Candiru
Ключевым звеном выявленной схемы эксперты называют израильскую компанию Discover-Tech, позиционирующую себя как официальный рекламный сервис. Разработанная компанией платформа Controlium напрямую взаимодействовала с системой RTB (real-time bidding — торги за рекламные слоты в реальном времени).
В процессе каждого аукциона рекламодатели получают базовые технические сведения об устройствах, местоположении и параметрах посетителя. Discover-Tech использовала этот массив телеметрии для профилирования и точечной выдачи вредоносных модулей конкретным лицам. Среди вендоров софта для слежки исследователи идентифицировали израильскую фирму Candiru (в настоящее время известную как Integrity Labs).
Хронология и масштабы кампании
Аналитики верифицировали успешные компрометации оборудования с использованием этой схемы:
| Параметр | Данные расследования Citizen Lab |
|---|---|
| Основная подтвержденная цель | Журналисты и сотрудники медиахолдинга Al Jazeera |
| Объем скомпрометированных устройств | Не менее 45 единиц (период атак: 2024–2025 гг.) |
| Охват платформы Discover-Tech | Свыше 70 000 приложений и 120 000 сайтов |
| Проанализированный объем данных | Около 4 миллиардов записей RTB-аукционов |
| Затронутые сети профилирования | Оборонные структуры, государственные ведомства, подразделения NATO |
Реакция рекламной индустрии
Подозрительная активность Discover-Tech оставалась незамеченной индустрией на протяжении нескольких лет: с 2020 года компания входила в официальный перечень проверенных партнеров Google и отраслевой ассоциации IAB Europe. В период с марта по июнь 2026 года показы баннеров платформы фиксировались на десятках тысяч ресурсов, одновременно перенаправляя трафик миллионов пользователей на сервера Candiru.
После публикации отчетов Google исключила Discover-Tech из рекламных аукционов и заблокировала статус сертифицированного поставщика. Аналогичные меры приняли IAB Europe, а также рекламные платформы Beeswax, Vungle и Eskimi. Сами представители Discover-Tech и Candiru воздержались от комментариев по запросам расследователей.
Инцидент наглядно демонстрирует фундаментальную уязвимость протоколов RTB в современной интернет-рекламе. Злоумышленники получают возможность легально идентифицировать узлы сети потенциальных целей через аукционы данных. Для пользователей и корпоративных сетей единственными эффективными контрмерами против подобных атак становятся блокировщики сетевой рекламы (AdBlock), использование защищенных DNS-фильтров и сегментация критических рабочих устройств.
Использование RTB-протоколов для целевой доставки zero-click эксплойтов обнажает фундаментальную уязвимость всей современной AdTech-экосистемы. Передача гранулярных телеметрических данных в процессе аукционов фактически легализует высокоточный фингерпринтинг потенциальных жертв. Без радикального пересмотра стандартов безопасности IAB и жесткой верификации скриптов на стороне DSP подобные инциденты станут системными.