Citizen Lab виявила шпигунське ПЗ у таргетованій онлайн-рекламі
Citizen Lab заявила про виявлення безклікових атак зі шпигунським ПЗ, яке поширювали через таргетовану онлайн-рекламу.
Дослідники Citizen Lab при Університеті Торонто заявили, що виявили кампанію з поширення складного шпигунського програмного забезпечення через таргетовану онлайн-рекламу. За їхніми даними, шкідливе ПЗ могло заражати пристрої без будь-яких дій із боку користувача — під час перегляду застосунків або вебсторінок із рекламою.
Про технічні докази цієї кампанії повідомляє Wired. У Citizen Lab назвали атаки AdFection і вважають, що це перший детально задокументований випадок публічного підтвердження поширення такого шпигунського ПЗ через цифрову рекламу.
Цілями були пристрої Al Jazeera
Упродовж 2024 і 2025 років Citizen Lab дійшла висновку, що 45 пристроїв, які належали медіа Al Jazeera, стали цілями безклікових атак через рекламу. Дослідники стверджують, що рекламні оголошення розміщувала заснована в Ізраїлі маркетингова компанія Discover-Tech, а поширене шпигунське ПЗ вони пов’язують з ізраїльським розробником Candiru.
За результатами аналізу, заражені пристрої контактували з доменами, пов’язаними з Discover-Tech, а згодом — з інфраструктурою, яку Citizen Lab асоціює з Candiru. Дослідники зазначають, що за такого способу атаки користувач може не помітити ані ознак зламу, ані самого рекламного оголошення.
Реакція рекламних платформ
Google після спільного розслідування з Citizen Lab і компанією Confiant заблокувала Discover-Tech на своїх рекламних платформах, заявивши про систематичне порушення політик компанії. Також Google додала попередження Safe Browsing для сайтів, пов’язаних із цією групою.
Європейський підрозділ Interactive Advertising Bureau повідомив про призупинення участі Discover-Tech у глобальному списку постачальників GVL після аудиту політик компанії. Платформа Beeswax, що належить Comcast, також заявила про видалення Discover-Tech зі своєї системи після перевірки незалежним фахівцем із безпеки.
Citizen Lab зазначає, що платформа Controlium, якою, за її даними, керує Discover-Tech, може дозволяти деанонімізувати та ідентифікувати пристрої. Дослідники оцінили, що мільйони пристроїв спрямовувалися на сервери Candiru для профілювання. Вони також встановили, що між березнем і червнем оголошення з кодом, пов’язаним із Discover-Tech, показувалися більш ніж у 70 тисячах мобільних застосунків і понад 120 тисячах сайтів.
