Шпигунське ПЗ Candiru поширювали через таргетовану рекламу без кліків
Шпигунське ПЗ Candiru доставляли на пристрої через таргетовану рекламу без потреби натискати на оголошення.
Пристрої співробітників медіамережі Al Jazeera стали ціллю атак із використанням шпигунського програмного забезпечення Candiru, яке доставляли через таргетовану онлайн-рекламу. Для зараження не потрібно було натискати на оголошення: достатньо було його відобразити на пристрої. Про це повідомляє BBC News.
Як працювала схема
Дослідники Citizen Lab назвали цей механізм AdFection і зазначили, що це перше публічне технічне підтвердження доставки найманського шпигунського ПЗ через таргетовану рекламу. За їхніми даними, ізраїльська компанія Discovere-Tech використовувала платформу Controlium для націлювання на конкретні пристрої, а також для профілювання, деанонімізації та збору цифрових відбитків користувачів.
Компанія купувала рекламні місця через великі рекламні мережі та біржі. У рекламні матеріали вбудовували JavaScript, який після відображення оголошення звертався до сервера NOAS. Той за параметрами, зокрема IP-адресою та рекламними ідентифікаторами, визначав, чи є пристрій цільовим. Додатковий шкідливий код отримували лише відібрані пристрої, тоді як іншим користувачам реклама не завдавала шкоди.
Дані про атаки та реакція платформ
Al Jazeera передала Citizen Lab докази атак щонайменше на 45 пристроїв у 2024–2025 роках. Дослідники проаналізували журнали мережі та виявили послідовність з’єднань від інфраструктури Discovere-Tech до серверів перевірки Candiru, а потім до серверів керування шпигунським ПЗ. На скомпрометованому комп’ютері з Windows також знайшли DLL-файл, який Citizen Lab із високою впевненістю пов’язала з Candiru через збіги в інфраструктурі та коді з раніше отриманими зразками.
Candiru — ізраїльський постачальник інструментів спостереження, який заявляє, що продає їх лише урядам. Компанія також розробила шкідливе ПЗ DevilsTongue для Windows, здатне викрадати файли, облікові дані та повідомлення.
Citizen Lab повідомила, що з березня до червня 2026 року рекламна операція зробила 3,77 млрд ставок і виграла 442 млн рекламних аукціонів. Оголошення зі скриптами, які дослідники оцінили як пов’язані з атакою, з’являлися у 75 373 застосунках для Android та iOS і на 120 768 сайтах. Ці показники не означають кількості заражень. Після повідомлень дослідників Google, IAB Europe, Beeswax, Eskimi та Vungle вжили заходів для видалення пов’язаних облікових записів і блокування доменів.
