Исследователи Citizen Lab при Университете Торонто сообщили о хакерской кампании AdFection, в которой таргетированная интернет-реклама использовалась для доставки эксплойтов с нулевым взаимодействием. Такие атаки не требуют от жертвы переходить по ссылке, скачивать файл или выполнять иные действия: вредоносный код запускается при загрузке сайта либо открытии установленного приложения.
По данным исследователей, в 2024 и 2025 годах в результате этой схемы были заражены 45 устройств сотрудников международной медиасети Al Jazeera. Атаки затрагивали устройства под управлением iOS и Android. Их сложно обнаружить без специализированных средств криминалистического анализа, подчёркивают в Citizen Lab.
Как работала схема
В Citizen Lab считают, что рекламу для атак поставляла израильская компания Discover-Tech, которая позиционирует себя как участник рекламного рынка. Исследователи называют её посредником между рекламными площадками и разработчиками коммерческого шпионского ПО.
В цифровой рекламе показ объявления определяется автоматическими торгами. Рекламодатели могут выбирать аудиторию по мобильному рекламному идентификатору, геолокации, IP-адресу и другим техническим данным. По версии Citizen Lab, этот механизм позволял показывать вредоносные объявления конкретным людям с нужным профилем.
Лаборатория получила более 4 млрд записей о рекламных торгах, обработанных Discover-Tech. Из них следует, что с марта по июнь 2026 года объявления компании показывались более чем в 70 000 мобильных приложений и на свыше чем 120 000 сайтов.
После появления результатов расследования Google и IAB Europe исключили Discover-Tech из реестров рекламных поставщиков. Google также закрыла доступ компании к своим рекламным биржам. Платформа Beeswax удалила Discover-Tech со своей площадки для закупки рекламы, Vungle, работающая под брендом Liftoff, временно ограничила доступ компании на время проверки, а Eskimi заблокировала её аккаунты и домены.
Связь с Candiru
Как утверждает Citizen Lab, использованное в AdFection шпионское ПО разрабатывала и распространяла компания Candiru, которая, по сведениям исследователей, сменила название на Integrity Labs. Объявления, нацеленные на интересующую заказчиков Candiru аудиторию, содержали JavaScript или иной код для обращения к управляющим серверам. В ответ серверы передавали эксплойт, который срабатывал непосредственно при отображении баннера.
Авторы исследования не раскрыли, какие именно уязвимости использовались и какое вредоносное ПО устанавливалось на устройства. Они допускают, что речь могла идти об уязвимостях нулевого дня, которые были устранены после обнаружения атак.
Риски для редакций и пользователей
Citizen Lab считает произошедшее предупреждением для СМИ, журналистов, редакторов и других сотрудников редакций: таргетированная реклама может стать незаметным инструментом наблюдения за конкретными людьми. В отчёте также отмечается, что показы Discover-Tech фиксировались в сетях, связанных с государственными структурами и национальной безопасностью, включая сети НАТО, ООН, европейских законодательных органов, операторов критической инфраструктуры Австралии, а также вооружённых сил и ведомств Норвегии и Швеции.
Для снижения риска исследователи рекомендуют своевременно устанавливать обновления, использовать блокировщики рекламы и при необходимости сбрасывать рекламный идентификатор в настройках iOS и Android. Дополнительную защиту может дать блокировка рекламных доменов на уровне домашней или корпоративной сети.
