Канадская компания Citizen Lab, специализирующаяся на кибербезопасности, подтвердила первый известный случай атаки коммерческого шпионского ПО через онлайн-рекламу, не требующей действий пользователя. Поводом стали сообщения журналистов Al Jazeera о необычном поведении их устройств в 2024 году. Кампания AdFection заражала устройства в момент показа рекламы, — вредоносная программа крала файлы, документы, cookie, закладки, сохраненные учетные данные, электронные письма и сообщения в мессенджерах. Она также перехватывала нажатия клавиш, делала скриншоты, записывала звук с микрофона и видео с камеры.
Источник изображения: Moor Studio - Getty Images
Исследователи связали вредоносное ПО и механизм его доставки с Candiru — израильским разработчиком коммерческого шпионского ПО, который теперь известен как Integrity Labs после смены названия и сообщений о его покупке. Министерство торговли США внесло Candiru в черный список в начале ноября 2021 года, сославшись на данные о том, что компания поставляла шпионское ПО иностранным правительствам, которые использовали его для атак на должностных лиц, журналистов и активистов. Согласно выводам, в конце июля 2026 года компания была исключена из списка. Исследователи не назвали покупателя инструмента и заказчика слежки за журналистами, но заявили, что вредоносная программа стоила несколько миллионов долларов.
В цепочку заражения также была вовлечена израильская рекламная технологическая компания Discover-Tech, управляющая платформой закупки цифровой рекламы MyDSP. Citizen Lab утверждает, что реклама с вредоносным ПО Candiru показывалась через данную инфраструктуру, а сама компания, выдавая себя за легальный рекламный бизнес, по-видимому, служит прикрытием для масштабного использования рекламы в целях шпионажа. Discover-Tech с 2020 года входила в списки одобренных поставщиков Google и IAB Europe.
Citizen Lab проанализировала около четырех миллиардов записей рекламных аукционов и обнаружила рекламу Discover-Tech более чем в 70 000 мобильных приложений и на 120 000 сайтов только во втором квартале 2026 года. По словам исследователей, как минимум 45 устройств Al Jazeera были скомпрометированы таким образом в 2024 и 2025 годах. Ссылаясь на данные компании по безопасности рекламы Confiant, The Register сообщила, что часть рекламы Discover-Tech также появлялась в важных сетях, которые используют Пентагон и Международное агентство по атомной энергии ООН.
