Citizen Lab раскрыла AdFection: шпионское ПО Candiru через рекламу

Исследовательская группа Citizen Lab опубликовала отчёт «Exposing AdFection». По её словам, это первое публичное подтверждение атаки, в которой шпионское ПО наёмных производителей доставляется на устройство без клика через таргетированную рекламу. Технику авторы назвали AdFection. Устройства международной новостной сети Al Jazeera, утверждает отчёт, были заражены шпионской программой Candiru (компания переименована в «Integrity Labs»).

Рекламу, по данным Citizen Lab, покупала Discover-Tech, израильская компания, которая выдаёт себя за обычного рекламного оператора, но, как говорится в отчёте, работает как посредник для нескольких поставщиков шпионского ПО. Её платформа Controlium, по описанию авторов, позволяет партнёрам деанонимизировать устройство, снять его цифровой отпечаток и автоматически заразить в момент показа рекламы. Citizen Lab осторожно формулирует: Discover-Tech «судя по всему» служит прикрытием для масштабного рекламного шпионажа, и роль такого моста, похоже, является её основным назначением.

Масштаб оценён по анализу четырёх миллиардов записей торгов Discover-Tech за четыре месяца: реклама компании показывалась почти на 200 000 уникальных сайтов и приложений для Android и iOS в десятках стран. Кроме того, её реклама скрытно заставляла миллионы устройств обращаться к серверам Candiru, «вероятно, для масштабной слежки и разведки». Помимо Candiru, Discover-Tech связана с другой компанией, взламывающей устройства на заказ, Bindecy, и с Intelos, фирмой, торгующей рекламной разведкой (ADINT).

Механика такова. Показ рекламы строится на аукционах в реальном времени (RTB), которые идут сотни миллиардов раз в сутки: рекламодатели торгуют за показ конкретному пользователю, а в рекламе может быть исполняемый код. Идентификаторы устройства, cookie и IP-адрес позволяют целиться в одного человека. По описанию отчёта, значительная часть объявлений Discover-Tech содержит тег скрипта, который при показе обращается к «серверу NOAS» (он же «сервер getAd»), передаёт рекламные идентификаторы пользователя и автоматически выполняет полученный JavaScript. Сервер, судя по всему, по IP-адресу и идентификаторам решает, подходит ли цель: если да, возвращается код, если нет, ответ нулевой длины (0 байт). Так Discover-Tech не передаёт вредоносный код и даже ссылки на него компаниям, которые размещают и показывают рекламу.

Участников структуры отчёт описывает так: главой Discover-Tech назван Дэкель Бони (Dekel Boni) с опытом в цифровой рекламе. В совет директоров вскоре после основания компании в 2020 году вошёл Эрик Банун (Eric Banoun), которого Haaretz называет «одним из пионеров наступательной кибердеятельности в Израиле»; он оставался там до 2025 года. С 2020 по март 2026 года среди акционеров была компания, связанная с Сарой Хаму (Sara Hamou), которая управляла корпоративной сетью шпионской группы Intellexa.

Discover-Tech размещала рекламу через собственную платформу MyDSP, связанную с Google, Yandex, Vungle (Liftoff) и Sunteng, а отдельно закупала её у Eskimi и принадлежащей Comcast Beeswax (Freewheel). С 2020 по 2026 год компания значилась в списках «сертифицированных» и «одобренных» вендоров Google и отраслевой ассоциации IAB Europe, что помогало ей выглядеть легитимной. Она также использовала рамки согласия GDPR, чтобы таргетировать пользователей в Евросоюзе.

После раскрытия Google, IAB Europe, Beeswax, Vungle (Liftoff) и Eskimi отключили Discover-Tech от рекламной экосистемы; остальные вендоры в отведённый срок не ответили. Отдельный участник, которого Citizen Lab называет DARK CARTOGRAPHER, использует инфраструктуру Discover-Tech, чтобы через уязвимости у мобильных операторов связывать рекламные идентификаторы с номерами телефонов; подробности обещаны в отдельном отчёте. Citizen Lab призывает регуляторов проверить, не нарушили ли Discover-Tech и Candiru/Integrity Labs законы, и даёт рекомендации законодателям, специалистам по защите и рекламной отрасли. Отчёт опубликован одновременно с расследованием компании Confiant.

Ключевые факты

Citizen Lab утверждает, что устройства Al Jazeera заражены шпионской программой Candiru (переименована в «Integrity Labs») через таргетированную рекламу; технику назвали AdFection.
Рекламу, по данным отчёта, покупала израильская Discover-Tech: платформа Controlium позволяет деанонимизировать и заражать устройства в момент показа объявления.
Анализ четырёх миллиардов записей торгов за четыре месяца: почти 200 000 сайтов и приложений в десятках стран; миллионы устройств скрытно обращались к серверам Candiru.
Discover-Tech с 2020 по 2026 год значилась в списках «сертифицированных» и «одобренных» вендоров Google и IAB Europe; после раскрытия Google, IAB Europe, Beeswax, Vungle (Liftoff) и Eskimi её отключили.
Citizen Lab призывает регуляторов проверить Discover-Tech и Candiru/Integrity Labs на нарушение законов; отдельного участника DARK CARTOGRAPHER обещает описать позже.

Почему это важно

По утверждению Citizen Lab, это первое публичное техническое подтверждение заражения без клика через рекламу: достаточно, чтобы целевое объявление было показано. Раньше, как сказано в отчёте, способы подключения наёмных производителей шпионского ПО к рекламной экосистеме оставались в основном закрытыми. Дополнительный вес истории придаёт то, что в числе пострадавших названа международная новостная сеть Al Jazeera, а Discover-Tech годами значилась в списках одобренных вендоров Google и IAB Europe.

Кому это важно

Журналистам и другим людям, которых могут выбирать целью, специалистам по безопасности и защите, рекламным платформам и биржам, регуляторам и законодателям: именно им Citizen Lab адресует рекомендации и призыв к проверке. Для обычных пользователей история показывает, что рекламные идентификаторы и сторонний код в объявлениях могут служить каналом слежки.

Как это применить

В доступной части отчёта конкретные рекомендации раздела 11 («Как остановить атаки AdFection») не приведены, поэтому практических инструкций здесь не даём. Известно лишь, что Citizen Lab адресует рекомендации законодателям, специалистам по защите и рекламной отрасли. Отчёт описывает механику, которую стоит учитывать при оценке рисков: объявление может содержать код, который запрашивает дополнительный JavaScript у сервера, решающего по IP-адресу и рекламным идентификаторам, отдавать ли его конкретной цели.

Можно ли доверять

Источник, отчёт Citizen Lab, известной исследовательской группы; опубликован одновременно с расследованием Confiant. Многие формулировки в нём осторожные: Discover-Tech «судя по всему» является прикрытием, обращения к серверам Candiru были «вероятно» для слежки и разведки. Здесь использована вводная часть отчёта; технические разделы (механика, корпоративные связи, рекомендации) в пересказ не вошли. В доступном тексте не сообщается, когда произошли заражения Al Jazeera и сколько устройств затронуто, не названы использованные эксплойты и заказчик атаки, не приведены ответы Discover-Tech, Candiru и Al Jazeera.

Риски и подводные камни

Часть выводов отчёта опирается на косвенные признаки и осторожные формулировки, поэтому «судя по всему» и «вероятно» нельзя превращать в установленные факты. Заказчик и мотивы атаки на Al Jazeera в доступном тексте не раскрыты. Сведения о DARK CARTOGRAPHER отложены до отдельного отчёта. Другие рекламные вендоры, задействованные в схеме, на запрос Citizen Lab в срок не ответили, так что отключение Discover-Tech затронуло не всех участников цепочки.

«Мы предоставляем первое публичное техническое подтверждение атаки шпионским ПО наёмных производителей без клика, доставленной через таргетированную рекламу, которую мы называем AdFection.»

— Citizen Lab, отчёт «Exposing AdFection»