AdFection: таргетированная реклама оказалась связана со шпионской кампанией

Таргетированная реклама тоже может стать каналом доставки шпионского ПО. В статье, опубликованной 15 октября, Ars Technica сообщает о расследовании Citizen Lab при Университете Торонто, посвящённом кампании под названием AdFection. Лаборатория заявляет, что подтвердила заражение 45 устройств в Al Jazeera в 2024 и 2025 годах. Атаки затрагивали устройства на iOS и Android и не требовали кликов: для запуска заражения могло быть достаточно загрузить страницу или открыть приложение.

Согласно выводам лаборатории, которые приводит издание, рекламу поставляла Discover-Tech — израильская компания, позиционирующая себя как легальный участник рекламного рынка. Citizen Lab отводит ей роль посредника между рекламными сетями и партнёрами из индустрии шпионского ПО для наёмной слежки. Вредоносное ПО, использованное в этой кампании, предположительно было разработано и распространялось компанией Candiru, переименованной в Integrity Labs.

Описанный механизм использует рекламный таргетинг для охвата людей, соответствующих профилям, которые интересуют клиентов Candiru. Объявления содержали код для связи с управляющими серверами этой компании. Затем серверы доставляли эксплойт, когда реклама появлялась на целевом устройстве. Таким образом, согласно расследованию, отбор аудитории становился этапом цепочки заражения.

Citizen Lab также сообщает, что получила более 4 миллиардов записей о рекламных торгах, обработанных Discover-Tech. Они показывают, что с марта по июнь 2026 года её объявления отображались более чем в 70 000 мобильных приложений и более чем на 120 000 сайтов. Эти объёмы характеризуют рекламное присутствие, а не количество заражений. Это различие ограничивает выводы, которые можно сделать о фактических масштабах шпионажа.

Ars Technica сообщает, что Google и IAB Europe исключили Discover-Tech из своих реестров поставщиков рекламы. Google также закрыла ей доступ к своим платформам рекламного обмена, а Beeswax удалила её со своей платформы закупки рекламы. Эти меры стали ответом на сведения о причастности посредника, но сами по себе не доказывают, что все задействованные каналы распространения были нейтрализованы.

Сохраняется техническое ограничение: расследование не описывает ни использованные уязвимости, ни ПО, которое в итоге устанавливалось. Поэтому было бы преждевременно делать на его основе точные выводы о том, какие устройства по-прежнему подвержены риску. Этот случай прежде всего побуждает рассмотреть ответственность посредников и способность платформ выявлять злоупотребления их инструментами таргетинга.