Шпионская программа Candiru проникала через рекламу без единого клика

Онлайн-реклама может содержать не только изображение, но и код. Исследователи из Citizen Lab при Университете Торонто показали, как этот код используют, чтобы установить шпионское ПО на устройство выбранного человека — без единого нажатия. В лаборатории назвали эту технику AdFection. «Человек, которого взломали таким способом, не заметил бы ничего подозрительного», — рассказал Wired старший научный сотрудник Билл Марчак (Bill Marczak). «Более того, он мог бы вообще не увидеть никакой рекламы».

Это касается всех, у кого на телефоне установлено множество бесплатных приложений. Атаки без взаимодействия пользователя чаще всего проводили через уязвимости в мессенджерах, которые компании могут устранить обновлениями. Здесь же злоумышленники задействовали обычный механизм показа рекламы: аукцион, который проходит за доли секунды при загрузке приложения или веб-страницы и уже передаёт сведения об устройстве — рекламный идентификатор, IP-адрес и данные о модели телефона.

В центре этой истории — зарегистрированная в Израиле компания Discover-Tech, представлявшая себя рекламным бизнесом. Согласно отчёту, её платформа Controlium позволяла заказчикам выбрать конкретную цель по рекламному идентификатору, cookie браузера или IP-адресу и отправить код на устройство в тот момент, когда на нём появлялась реклама. Всем остальным показывали обычное объявление. Citizen Lab с высокой степенью уверенности связывает серию атак на новостную сеть Al Jazeera с производителем шпионского ПО Candiru, который теперь называется Integrity Labs. Целью стали как минимум 45 устройств сотрудников вещателя; с одного заражённого компьютера под управлением Windows извлекли файл, указывавший на серверы Candiru.

То, как исследователям удалось проникнуть внутрь, почти комично. На странице входа в Controlium находился полный исходный код собственной панели управления компании. Команда сохранила страницу, отключила ссылки на внешние серверы и запустила все её экраны. Кроме того, сервер Discover-Tech оставил в открытом доступе почти четыре миллиарда записей рекламных аукционов. Из них видно, что объявления со встроенным тегом скрипта злоумышленников показывались внутри 75 373 приложений для Android и iOS, а также на 120 768 сайтах. Среди знакомых названий — мессенджер Viber, где на Android появилось более 700 000 таких объявлений; они также встречались в Yahoo Mail, Opera Mini и Duolingo.

Эти цифры важно трактовать осторожно. Само по себе появление рекламы Discover-Tech на экране не означает, что телефон взломали, подчёркивают в лаборатории. В большинстве случаев сервер компании вообще не отправлял никакого кода, а данные об аукционах охватывают лишь одну из её рекламных платформ и период в четыре месяца. Citizen Lab не сообщала, какие правительства оплачивали операцию против Al Jazeera. А обнаружение рекламы в сетях НАТО, ООН и ряда европейских учреждений говорит о её охвате, но не подтверждает заражение устройств. В Норвегии объявления дошли до сетей парламента и полиции, в Швеции — вооружённых сил и оператора национальной энергосистемы. Обычным пользователям доступны лишь довольно прямолинейные меры защиты. Марчак советует тем, кто может стать целью «из-за того, кто вы или чем занимаетесь», отключить отслеживание рекламы или полностью блокировать объявления.

Рекламная индустрия уже начала реагировать. Google заявила, что заблокировала Discover-Tech на своих рекламных платформах после совместного расследования с Citizen Lab и компанией по кибербезопасности Confiant, а также добавила предупреждения Safe Browsing для связанных с группой сайтов. IAB Europe исключила компанию из списка одобренных рекламных поставщиков, а принадлежащая Comcast компания Beeswax удалила её со своей платформы. Discover-Tech не ответила на запросы Wired и TechCrunch.

Citizen Lab опубликовала отчёт 15 октября 2026 года. В нём описаны атаки на Al Jazeera в 2024 и 2025 годах, а также данные рекламных аукционов за период с марта по июнь 2026 года. Лаборатория готовит второй отчёт — о другой группе, которую называет DARK CARTOGRAPHER. По данным исследователей, она использовала ту же инфраструктуру, чтобы связывать рекламные идентификаторы телефонов с их номерами, пользуясь уязвимостями у мобильных операторов более чем в 30 странах.

Марчак называет Discover-Tech «несомненно, лишь верхушкой айсберга». Команде не пришлось долго искать её рекламу: объявления появлялись на экранах самих исследователей, когда те читали сайты CBC и Yahoo и играли в судоку на Android.

Теги: кибербезопасность, интернет-реклама, AdFection, Candiru, Citizen Lab, Discover-Tech