Citizen Lab выявила глобальную кампанию шпионского ПО, распространяемого через рекламные сети

В ходе расследования выяснилось, что в период с 2024 по 2025 год не менее 45 устройств, принадлежащих журналистам телекомпании Al Jazeera, стали мишенью атак с нулевым кликом, доставляемых через рекламные объявления. Зараженные устройства фиксировали контакты с доменами Discover-Tech перед подключением к инфраструктуре Candiru. Телекомпания Al Jazeera участвовала в расследовании, предоставив исследователям логи устройств.

Помимо медиаструктур, масштаб кампании затронул сети, критически важные для национальной безопасности по всему миру. Анализ открытых данных рекламных аукционов показал, что реклама Discover-Tech со скриптами атакующих демонстрировалась в более чем 70 000 мобильных приложений и 120 000 веб-сайтов. Объявления охватывали государственные ведомства и министерства обороны в различных странах, включая Аппарат Премьер-министра Армении, а также структуры в Норвегии, Швеции, Дании и Италии.

Реакция индустрии и уязвимости рекламных сетей

Крупнейшие технологические и рекламные игроки приняли экстренные меры после обнародования выводов Citizen Lab. Компания Google объявила об аннулировании регистрации Discover-Tech на своих рекламных платформах по итогам совместного расследования с Citizen Lab и Confiant, а также внедрила предупреждения Safe Browsing. Европейское отделение IAB приостановило членство Discover-Tech в глобальном списке вендоров, а компания Beeswax (принадлежащая Comcast) удалила фирму со своей платформы.

Эксперты по безопасности подчеркивают, что коренная уязвимость кроется в архитектуре торгов в реальном времени (real-time bidding), используемой в цифровой рекламе. Данный процесс за миллисекунды собирает огромные объемы данных о пользователях и открывает злоумышленникам возможности для внедрения произвольного кода. По мнению исследователей, эффективная защита от подобных атак для рядовых пользователей на данный момент практически невозможна без использования надежных средств блокировки рекламы.