Citizen Lab сообщает об обнаружении целевых рекламных кампаний, в результате которых устройства сотрудников телеканала Al Jazeera были заражены шпионским ПО Candiru без необходимости каких-либо действий со стороны пользователей. Исследователи называли эту технику AdFection, описывая ее как первое публичное техническое подтверждение существования шпионского ПО, распространяемого через целевую рекламу. В ходе расследования им удалось выйти на израильскую рекламную компанию Discover-Tech, выступившей посредником между операторами spyware и основной рекламной инфраструктурой. Она позиционирует себя как поставщик рекламных технологий и управляет платформой для покупки рекламы MyDSP. По меньшей мере 45 устройств в сети Al Jazeera стали объектом атак в 2024-2025 гг. Скомпрометированные устройства связывались с инфраструктурой Discover-Tech, а затем и с серверами проверки Candiru, и с С2. Citizen Lab установила, что выделенная платформа Discover-Tech, Controlium, позволяет клиентам выбирать конкретных лиц для профилирования или заражения, используя идентификаторы мобильной рекламы, идентификаторы cookie браузера и IP-адреса. Атака начинается с размещения Discover-Tech посредством аукциона рекламы на веб-сайте или в приложении, открытом на устройстве жертвы. При отображении реклама запрашивает JavaScript у сервера Discover-Tech. Этот сервер возвращает код, основанный на идентификаторах посетителя и его предполагаемой важности, направляя выбранные устройства к инфраструктуре spyware. Взаимодействие с рекламой не требуется, и некоторые объявления могут отображаться в фоновом режиме. Такая выборочная доставка помогает скрыть вредоносную активность от рекламных сканеров безопасности. Большинство посетителей не получают дополнительный JavaScript, в то время как выбранные цели могут подвергнуться следующему этапу атаки. В Al Jazeera обнаружили на взломанном устройстве DLL-файл Windows, содержащий жестко закодированные адреса командной строки. Citizen Lab с высокой степенью уверенности отнесла его к Candiru, основываясь на характеристиках инфраструктуры и сходстве со шпионским ПО, обнаруженным в 2021, включая механизм обеспечения постоянного присутствия и обфускацию строк. Исследователи изучили почти четыре млрд. общедоступных записей о торгах за период с марта по июнь 2026 года. Платформа MyDSP подала приблизительно 3,77 млрд. заявок и, по всей видимости, выиграла почти 442 млн.аукционов. Рекламные объявления, содержащие удаленные загрузчики скриптов Discover-Tech, появлялись в 75 373 приложениях для Android и iOS и на 120 768 веб-сайтах. В их число входили мессенджеры, сервисы погоды, здравоохранения, знакомств и игр, а также крупные новостные издания. Информация также появилась в сетях, связанных с НАТО, ООН, институтами ЕС, правительственными учреждениями, оборонными компаниями и операторами критической инфраструктуры. Один лишь показ рекламы не гарантирует выявление шпионского ПО или заражения. Тем не менее, Citizen Lab предупреждает, что такой широкий охват создает возможности для составления профилей и потенциальной компрометации. В ходе расследования Discover-Tech также была связана с другими поставщиками spyware - Bindecy и Intelos. А DARK CARTOGRAPHER, предположительно использовал ее инфраструктуру для сопоставления рекламных идентификаторов с телефонными номерами, используя уязвимости мобильных сетей более чем в 30 странах. После расследования Google заблокировала доступ Discover-Tech к своим рекламным биржам и внедрила защиту Safe Browsing в отношении известных доменов, контролируемых злоумышленниками. IAB Europe исключил компанию из своего реестра поставщиков, Beeswax - из своей платформы для закупок рекламы, Eskimi заблокировал ее учетные записи и домены, а Vungle приостановил доступ до завершения проверки. В свою очередь, в Discover-Tech и Candiru/Integrity Labs никак не прокомментировали результаты расследования. Впрочем, все и так понятно.