Israelische Werbefirma Discover-Tech nutzte Online-Werbung, um Spyware auf Al-Jazeera-Geräten zu platzieren
Citizen Lab zufolge kaufte Discover-Tech Online-Werbeanzeigen, die Candiru-Spyware auslieferten und 2024 und 2025 mindestens 45 Al-Jazeera-Geräte erreichten – ohne dass ein Nutzer klicken musste.
Was die Forscher herausfanden
Citizen Lab, eine Forschungseinheit der University of Toronto, veröffentlichte am Donnerstag, dem 15. Oktober, einen Bericht, wonach Discover-Tech, ein israelisches Unternehmen, das sich selbst als Werbeagentur bezeichnet, Online-Werbeanzeigen mit integrierter Spyware kaufte. Diese Anzeigen leiteten Geräte zu Servern weiter, die mit Candiru in Verbindung stehen, einem Spyware-Hersteller, den die US-Regierung 2021 auf eine schwarze Liste setzte. Citizen Lab nannte es den frühesten bekannten Fall von gezielter Werbung ohne Klick, das heißt, das Ziel muss keinen Link öffnen oder irgendeinen anderen Schritt unternehmen, damit die Infektion erfolgt. Die Untersuchung ging aus einer eigenen Recherche von Al Jazeera hervor. Das interne Technikteam des Senders bemerkte 2024 erstmals ungewöhnliche Muster auf den Geräten einiger Journalisten, und das Muster setzte sich bis 2025 fort.
Der Sender bat Citizen Lab um eine detaillierte Untersuchung, und die Forscher analysierten Netzwerkprotokolle, die Al Jazeera aus dem Angriffszeitraum bereitstellte. Sie zählten mindestens 45 Geräte bei dem in Katar ansässigen Sender, die 2024 und 2025 ins Visier genommen wurden. Millionen von Geräten wurden auf die Schadsoftware gelenkt, darunter mehrere, die Al-Jazeera-Journalisten gehörten, die über sensible Themen berichteten. Die Forscher betonten, dass die Weiterleitung auf die Schadsoftware nicht bedeute, dass jedes Gerät infiziert wurde.
- Das interne Technikteam von Al Jazeera bemerkt erstmals ungewöhnliche Muster auf den Geräten einiger Journalisten
- Die ungewöhnlichen Muster setzen sich auf Al-Jazeera-Geräten fort
- Citizen Lab veröffentlicht seinen Bericht über Discover-Tech und Candiru
Wie die Werbeplattform funktionierte
Discover-Tech betreibt eine Plattform namens Controlium, die es laut dem Bericht ihren Spyware-Partnern ermöglicht, Personen präzise zu profilieren, ihre Geräte zu fingerprinten und eine Person per IP-Adresse, mobiler Werbe-ID oder Browser-Kennung für eine Infektion auszuwählen. Citizen Lab zufolge nutzten mindestens zwei Hersteller von Spyware ohne Klick, Candiru und Bindecy, die Plattform, um Ziele zu finden. Die Technik beruht auf Echtzeit-Auktionen, dem automatisierten System, mit dem Plattformen wie Google Werbeflächen verkaufen, sodass ein Opfer erreicht werden kann, ohne mit irgendetwas zu interagieren.
Eine Analyse von vier Milliarden Werbedatensätzen fand Discover-Tech-Anzeigen auf fast 200.000 Websites und mobilen Apps in Dutzenden Ländern über einen Zeitraum von vier Monaten. Einige dieser Seiten waren institutionelle Seiten der NATO, der Vereinten Nationen, des Europäischen Parlaments, der Europäischen Kommission und des Rates der EU. Citizen Lab zufolge hat das Unternehmen seit 2024 zudem Anzeigen an Millionen von Nutzern weltweit ausgeliefert, darunter Menschen im Jemen, in Brasilien, Mexiko und Tschechien.
Weitere Erkenntnisse und Reaktionen der Branche
Confiant, ein in New York ansässiges Sicherheitsunternehmen, erklärte in einem separaten Bericht, dass einige Discover-Tech-Anzeigen auch in Netzwerken erschienen, die vom Pentagon, der Internationalen Atomenergiebehörde und dem Internationalen Strafgerichtshof genutzt werden. Google und Beeswax, das zum Comcast-Konzern gehörende Werbeunternehmen, haben Discover-Tech von ihren Plattformen entfernt, und IAB Europe setzte das Unternehmen von seiner Liste zugelassener Anbieter aus, wie Reuters berichtete. Discover-Tech und Integrity Labs reagierten zunächst nicht auf Anfragen nach einer Stellungnahme, und POLITICO berichtete, dass Integrity Labs Candiru im Jahr 2025 übernommen habe. Citizen Lab erklärte, es sei unklar, welche Regierungen hinter den Angriffen stünden.
Warnungen und Reaktionen
Al Jazeera Media Network verurteilte die gezielte Infektion der Geräte mehrerer seiner Mitarbeiter mit Spyware, erklärte, freiwillig mit den Forschern zusammengearbeitet zu haben, und forderte, die Verantwortlichen zur Rechenschaft zu ziehen. Der Sender bezeichnete die Zielrichtung gegen Journalisten als Angriff auf die Pressefreiheit und das Recht der Öffentlichkeit auf Wissen.
Bill Marczak, leitender Forscher bei Citizen Lab, brachte das Risiko drastisch auf den Punkt.
Der Anschluss an das Ökosystem der Online-Werbung verschafft der Branche der Söldner-Spyware ein getarntes Auslieferungssystem.
Wolfie Christl, ein weiterer Forscher bei Citizen Lab, sagte, es sei verhängnisvoll, dass große Werbeanbieter und Organisationen jahrelang nicht in der Lage gewesen seien, die Aktivitäten des Unternehmens zu erkennen oder zu verhindern.
Die Art und Weise, wie das Ökosystem der Online-Werbung heute funktioniert, ist eine Sicherheitsbedrohung für Staaten, den Privatsektor, die Zivilgesellschaft und alle anderen gleichermaßen.
Die Forscher empfehlen Nutzern mit hohem Risiko, ins Visier genommen zu werden, Werbeblocker zu verwenden, das Werbe-Tracking zu deaktivieren und ihre mobilen Werbe-IDs regelmäßig zurückzusetzen, und sie fordern die Werbebranche auf, die Sicherheit ihrer Plattformen zu erhöhen.