Israelische Firma Discover-Tech soll Online-Werbung zur Verbreitung von Spyware genutzt haben

Wie die Anzeigen Spyware auslieferten

Forscher des Citizen Lab an der Universität Toronto erklären, die israelische Werbefirma Discover-Tech habe manipulierte Anzeigen geschaltet, die Spyware ohne einen Klick des Nutzers auf Telefonen und Laptops installieren konnten. Die Technik, die die Forscher AdFection nennen, benötigt nichts weiter, als dass eine Anzeige auf einer Website oder in einer App geladen wird. Dem Bericht zufolge nutzte die Firma Echtzeit-Auktionsverfahren, um Nutzer zu profilieren und zu identifizieren, bevor sie Schadsoftware auslieferte, die in gewöhnlich wirkenden Werbeanzeigen verborgen war. Citizen Lab gibt an, ungesicherte interne Daten und Systeme von Discover-Tech untersucht und mit öffentlichen Informationen über bekannte Schadsoftware abgeglichen zu haben. Die manipulierten Anzeigen sollen auf Geräten angezeigt worden sein, die mit den Vereinten Nationen, der NATO, der Europäischen Union und Regierungen in vielen Ländern in Verbindung stehen.

Ausmaß der Kampagne

Discover-Tech soll 442 Millionen Anzeigen auf mehr als 120.000 Websites ausgespielt haben, und über Partnerschaften erreichte die Firma zudem mehr als 75.000 Apps. Die Anzeigen, oft für Alltagsprodukte wie Mobiltelefone oder Kopfhörer, wirkten auf die Betrachter harmlos. Zu den Websites, auf denen sie erschienen, gehören die BBC und die New York Times, und Apps wie Duolingo, Badoo und Grindr zeigten sie ebenfalls. Citizen Lab fand zudem Anmeldeprotokolle auf der Website der Firma, die Angaben zu Mitarbeitern von Candiru enthielten, einem Spyware-Hersteller, den die US-Regierung auf eine schwarze Liste gesetzt hat. Die Anzeigen erreichten auch Netzwerke, die mit dem Pentagon und dem Internationalen Gerichtshof in Verbindung stehen. Die Zahl von 442 Millionen wird als berichtet wiedergegeben, die genaue Zahl der betroffenen Nutzer ist daher nicht bekannt.

Al Jazeera und weitere Ziele

Citizen Lab kam zu dem Schluss, dass mindestens 45 Geräte von Al Jazeera in den Jahren 2024 und 2025 durch Anzeigen infiziert wurden, die Spyware auslieferten, welche Candiru zugeschrieben wird. Die Forscher erklären, diese Infektionen seien über Werbung erfolgt, ohne dass die Betroffenen klicken mussten. Al Jazeera stellte den Forschern interne Protokolldaten zur Verfügung, wodurch die Angriffe zurückverfolgt werden konnten. Der Bericht nennt zudem das Außenministerium Saudi-Arabiens als weiteres Ziel, gestützt auf technische Spuren; die saudische Botschaft hatte bis zum Zeitpunkt der Berichterstattung keine Anfrage nach einer Stellungnahme beantwortet. Auch versuchte Angriffe auf Netzwerke der NATO und der Vereinten Nationen, des Europäischen Parlaments, der Europäischen Kommission und nordischer Staaten wie Dänemark, Norwegen und Schweden wurden registriert. Der Bericht ergänzt, dass auch Verteidigungs- und Sicherheitssektoren, kritische Infrastruktur und Universitätsnetzwerke betroffen waren.

Google und Confiant reagieren

Google erklärte, Discover-Tech von seinen Werbeplattformen ausgeschlossen zu haben, weil die Firma systematisch gegen seine Richtlinien verstoßen habe, und hat das Unternehmen zudem von seiner globalen Anbieterliste gestrichen. Der Schritt folgte auf eine gemeinsame Untersuchung mit Citizen Lab und Confiant, einem auf Werbesicherheit spezialisierten Unternehmen aus New York. In seinem eigenen Bericht schrieb Confiant, Anzeigen mit Verbindung zu Candiru hätten nur einen winzigen Bruchteil des gesamten Anzeigenvolumens von Discover-Tech ausgemacht. Der Bericht von Citizen Lab erklärt, Discover-Tech habe sich als legitime Werbefirma präsentiert und zugleich als Brücke zum Markt für Söldner-Spyware fungiert.

Was die Forscher sagen

Bill Marczak, leitender Forscher bei Citizen Lab, beschrieb die Methode in drastischen Worten.

AdFection ermöglicht es Betreibern, bestimmte Personen automatisch mit Söldner-Spyware zu hacken, während sie Apps nutzen oder im Internet surfen.

Citizen Lab betont, dass eine auf einem Gerät erscheinende Anzeige nicht automatisch bedeutet, dass das Gerät infiziert wurde, wenngleich zumindest Daten gesammelt wurden, um Nutzerprofile zu erstellen. Wolfie Christl, ebenfalls leitender Forscher bei Citizen Lab, nannte das Risiko ein Albtraumszenario.

Das Risiko, dass das eigene Gerät allein durch die Nutzung einer Website oder App, die Anzeigen zeigt, mit Spyware infiziert wird, ist ein Albtraumszenario.