Izraelska firma Discover-Tech miała wykorzystywać reklamy internetowe do infekowania urządzeń oprogramowaniem szpiegującym

Jak reklamy dostarczały oprogramowanie szpiegujące

Badacze z Citizen Lab przy Uniwersytecie w Toronto twierdzą, że izraelska firma reklamowa Discover-Tech umieszczała zmodyfikowane reklamy, które mogły instalować oprogramowanie szpiegujące na telefonach i laptopach bez żadnego kliknięcia ze strony użytkownika. Technika, którą badacze nazywają AdFection, wymaga jedynie załadowania reklamy na stronie internetowej lub w aplikacji. Według raportu firma wykorzystywała aukcje w czasie rzeczywistym do profilowania i identyfikacji użytkowników, a następnie dostarczała złośliwe oprogramowanie ukryte w zwyczajnie wyglądających reklamach. Citizen Lab podaje, że przeanalizowało niezabezpieczone dane wewnętrzne i systemy Discover-Tech, dopasowując je do publicznych informacji o znanym złośliwym oprogramowaniu. Zmodyfikowane reklamy były wyświetlane na urządzeniach powiązanych z ONZ, NATO, Unią Europejską oraz rządami wielu krajów.

Skala kampanii

Discover-Tech miało wyświetlić 442 miliony reklam na ponad 120 000 stron internetowych, a dzięki partnerstwom dotarło również do ponad 75 000 aplikacji. Reklamy, często promujące codzienne produkty, takie jak telefony komórkowe czy słuchawki, wyglądały dla odbiorców nieszkodliwie. Wśród stron, na których się pojawiały, są BBC i New York Times, a aplikacje takie jak Duolingo, Badoo i Grindr również je zawierały. Citizen Lab znalazło również na stronie internetowej firmy logi logowania, które zawierały dane pracowników Candiru, producenta oprogramowania szpiegującego, którego rząd USA umieścił na czarnej liście. Reklamy dotarły również do sieci powiązanych z Pentagonem i Międzynarodowym Trybunałem Sprawiedliwości. Liczba 442 milionów jest określana jako raportowana, więc dokładna liczba poszkodowanych użytkowników nie jest znana.

Al Jazeera i inne cele

Citizen Lab ustaliło, że w latach 2024 i 2025 zainfekowano co najmniej 45 urządzeń należących do Al Jazeera za pośrednictwem reklam dostarczających oprogramowanie szpiegujące przypisywane Candiru. Badacze twierdzą, że do infekcji dochodziło poprzez reklamę, bez konieczności kliknięcia przez ofiary. Al Jazeera przekazała badaczom wewnętrzne dane logów, co pozwoliło na prześledzenie ataków. Raport wymienia również ministerstwo spraw zagranicznych Arabii Saudyjskiej jako kolejny cel, opierając się na śladach technicznych; ambasada Arabii Saudyjskiej nie odpowiedziała na prośbę o komentarz w momencie publikacji raportu. Próby ataków odnotowano również wobec sieci NATO i ONZ, Parlamentu Europejskiego, Komisji Europejskiej oraz państw nordyckich, w tym Danii, Norwegii i Szwecji. Raport dodaje, że ucierpiały również sektory obronności i bezpieczeństwa, infrastruktura krytyczna oraz sieci uniwersyteckie.

Reakcja Google i Confiant

Google poinformowało, że zablokowało Discover-Tech dostęp do swoich platform reklamowych, ponieważ firma systematycznie naruszała zasady, a także zawiesiło ją na swojej globalnej liście dostawców. Krok ten nastąpił po wspólnym dochodzeniu z Citizen Lab i Confiant, nowojorską firmą zajmującą się bezpieczeństwem reklam. W swoim raporcie Confiant napisało, że reklamy powiązane z Candiru stanowiły tylko niewielki ułamek całkowitego wolumenu reklam Discover-Tech. Raport Citizen Lab wskazuje, że Discover-Tech prezentowało się jako legalna firma reklamowa, działając jednocześnie jako pomost do rynku najemnego oprogramowania szpiegującego.

Co mówią badacze

Bill Marczak, starszy badacz w Citizen Lab, opisał tę metodę w surowych słowach.

AdFection pozwala operatorom na automatyczne hakowanie konkretnych osób za pomocą najemnego oprogramowania szpiegującego, gdy korzystają one z aplikacji lub przeglądają internet.

Citizen Lab podkreśla, że wyświetlenie reklamy na urządzeniu nie oznacza automatycznie, że urządzenie zostało zainfekowane, choć przynajmniej zbierano dane w celu budowania profili użytkowników. Wolfie Christl, inny starszy badacz z Citizen Lab, nazwał to ryzyko scenariuszem koszmaru.

Ryzyko zainfekowania urządzenia oprogramowaniem szpiegującym po prostu przez korzystanie ze strony internetowej lub aplikacji wyświetlającej reklamy to scenariusz koszmaru.