Źródło: unsplash.com/photos/mT7lXZPjk7U
Spyware Candiru zostało dostarczone na urządzenia związane z Al Jazeera Media Network za pomocą ukierunkowanych reklam internetowych. Według analizy Citizen Lab atak nie wymagał kliknięcia w reklamę ani pobrania pliku przez użytkownika. Wystarczyło, że złośliwa reklama została wyrenderowana na odpowiednim urządzeniu. Badacze nazwali tę technikę AdFection i wskazali, że jest to pierwsze publiczne techniczne potwierdzenie wykorzystania targetowanych reklam do dostarczania komercyjnego spyware w realnych atakach.
Operacja wykorzystywała zwykłe kanały rynku reklamowego. Złośliwe materiały były umieszczane w reklamach kupowanych za pośrednictwem popularnych sieci i giełd reklamowych. Po wyrenderowaniu reklama kontaktowała się z infrastrukturą napastników, która sprawdzała między innymi adres IP oraz identyfikatory reklamowe urządzenia. Tylko wybrane urządzenia otrzymywały dalszy kod, a pozostałe dostawały zwykłą zawartość albo nie otrzymywały niczego. Taki model ograniczał widoczność operacji i pozwalał kierować atak do określonych celów.
Citizen Lab powiązało kampanię z izraelską firmą Discovere-Tech. Według badaczy jej platforma Controlium mogła być wykorzystywana do wyboru konkretnych urządzeń, profilowania ich oraz rozpoznawania ich cech. Firma została opisana jako pośrednik łączący dostawców komercyjnego spyware z rynkiem reklamy internetowej. Wcześniej, pod koniec 2025 roku, Amnesty International opisała podobny mechanizm dostarczania oprogramowania Predator bez kliknięcia użytkownika. Tamta technika była jednak znana przede wszystkim z ujawnionych materiałów, a nie z bezpośredniej obserwacji działającej kampanii.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Atak, który może zainfekować urządzenie bez kliknięcia lub innej świadomej czynności użytkownika. W opisanym przypadku wystarczyło wyrenderowanie złośliwej reklamy.
Zaawansowane narzędzia służące do atakowania konkretnych osób i ich urządzeń. Są trudniejsze do wykrycia niż typowa działalność cyberprzestępcza.
Luka w zabezpieczeniach, która jest wykorzystywana, zanim zostanie udostępniona poprawka lub zanim użytkownicy zdążą skutecznie zareagować.
Al Jazeera przekazała badaczom dowody ataków wymierzonych w co najmniej 45 urządzeń w latach 2024 i 2025. Analiza logów sieciowych wykazała sekwencję połączeń prowadzącą od infrastruktury Discovere-Tech przez serwery używane do weryfikacji Candiru do serwerów dowodzenia i kontroli spyware. Z przejętego systemu Windows odzyskano także plik DLL. Citizen Lab przypisało go z wysokim poziomem pewności narzędziom Candiru, wskazując na podobieństwa infrastruktury i kodu do wcześniej pozyskanych próbek.
Skala operacji była znacznie większa niż liczba potwierdzonych celów w sieci Al Jazeera. Citizen Lab ustaliło, że od marca do czerwca 2026 roku powiązana operacja złożyła 3,77 miliarda ofert zakupu reklam i wygrała 442 miliony aukcji. Reklamy zawierające skrypty przypisywane napastnikom pojawiały się w 75 373 aplikacjach na Androida i iOS oraz na 120 768 stronach internetowych. Te wartości opisują aktywność w ekosystemie reklamowym, a nie liczbę zainfekowanych urządzeń.
Citizen Lab szacuje, że reklamy Discovere-Tech skierowały od setek tysięcy do milionów użytkowników do powiązanych domen. Nie oznacza to jednak, że wszystkie te osoby zostały zainfekowane. Do skutecznego ataku potrzebne było spełnienie warunków określonych przez operatorów kampanii, w tym dopasowanie urządzenia do wybranego profilu oraz odpowiednia reakcja oprogramowania na przetworzenie reklamy.
Po otrzymaniu raportów Citizen Lab działania podjęły między innymi Google, IAB Europe, Beeswax, Eskimi i Vungle. Firmy usunęły wskazane konta oraz zablokowały dostęp do domen związanych z operacją. Opisany przypadek pokazuje, że reklama internetowa może być nie tylko nośnikiem oszustwa nakłaniającego do kliknięcia, lecz także automatycznym kanałem dostarczania zagrożeń. W ataku zero-click zachowanie użytkownika nie musi być bezpośrednią przyczyną infekcji, dlatego wykrywanie takich kampanii wymaga analizy zarówno urządzeń, jak i infrastruktury reklamowej.
Brak komentarzy. Bądź pierwszy!