Candiru заразявал журналисти през реклами, без клик

На 15 октомври Citizen Lab при Университета в Торонто публикува разследването „Exposing AdFection“, в което за първи път документира технически как шпионски софтуер е стигнал до реални устройства през обикновени онлайн реклами. Жертвите: най-малко 45 устройства в Al Jazeera, атакувани през 2024 и 2025 г. с инструмента на израелската фирма Candiru. Никой не е кликал върху нищо — достатъчно е било рекламата да се зареди.

Как рекламата се превръща в експлойт

В центъра на схемата стои израелската рекламна компания Discover-Tech, регистрирана през 2020 г. и управлявана от Декел Бони. Според Citizen Lab тя оперира две платформи: MyDSP за купуване на реклами и Controlium — „магазин на едно гише“, през който оператори на шпионски софтуер избират конкретни хора.

Веригата е кратка. Discover-Tech печели автоматичния търг за рекламно място на сайт или в приложение, което вече е отворено на устройството на целта. При зареждането рекламата изтегля JavaScript от сървър на Discover-Tech. Сървърът преценява по идентификаторите на посетителя дали той е в списъка с цели и само тогава връща кода, който праща устройството към инфраструктурата на Candiru. Оттам следват проверка през валидиращ сървър и връзка с управляващия сървър.

Нищо от това не изисква взаимодействие — част от рекламите се зареждат изобщо невидимо, във фонов режим. Този избирателен подход е и причината рекламните скенери за сигурност да не хванат нищо: злонамереният код се връща само на правилното устройство.

Следите в Al Jazeera

Техническият екип на Al Jazeera забелязал странно поведение на устройства още през 2024 г. Мрежовите логове, които медията предоставя на изследователите, дават ясен времеви отпечатък: заразените машини първо се свързват с инфраструктурата на Discover-Tech (рекламното показване), после с валидиращите сървъри на Candiru и накрая с управляващите домейни fearevolve[.]com и jobmarcher[.]com.

От едно компрометирано устройство е изолиран Windows DLL файл с вградени адреси за управление:

SHA-256: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
C&C: fearevolve[.]com, jobmarcher[.]com

Al Jazeera осъди атаките срещу служителите си, определи ги като „посегателство срещу свободата на печата“ и призова виновните да бъдат подведени под отговорност, съобщи медията.

Милиарди наддавания, 200 000 сайта и приложения

Мащабът на рекламната мрежа е другата голяма част от доклада. Заедно с фирмата за рекламна сигурност Confiant изследователите анализират близо 4 милиарда записа за наддаване от март до юни 2026 г.: около 3,77 милиарда подадени оферти през MyDSP и близо 442 милиона спечелени търга. Кодът с обратното извикване е достигнал 75 373 приложения за Android и iOS и 120 768 сайта — около 200 000 уникални места в 161 държави.

Разбивката по мрежи е неприятна за четене: показвания има в мрежи на NATO и ООН, Европейския парламент, Комисията и Съвета на ЕС, американското министерство на отбраната, МААЕ, Международния наказателен съд, естонската агенция за информационни системи RIA, както и в Intel, Nvidia и Arm. Освен Al Jazeera реклами са доставяни и в мрежи на медии в Австралия, Дания, Франция, Италия, Мексико, Норвегия, Швеция и Израел.

„Начинът, по който работи онлайн рекламата днес, е системна заплаха за сигурността“, казва старшият изследовател на Citizen Lab Волфи Кристъл. Съоснователят на Confiant Жером Дангю е по-конкретен: „Много вероятно стотици милиони хора са били докоснати от Discover-Tech.“

Кой е Candiru и кой изключи крана

Candiru е израелски производител на наемен шпионски софтуер, вкаран в черния списък на американското министерство на търговията още през 2021 г. През 2025 г. активите му са купени от американската Integrity Partners и прехвърлени към Integrity Labs. Според Al Jazeera инструментът се продава за няколко милиона долара. Citizen Lab отбелязва, че Discover-Tech е обслужвала и други играчи в този бизнес — Intelos, Bindecy, както и група, наречена Dark Cartographer.

Реакцията на рекламната индустрия дойде след уведомяването. Google прекрати достъпа на Discover-Tech до рекламните си борси и добави защити в Safe Browsing; IAB Europe махна компанията от регистъра си на доставчици; Beeswax я свали от платформата си; Eskimi блокира акаунтите и домейните ѝ; Vungle спря достъпа до приключване на проверка, пише The Record. The Hacker News и Ars Technica също описват случая като първото публично технично потвърждение за заразяване през реклами.

Защо това е различно

Досега наемният шпионски софтуер се свързваше с таргетирани съобщения — линк в SMS, iMessage или WhatsApp. Нулевите дни продължават да се кърпят в спешен режим, както видяхме при дупките в Palo Alto и Ivanti, но тук каналът за доставка е самата рекламна екосистема, която финансира половината интернет. Няма подозрително съобщение, което да игнорирате, и няма поведение на потребителя, което да намали риска.

Citizen Lab настоява регулаторите да проверят дали Discover-Tech и Candiru/Integrity Labs са нарушили приложимото законодателство. Изключването на един посредник от рекламните борси е бърза мярка — подобна на свалянето на фишинг платформите от Microsoft и японската полиция — но тя не променя механиката. Докато наддаването в реално време разпраща идентификатори на устройства към хиляди посредници, следващият посредник ще намери същия път.