Исследователи из Citizen Lab (Университет Торонто) и компании Confiant подтвердили использование рекламных объявлений для доставки шпионского ПО. Кампания получила название AdFection — это первый публично подтверждённый случай доставки коммерческого шпионского ПО через рекламу без клика со стороны жертвы (zero-click).
Candiru (переименована в Integrity Labs) — израильский производитель шпионского ПО, находящийся в санкционном списке США с 2021 года. Шпионское ПО доставлялось через инфраструктуру Discover-Tech.
Когда устройство соответствовало цели, рекламный баннер загружал код заражения вместо обычной рекламы — иногда в фоновом режиме, без отображения.
Код изменялся в зависимости от устройства и IP-адреса, чтобы обходить проверки рекламных сетей. Атаки нацеливались как на iOS, так и на Android.
Сами объявления не содержали эксплойт-код. Вредоносный JavaScript запускался в фоне и устанавливал соединение с серверами Candiru для доставки полезной нагрузки. Это позволяло обходить автоматические системы безопасности рекламных платформ.
Среди приложений, где показывалась вредоносная реклама, — Duolingo, Viber, Wetter Online, Badoo и Grindr.
Наиболее пострадавшие цели:
Al Jazeera: как минимум 45 устройств сотрудников были инфицированы в 2024–2025 годах.
Палестина: самая атакуемая территория — Discover-Tech обслуживала почти 2% всей цифровой рекламы, а 7 апреля пик достиг 10%.
Чувствительные сети: реклама показывалась в сетях НАТО, ООН, Европарламента, Международного уголовного суда, а также на сетях государственных органов Армении, Чехии, Израиля, Италии и других стран.
Кристль также предупредил, что «онлайн-реклама сломана. То, как она работает сегодня, — это сплошной риск для безопасности — для государств, частного сектора, гражданского общества и всех остальных».
Ключевые участники
Discover-Tech — израильская рекламная компания, выступавшая посредником между рекламной индустрией и производителями шпионского ПО. Компания имела сертификацию Google и была зарегистрирована в IAB Europe.Candiru (переименована в Integrity Labs) — израильский производитель шпионского ПО, находящийся в санкционном списке США с 2021 года. Шпионское ПО доставлялось через инфраструктуру Discover-Tech.
Как работала схема
Discover-Tech использовала платформу Controlium, которая превращала обычные рекламные аукционы в систему слежки:Когда устройство соответствовало цели, рекламный баннер загружал код заражения вместо обычной рекламы — иногда в фоновом режиме, без отображения.
Код изменялся в зависимости от устройства и IP-адреса, чтобы обходить проверки рекламных сетей. Атаки нацеливались как на iOS, так и на Android.
Сами объявления не содержали эксплойт-код. Вредоносный JavaScript запускался в фоне и устанавливал соединение с серверами Candiru для доставки полезной нагрузки. Это позволяло обходить автоматические системы безопасности рекламных платформ.
Масштаб и цели
По данным Citizen Lab, за период с марта по июнь 2026 года было проанализировано 4 миллиарда записей аукционов. Реклама Discover-Tech появлялась на почти 200 000 уникальных сайтов и в мобильных приложениях в десятках стран.Среди приложений, где показывалась вредоносная реклама, — Duolingo, Viber, Wetter Online, Badoo и Grindr.
Наиболее пострадавшие цели:
Al Jazeera: как минимум 45 устройств сотрудников были инфицированы в 2024–2025 годах.
Палестина: самая атакуемая территория — Discover-Tech обслуживала почти 2% всей цифровой рекламы, а 7 апреля пик достиг 10%.
Чувствительные сети: реклама показывалась в сетях НАТО, ООН, Европарламента, Международного уголовного суда, а также на сетях государственных органов Армении, Чехии, Израиля, Италии и других стран.
Реакция платформ
После публикации расследования Google, IAB Europe, Beeswax, Vungle и Eskimi отключили Discover-Tech от своих рекламных систем. Однако, как отметил исследователь Citizen Lab Вольфи Кристль, «катастрофично, что крупные рекламные площадки, судя по всему, не могли ни обнаружить, ни предотвратить эту вредоносную рекламную операцию в течение нескольких лет».Значение для безопасности
Исследователи называют это первым публичным техническим подтверждением zero-click атаки коммерческого шпионского ПО через таргетированную рекламу. Это означает, что для заражения устройства теперь не требуется ни клик по ссылке, ни открытие вложения — достаточно просто загрузить страницу или приложение с вредоносным рекламным баннером.Кристль также предупредил, что «онлайн-реклама сломана. То, как она работает сегодня, — это сплошной риск для безопасности — для государств, частного сектора, гражданского общества и всех остальных».
