Citizen Lab a găsit spyware livrat prin reclame, fără niciun clic

O reclamă online poate conține mai mult decât o imagine. Poate conține cod, iar cercetătorii de la Citizen Lab, din cadrul University of Toronto, au demonstrat acum că acesta poate fi folosit pentru a instala spyware pe dispozitivul unei persoane vizate, fără ca aceasta să atingă măcar o dată ecranul. Laboratorul a numit tehnica AdFection. „Persoana atacată în acest fel nu ar observa nimic neobișnuit”, i-a declarat cercetătorul principal Bill Marczak publicației Wired. „De fapt, s-ar putea să nu vadă nicio reclamă.”

Acest lucru îi privește pe toți cei care au telefonul plin de aplicații gratuite. Atacurile zero-click au exploatat, în general, vulnerabilități din aplicațiile de mesagerie, pe care companiile le pot remedia. În cazul de față, atacul s-a folosit de mecanismul obișnuit care decide ce reclamă vezi: o licitație care se desfășoară într-o fracțiune de secundă de fiecare dată când se încarcă o aplicație sau o pagină web și care transmite deja ID-ul publicitar al dispozitivului, adresa IP și detalii despre telefon.

În centrul operațiunii se află Discover-Tech, o firmă înregistrată în Israel, care se prezenta drept companie de publicitate. Potrivit raportului, platforma sa, Controlium, le permitea clienților să identifice o anumită țintă după ID-ul publicitar, cookie-ul din browser sau adresa IP și să trimită cod către dispozitivul respectiv chiar în momentul afișării unei reclame. Toți ceilalți vedeau o reclamă obișnuită. Citizen Lab leagă, cu un grad ridicat de încredere, o serie de atacuri asupra rețelei de știri Al Jazeera de Candiru, o companie producătoare de spyware care se numește acum Integrity Labs. Au fost vizate cel puțin 45 de dispozitive din cadrul postului, iar un computer cu Windows infectat a dezvăluit un fișier care indica serverele Candiru.

Modul în care cercetătorii au reușit să intre în sistem e aproape comic. Pagina de autentificare Controlium livra întregul cod-sursă al propriului panou de control, așa că echipa a salvat pagina, i-a eliminat legăturile către servere externe și a activat fiecare ecran. Un server Discover-Tech a lăsat, de asemenea, la vedere aproape patru miliarde de înregistrări ale licitațiilor publicitare. Acestea arată reclame care conțineau eticheta script a atacatorului în 75.373 de aplicații pentru Android și iOS și pe 120.768 de site-uri web. Apar și nume cunoscute: aplicația de mesagerie Viber a afișat peste 700.000 dintre aceste reclame pe Android, iar ele au apărut și în Yahoo Mail, Opera Mini și Duolingo.

Aceste cifre trebuie interpretate cu atenție. Faptul că vezi pe ecran o reclamă Discover-Tech nu înseamnă că telefonul tău a fost spart, subliniază laboratorul. În cele mai multe cazuri, serverul său nu trimitea niciun cod, iar datele licitațiilor acoperă doar una dintre platformele publicitare ale firmei, pe o perioadă de patru luni. Citizen Lab nu a spus ce guverne au plătit pentru operațiunea împotriva Al Jazeera, iar constatarea că reclamele au ajuns în rețelele NATO, ale Organizației Națiunilor Unite și ale mai multor instituții europene arată amploarea răspândirii, nu și existența unor infectări confirmate. În Norvegia, reclamele au ajuns în rețelele parlamentului și poliției; în Suedia, în cele ale forțelor armate și ale operatorului rețelei naționale. Opțiunile de protecție la îndemâna oamenilor obișnuiți sunt limitate. Sfatul lui Marczak pentru oricine ar putea fi vizat „în funcție de cine ești sau de ceea ce faci” este să dezactiveze urmărirea publicitară sau să blocheze complet reclamele.

Industria publicității a început să reacționeze. Google spune că a blocat Discover-Tech pe platformele sale publicitare după o anchetă comună cu Citizen Lab și firma de securitate Confiant și că a adăugat avertismente Safe Browsing pentru site-urile asociate grupului. IAB Europe a suspendat firma de pe lista furnizorilor de publicitate aprobați, iar Beeswax, deținută de Comcast, a eliminat-o de pe platforma sa. Discover-Tech nu a răspuns solicitărilor Wired sau TechCrunch.

Citizen Lab a publicat raportul pe 15 octombrie 2026. Acesta documentează atacurile asupra Al Jazeera din 2024 și 2025, precum și datele licitațiilor din perioada martie-iunie 2026. Laboratorul urmează să publice un al doilea raport, despre un grup separat pe care îl numește DARK CARTOGRAPHER. Potrivit Citizen Lab, grupul a folosit aceeași infrastructură pentru a asocia ID-urile publicitare ale telefoanelor cu numerele lor de telefon, exploatând vulnerabilități ale operatorilor de telefonie mobilă din peste 30 de țări.

Marczak spune că Discover-Tech este „cu siguranță doar vârful aisbergului”. Echipa sa nu a trebuit să caute prea mult ca să dea peste reclamele firmei. Acestea au apărut chiar pe ecranele cercetătorilor, în timp ce citeau site-urile CBC și Yahoo și jucau Sudoku pe Android.

Etichete: știri, securitate cibernetică, publicitate online, AdFection, Candiru, Citizen Lab