Шпионският софтуер Candiru е бил доставян до устройства на медийната мрежа Al Jazeera чрез целеви онлайн реклами, без потребителите да се налага да кликват върху тях. Изследователи от Citizen Lab определят техниката като AdFection и посочват, че докладът им представлява първото публично техническо потвърждение за разпространение на наемен шпионски софтуер чрез целеви реклами в реални атаки.

При този подход самото визуализиране на злонамерена реклама на устройството на избраната жертва е достатъчно, за да задейства веригата за заразяване. Така атакуващите заобикалят необходимостта от кликване върху линк, отваряне на прикачен файл или друго очевидно действие от страна на потребителя.

Подобен механизъм беше описан в края на 2025 г. от Amnesty International. Тогава изследователите разкриха техниката Aladdin, чрез която реклами са били използвани за заразяване с шпионския софтуер Predator без взаимодействие от жертвата. Информацията за тази операция произлизаше от изтекли маркетингови документи на компанията Intellexa и беше подкрепена от технически данни от криминалистични разследвания. За разлика от този случай, AdFection е документирана при реални атаки и е свързана с израелската компания Discovere-Tech.

Как злонамерените реклами се превръщат в канал за шпионаж

Според Citizen Lab Discovere-Tech свързва доставчици на шпионски софтуер, хакерски услуги и рекламни технологии. Компанията предоставя на клиентите си платформата Controlium, чрез която могат да насочват код към конкретни устройства, както и да профилират потребители, да установяват самоличността им зад привидно анонимни идентификатори и да събират технически характеристики на устройствата.

Механизмът използва обичайни рекламни мрежи и рекламни борси. Discovere-Tech закупува рекламни позиции и вгражда JavaScript код в рекламните материали. При визуализирането им кодът се свързва със сървър, обозначен от изследователите като NOAS или getAd.

Сървърът анализира различни параметри, включително IP адреси и рекламни идентификатори, за да определи дали устройството отговаря на критериите за избрана цел. Само при съвпадение то получава допълнителен код, който задейства следващите етапи на атаката. При останалите устройства рекламата не предизвиква същото поведение.

Селективното доставяне на злонамерен код позволява атаката да остане скрита сред огромен обем легитимна рекламна активност. За потребителя рекламата може да изглежда напълно обичайна, докато техническата обработка във фонов режим установява дали устройството е подходяща цел.

Следите водят от рекламната инфраструктура до Candiru

Al Jazeera е предоставила на Citizen Lab доказателства за атаки, насочени срещу най-малко 45 устройства през 2024 и 2025 г. Анализът на мрежовите журнали показва последователност от комуникации, започваща от инфраструктура на Discovere-Tech, преминаваща през сървъри за проверка на целите на Candiru и достигаща до командно-контролни сървъри на шпионския софтуер.

Изследователите са възстановили и DLL файл от компрометирана система с Windows. Въз основа на сходства в кода и инфраструктурата с предишни образци те го приписват с висока степен на увереност на Candiru.

Candiru е израелски доставчик на средства за цифрово наблюдение, които според публичните сведения се продават на правителствени клиенти. Компанията е свързвана и със зловредния софтуер DevilsTongue за Windows, способен да извлича файлове, идентификационни данни и съобщения. Предишни разследвания са документирали използването на инструменти на Candiru срещу журналисти, активисти, политици и други избрани цели, включително чрез експлоатиране на уязвимости от тип zero-day в Windows и Chrome.

Новото разследване обаче поставя акцента не само върху самия шпионски софтуер, а и върху рекламната инфраструктура, която може да осигури първоначалния достъп до устройствата.

Мащабът на рекламната операция надхвърля потвърдените заразявания

Данните, анализирани от Citizen Lab, показват значителен мащаб на рекламната дейност. Между март и юни 2026 г. операцията е подала 3,77 милиарда рекламни оферти и е спечелила 442 милиона рекламни търга.

Реклами, за които е установено, че съдържат тагове със скриптове на атакуващите, са се появявали в 75 373 приложения за Android и iOS и на 120 768 уебсайта. Тези числа обаче не означават, че всички съответни приложения, сайтове или техни потребители са били заразени.

Citizen Lab оценява, че между стотици хиляди и милиони потребители може да са били пренасочени към свързани с Discovere-Tech домейни чрез рекламите. Това е оценка за потенциалния обхват на пренасочванията, а не за броя на компрометираните устройства.

След получаването на информацията от изследователите редица участници в рекламната екосистема са предприели действия. Сред тях са Google, IAB Europe, Beeswax, Eskimi и Vungle, които са премахнали засегнати акаунти и са блокирали достъпа до установени домейни.

Рекламната екосистема като инфраструктура за целеви атаки

Случаят AdFection показва как легитимни механизми за рекламно разпространение могат да бъдат използвани за доставяне на високоспециализиран шпионски софтуер. За разлика от традиционните фишинг кампании, при които атакуващите разчитат на подвеждане на потребителя, тук критичният момент е обработката на рекламата от устройството и последващата селекция на потенциалните жертви.

Това създава предизвикателства за защитата на крайните устройства и за разследването на подобни инциденти. Самото наличие на реклама в приложение или уебсайт не доказва компрометиране, а липсата на кликване не изключва възможността за атака. Затова анализът на подозрителни мрежови връзки, рекламни скриптове и комуникации с външни сървъри може да бъде съществен за установяване на подобни кампании.

За организациите, чиито служители работят с чувствителна информация, случаят е напомняне, че рискът не се ограничава до подозрителни прикачени файлове и съмнителни линкове. Рекламните мрежи и свързаните с тях услуги могат да се превърнат в посредник за целеви атаки, при които потребителят не извършва видимо действие.

Разследването на Citizen Lab разкрива не само конкретна техника за доставяне на Candiru, но и по-широк проблем: сближаването на индустрията за търговски шпионски софтуер с рекламната инфраструктура, която ежедневно достига до огромен брой устройства.