Дослідники викрили ізраїльську компанію, яка заражала пристрої через рекламу без кліку
Канадська лабораторія Citizen Lab виявила технологію AdFection, розроблену ізраїльською компанією Discover-Tech, яка дозволяла встановлювати шпигунське програмне забезпечення на пристрої через звичайні рекламні оголошення без будь-яких дій користувача. Серед цілей атак — щонайменше 45 комп'ютерів Al Jazeera, а також працівники НАТО, Єврокомісії, NVIDIA та Arm.
Канадська дослідницька лабораторія Citizen Lab виявила схему, яка дозволяла непомітно встановлювати шпигунське програмне забезпечення на чужі пристрої через звичайні рекламні оголошення в інтернеті. Для зараження жертві навіть не потрібно було натискати на рекламу — достатньо було, щоб оголошення просто відобразилося на екрані.
Технологія, яку дослідники назвали AdFection, була розроблена ізраїльською компанією Discover-Tech. У 2024–2025 роках цю платформу використовували для атак на співробітників міжнародної телекомпанії Al Jazeera. За даними Citizen Lab, було атаковано щонайменше 45 комп'ютерів журналістів та працівників медіа. На їхні пристрої встановлювали шпигунське програмне забезпечення іншої ізраїльської компанії — Candiru.
Механізм атаки спирався на звичайну систему розміщення онлайн-реклами. Коли користувач відкриває сайт або застосунок, рекламні платформи автоматично визначають, яке оголошення йому показати, і для цього передають рекламодавцям певні дані про користувача — зокрема приблизне місцеперебування, IP-адресу та історію переглядів. Discover-Tech використовувала цю інформацію, щоб ідентифікувати конкретних людей і вибирати пристрої для атаки.
Якщо система обирала користувача своєю ціллю, йому показували рекламу, всередині якої був прихований шкідливий код. Натискати на оголошення або завантажувати файли не потрібно було — шпигунське програмне забезпечення могло потрапити на пристрій під час показу реклами. Такий спосіб зараження називають zero-click — атакою без участі користувача.
Дослідники також встановили, що реклама цієї мережі була спрямована не лише на Al Jazeera. Серед цілей були працівники НАТО, Європейської комісії, компанії NVIDIA, виробника чипів Arm та інших організацій. Це свідчить про те, що технологія використовувалася для цілеспрямованого стеження за широким колом фахівців у різних країнах і секторах.
Атаки типу zero-click вважаються одними з найнебезпечніших, оскільки не потребують від жертви жодних дій. На відміну від фішингу, людині не потрібно переходити за підозрілим посиланням чи відкривати вкладення. Один із найвідоміших прикладів такого програмного забезпечення — шпигунська програма Pegasus ізраїльської компанії NSO Group, яку використовували для стеження за журналістами, правозахисниками та іншими людьми.
Citizen Lab раніше фіксувала випадки зараження iPhone через вразливості, які не потребували взаємодії власника пристрою. Зокрема, у 2021 році дослідники виявили атаку FORCEDENTRY, яка дозволяла встановлювати Pegasus на пристрої Apple через вразливість iMessage. У 2023 році було зафіксовано інший спосіб зараження — BLASTPASS, який також використовував iMessage і міг заражати iPhone без участі власника. Apple згодом виправила ці вразливості.
Викриття AdFection демонструє, що рекламні мережі можуть ставати інструментом для кібершпигунства, а звичайний показ оголошення — вектором атаки. Це ставить під сумнів безпеку рекламних екосистем і порушує питання про відповідальність платформ, які передають дані про користувачів третім сторонам.
4
