Citizen Lab при Университете Торонто представила техническое расследование доставки шпионского ПО через таргетированную онлайн‑рекламу. Исследователи назвали метод AdFection и связали атаки на устройства Al Jazeera со шпионским ПО Candiru.
Что установили исследователи
По выводам Citizen Lab, рекламные объявления закупала компания Discover‑Tech, а её платформа Controlium помогала партнёрам выбирать устройства для отслеживания и заражения. В описанной схеме для заражения пользователя нажатие на объявление не требовалось — механизм позволял доставлять вредоносное содержимое без явного взаимодействия жертвы.
Отдельные этапы — показ рекламы, сбор данных об устройстве и подтверждённое заражение — различаются по характеру и масштабу. Массовый охват объявлений не означает, что все, кто видел рекламу, были заразены; установление полного числа скомпрометированных устройств по охвату рекламной кампании невозможно на основании доступных данных.
Значение рекламной цепочки для атак
Автоматизированные системы закупки рекламы позволяют нацеливать объявления на выбранные аудитории и размещать их на множестве сайтов и в приложениях. В расследовании этот коммерческий механизм описан как путь к скрытому наблюдению и селективному распространению вредоносных модулей — когда рекламная инфраструктура используется для поиска и доставки эксплойтов к конкретным устройствам.
Исследование подчёркивает, что участие отдельных компаний и конкретный механизм распространения определены исследователями на основе собранных технических данных. Однако оценка полного масштаба и числа заражений требует дополнительных подтверждающих данных и не может быть сделана исключительно по объёму рекламного охвата.
