Шпионскую рекламу встроили в аукцион баннеров: заражение без клика

Исследователи из Citizen Lab зафиксировали новую схему доставки коммерческого шпионского ПО, которая превращает обычную интернет-рекламу в инструмент заражения. Жертве не нужно кликать по баннеру или переходить по ссылке — достаточно просто открыть сайт или приложение, где крутится вредоносное объявление. Технику назвали AdFection, и это первый публично подтверждённый случай атаки нулевого клика через рекламные сети.

В центре схемы оказалась израильская рекламно-технологическая компания Discover-Tech. По данным Citizen Lab, фирма годами работала как мост между легальной индустрией онлайн-рекламы и поставщиками шпионского ПО, включая Candiru (теперь Integrity Labs). Исследователи прямо называют Discover-Tech прикрытием для масштабного рекламного шпионажа и утверждают, что роль связующего звена была её основным назначением.

Инструментом атаки стала платформа Controlium, которая эксплуатирует механизм real-time bidding — аукцион в реальном времени, определяющий, чьё объявление покажут пользователю. При загрузке страницы рекламодатели получают данные об устройстве и местоположении. Discover-Tech использовала эту информацию для идентификации конкретных целей и показа им вредоносных объявлений, за которыми стояли эксплойты Candiru.

Атаки затронули как минимум 45 устройств в медиасети Al Jazeera в 2024 и 2025 годах. Citizen Lab проследила цепочку заражений от рекламы Discover-Tech до шпионского инструментария Candiru. При этом злоумышленникам не приходилось взламывать рекламную инфраструктуру извне: Google и IAB Europe числили Discover-Tech в списках одобренных вендоров с 2020 года, не подозревая о реальном характере её деятельности.

Масштаб операции стал ясен после анализа почти четырёх миллиардов рекламных заявок. С марта по июнь 2026 года объявления Discover-Tech обнаружились в более чем 70 тысячах мобильных приложений и на 120 тысячах веб-сайтов. Часть показов пришлась на сети, связанные с правительственными учреждениями, оборонными организациями и НАТО.

Прямых доказательств заражения этих структур нет, но исследователи полагают, что реклама могла использоваться для профилирования устройств внутри защищённых периметров. Помимо целевых атак, операция скрытно направляла миллионы устройств на серверы, ассоциированные с Candiru. Такие соединения не обязательно означают установку шпионского ПО, но сам факт массового перенаправления трафика говорит о попытках зондирования и сбора данных в промышленных масштабах.

После публикации отчёта Google разорвал отношения с Discover-Tech, удалил её из рекламных бирж и списков одобренных поставщиков. Аналогичные шаги предприняли IAB Europe, Beeswax, Vungle и Eskimi. Сами Discover-Tech и Candiru не ответили ни на запросы Citizen Lab, ни на обращения журналистов.

Citizen Lab считает произошедшее свидетельством структурных провалов рекламной экосистемы. Компания, связанная с операторами коммерческого шпионажа, годами оставалась внутри якобы проверенной среды, и никто не заметил ни массовых нарушений приватности, ни прямого пособничества атакам наёмного ПО. История меняет представление о том, чем на самом деле могут интересоваться некоторые рекламные игроки — дело давно не ограничивается покупательскими привычками.