Целевая реклама доставляла zero-click эксплойты: шпионское ПО проникало на устройства без единого касания

Исследователи из Citizen Lab при Университете Торонто в четверг обнародовали данные о кампании AdFection — первом подтверждённом случае доставки mercenary spyware через целевую рекламу с использованием zero-click эксплойтов. Злоумышленникам не требовалось никаких действий от жертвы: заражение происходило в момент загрузки веб-страницы или открытия установленного приложения, показывавшего вредоносный баннер. Атака работала на устройствах под управлением iOS и Android и оставалась полностью невидимой без специального криминалистического оборудования или софта.

Вредоносный код внедрялся в рекламные сети и срабатывал автоматически, используя уязвимости нулевого клика — те, что не требуют нажатий, переходов или согласий. Citizen Lab подтвердила заражение 45 устройств в международной медиаорганизации Al Jazeera. Инциденты зафиксированы в 2024 и 2025 годах.

Исследователи не раскрывают, какие именно платформы или рекламные биржи были использованы, но подчёркивают, что механизм доставки через аукционы баннеров делает угрозу крайне трудноуловимой. Подобный вектор атаки уже описывался ранее Шпионскую рекламу встроили в аукцион баннеров: заражение без клика. Установленное ПО относится к классу mercenary spyware — шпионских программ, разрабатываемых для узкого круга заказчиков и обычно применяемых против журналистов, активистов и политиков.

Оно способно перехватывать сообщения, звонки, данные геолокации и содержимое мессенджеров, оставаясь незаметным для встроенных средств защиты. Авторы доклада прямо предупреждают: «Это расследование должно послужить чётким сигналом для новостных организаций по всему миру — они могут подвергаться активным атакам через эту новую угрозу». По их словам, мишенью становятся как целые редакции, так и отдельные журналисты, редакторы и технический персонал.

Распространение шпионского ПО через таргетированную рекламу несёт риски не только для потенциальных жертв, но и для государств и гражданского общества в целом, отмечается в отчёте. Рекламная инфраструктура, изначально созданная для коммерческого профилирования, превращается в канал доставки боевого вредоносного кода. Особенность zero-click атак в том, что они не оставляют видимых следов: пользователь не видит подозрительных уведомлений, не переходит по ссылкам и не скачивает файлы.

Обнаружить факт компрометации можно лишь с помощью аппаратных или программных инструментов для цифровой криминалистики, которые редко доступны обычным пользователям. Хотя mercenary spyware обычно связывают с целевыми фишинговыми атаками или эксплуатацией уязвимостей в мессенджерах, кампания AdFection демонстрирует эволюцию методов доставки. Рекламные сети с их сложной цепочкой посредников позволяют злоумышленникам скрыть источник и обойти традиционные фильтры безопасности.

Для пользователей Telegram, WhatsApp, Signal и подобных сервисов угроза означает, что компрометация может произойти даже без перехода по ссылке в чате — достаточно, чтобы на устройстве отобразился заражённый рекламный блок в любом приложении или на сайте. Это стирает грань между осторожным поведением и реальной защищённостью. Citizen Lab не раскрывает технических деталей эксплойтов, чтобы предотвратить их немедленное копирование, но призывает разработчиков операционных систем и рекламных платформ усилить изоляцию процессов и проверку креативов.

Пока же единственной надёжной защитой остаётся минимизация рекламного трафика и использование инструментов блокировки на уровне сети.