AdFection: Targeted ads turned into a pipeline for zero-click mercenary spyware
Исследование Citizen Lab впервые публично подтвердило атаку шпионского ПО «нулевого клика» через таргетированную рекламу — метод, названный AdFection. Устройства сотрудников международной новостной сети «Аль-Джазира» были заражены вредоносным ПО израильской компании Candiru (переименованной в «Integrity Labs») через рекламные объявления. Рекламу закупала компания Discover-Tech, маскирующаяся под легального рекламного оператора, но фактически выступающая посредником для нескольких партнёров, торгующих шпионским ПО.
Платформа Discover-Tech под названием «Controlium» позволяла партнёрам деанонимизировать, снимать цифровые отпечатки и автоматически заражать устройства в момент показа рекламы. Анализ четырёх миллиардов записей о ставках показал: за четыре месяца реклама компании демонстрировалась почти на 200 тысячах уникальных сайтов и приложений в десятках стран. Объявления также скрытно направляли миллионы устройств на серверы Candiru — вероятно, для масштабного отслеживания и разведки. Discover-Tech связана и с другими игроками рынка шпионского ПО, включая Intelos и Bindecy.
Отдельный субъект угроз, названный DARK CARTOGRAPHER, использовал инфраструктуру Discover-Tech для эксплуатации уязвимостей мобильных операторов, связывая рекламные идентификаторы с телефонными номерами и массово деанонимизируя пользователей. Discover-Tech числилась в списках «сертифицированных» поставщиков Google и ассоциации IAB Europe, а её реклама шла через Google, «Яндекс» и Beeswax. После раскрытия данных Google, IAB Europe, Beeswax, Vungle (Liftoff) и Eskimi отключили Discover-Tech от рекламной экосистемы.