gik|iewicz

Citizen Lab opisało AdFection jako technikę dostarczania komercyjnego spyware przez reklamy targetowane. W raporcie badacze powiązali infrastrukturę reklamową firmy Discover-Tech z dostarczeniem oprogramowania Candiru na urządzenia międzynarodowej sieci Al Jazeera. Kluczowe zastrzeżenie: reklama nie infekowała automatycznie każdego, kto ją zobaczył. System wybierał konkretne cele, a dla większości odbiorców nie zwracał kodu JavaScript.

TL;DR: Citizen Lab nazwało AdFection pierwszym publicznym technicznym potwierdzeniem ataku zero-click z użyciem reklam targetowanych. W 2024 i 2025 roku co najmniej 45 urządzeń Al Jazeery było celem ataków, które badacze z wysoką pewnością powiązali ze spyware Candiru dostarczanym przez reklamy Discover-Tech. Analiza około czterech miliardów rekordów aukcyjnych pokazała szeroki zasięg reklam, nie liczbę infekcji. CPJ zaznacza, że badanie nie wskazało rządu ani klienta, który miał zlecić atak.

Czym jest AdFection?

AdFection to nazwa nadana przez Citizen Lab technice, w której reklamy internetowe służą jako kanał dostarczenia spyware bez kliknięcia ze strony wybranej ofiary. Autorzy raportu określili swoje ustalenia jako pierwsze publiczne techniczne potwierdzenie zero-click mercenary spyware dostarczanego przez reklamy targetowane. Chodzi o konkretny łańcuch dostarczania, a nie o twierdzenie, że każda reklama online może zainfekować urządzenie.

W raporcie opisano przypadek urządzeń Al Jazeery i oprogramowania Candiru, znanego też pod nazwą Integrity Labs. Badacze przypisali rolę w dostarczeniu reklam firmie Discover-Tech. To właśnie połączenie reklamy, infrastruktury pośredniczącej i spyware składa się na opisywany mechanizm. Citizen Lab przedstawia analizę techniczną i zakres ustaleń.

Jak reklama staje się kanałem ataku zero-click?

Według raportu, gdy Discover-Tech wygrywało aukcję reklamową, reklama trafiała do strony lub aplikacji otwartej na urządzeniu użytkownika. Jej wyświetlenie mogło uruchomić żądanie JavaScriptu z serwera Discover-Tech. Jeśli urządzenie było wybrane do targetowania, łańcuch mógł przejść do dostarczenia złośliwego kodu. Ofiara nie musiała klikać linku, pobierać pliku ani potwierdzać instalacji.

To nie znaczy, że samo pojawienie się dowolnej reklamy oznaczało infekcję. Citizen Lab podaje, że w większości przypadków osoba widząca reklamę nie była wybranym celem i serwer nie odsyłał jej kodu JavaScript do wykonania. Badacze zaznaczają jednak, że reklama mogła nadal zebrać dane z przeglądarki, w tym ciasteczka ustawione na stronie oraz publiczny adres IPv6 urządzenia. Rozróżnienie między wyświetleniem reklamy, wyborem celu i infekcją jest więc istotne.

Co ustalono w sprawie urządzeń Al Jazeery?

Citizen Lab podaje, że w 2024 i 2025 roku Al Jazeera była celem serii ataków zero-click. Badacze z wysoką pewnością powiązali je ze spyware Candiru dostarczanym przez reklamy Discover-Tech. W tym kontekście raport mówi o co najmniej 45 urządzeniach w sieci Al Jazeery, które były celem ataków. Committee to Protect Journalists również opisuje co najmniej 45 urządzeń jako atakowane.

Badacze przeanalizowali logi sieciowe przekazane przez Al Jazeerę. W zainfekowanych urządzeniach zaobserwowali kolejno kontakt z infrastrukturą Discover-Tech, połączenie z serwerem weryfikującym Candiru, a następnie komunikację z serwerem dowodzenia i kontroli Candiru. Taki przebieg pozwolił połączyć wyświetlenia reklam z dalszymi etapami ataku. Nie należy jednak zamieniać liczby urządzeń wskazanych jako cele w liczbę potwierdzonych infekcji.

Co mówią liczby o zasięgu reklam?

Citizen Lab przeanalizowało około czterech miliardów rekordów aukcyjnych Discover-Tech. W czteromiesięcznym okresie reklamy tej firmy były wyświetlane na niemal 200 tysiącach unikalnych stron internetowych oraz aplikacji na Androida i iOS, w dziesiątkach krajów. Ta liczba opisuje zasięg reklam w zebranych danych, a nie liczbę urządzeń zainfekowanych spyware.

Raport dodatkowo wskazuje, że reklamy Discover-Tech kierowały miliony urządzeń do kontaktu z serwerami Candiru. Autorzy oceniają, że mogło to służyć śledzeniu i rozpoznaniu na dużą skalę. To wniosek badaczy dotyczący obserwowanego ruchu, a nie dowód, że wszystkie te urządzenia zostały zainfekowane. Podobnie obecność reklamy na stronie lub w aplikacji sama w sobie nie potwierdza, że jej użytkownik był celem.

Jaką rolę pełniło Controlium?

Citizen Lab opisało Controlium jako platformę Discover-Tech, która pozwalała klientom kierować tak zwane kontrolowane reklamy do konkretnych użytkowników. Według raportu możliwymi kryteriami wyboru były identyfikator reklamowy urządzenia mobilnego, identyfikator przeglądarki lub adres IP. Autorzy twierdzą, że platforma umożliwiała profilowanie, deanonimizację i dostarczenie złośliwej treści wybranemu celowi.

Badacze odtworzyli część interfejsu na podstawie publicznie dostępnego kodu front-endu Controlium. Nie uzyskali jednak w ten sposób dostępu do chronionych informacji o klientach i ich operacjach. Opisany interfejs pomaga wyjaśnić, jak można było konfigurować targetowanie, ale nie identyfikuje sam z siebie osób ani organizacji zlecających konkretne ataki.

Jak zareagowała branża reklamowa?

Citizen Lab informuje, że po ujawnieniu ustaleń Google, IAB Europe, Beeswax, Vungle (Liftoff) i Eskimi podjęły działania, aby odłączyć Discover-Tech od ekosystemu reklamy cyfrowej. To opis reakcji tych organizacji po przekazaniu wyników badania. Raport nie daje podstaw do rozszerzania tej informacji na wszystkich dostawców reklam ani do wniosku, że usunięto każdy możliwy sposób wykorzystania reklamy do ataku.

Badacze zalecają dostawcom reklam wykrywanie złośliwych kampanii w czasie rzeczywistym oraz dokładniejsze sprawdzanie partnerów i regularne audyty. CyberScoop omawia konsekwencje raportu dla branży reklamowej i regulatorów, ale szczegóły techniczne dotyczące AdFection pochodzą przede wszystkim z raportu Citizen Lab.

Czy wiadomo, kto zlecił ataki?

Nie. CPJ podkreśla, że raport Citizen Lab nie wskazał rządu ani konkretnego klienta jako podmiotu, który miał zlecić ataki na Al Jazeerę. Sama informacja, że użyto komercyjnego spyware, nie wystarcza do przypisania odpowiedzialności określonemu państwu, organizacji ani osobie. W dostępnych materiałach należy oddzielać ustalenia o technice i infrastrukturze od atrybucji zleceniodawcy.

To samo dotyczy szerokiego zasięgu reklam. Ustalenie, że reklama pojawiła się na określonej stronie, w aplikacji lub w sieci organizacji, nie dowodzi, że dana organizacja została zaatakowana. W przypadku Al Jazeery badacze opierali się na logach urządzeń i infrastrukturze powiązanej z Candiru. Takiego poziomu dowodów nie można automatycznie przypisać każdemu miejscu, w którym wyświetliła się reklama Discover-Tech.

Jak można ograniczać ryzyko?

Citizen Lab zaleca obrońcom blokowanie reklam i śledzenia na urządzeniach oraz na bramie sieciowej organizacji. W przypadku urządzeń służbowych raport wskazuje również na wyłączenie identyfikatorów reklamowych i korzystanie z przeglądarek z funkcjami ograniczającymi śledzenie. Są to środki ograniczające ekspozycję na ten typ zagrożenia; nie stanowią gwarancji, że urządzenie jest odporne na spyware.

Dla osób narażonych na podwyższone ryzyko autorzy raportu zalecają skorzystanie ze specjalistycznej pomocy i dobranie zabezpieczeń do konkretnej sytuacji. Z perspektywy firm reklamowych rekomendacje obejmują wykrywanie złośliwych reklam, sprawdzanie partnerów i audyty rejestrów dostawców. Wnioski te wynikają z opisanego łańcucha dostaw, a nie z założenia, że użytkownik może rozpoznać atak po samym wyglądzie reklamy.

Często zadawane pytania

Czy do infekcji przez AdFection trzeba kliknąć reklamę?

Nie. Opisane ataki były typu zero-click, więc wybrana ofiara nie musiała klikać ani otwierać pliku. Nie oznacza to jednak, że każda osoba widząca reklamę została zainfekowana. Citizen Lab podaje, że w większości przypadków serwer nie zwracał kodu JavaScript, bo użytkownik nie był wybranym celem.

Czy 45 urządzeń Al Jazeery zostało zainfekowanych?

Źródła podają, że co najmniej 45 urządzeń było celem ataków w 2024 i 2025 roku. Citizen Lab opisało infekcje w sieci Al Jazeery, ale tej liczby nie należy przedstawiać jako liczby potwierdzonych infekcji. CPJ nie przypisuje zlecenia ataku konkretnemu rządowi ani klientowi.

Czy niemal 200 tysięcy stron i aplikacji zostało zainfekowanych?

Nie. To liczba unikalnych stron i aplikacji, na których w analizowanym okresie wyświetlały się reklamy Discover-Tech. Raport nie podaje tej wartości jako liczby infekcji ani liczby wybranych celów.

Kto stał za atakiem na Al Jazeerę?

Citizen Lab powiązało z wysoką pewnością dostarczanie spyware Candiru z reklamami Discover-Tech. Według CPJ raport nie wskazał rządu ani konkretnego klienta odpowiedzialnego za zlecenie ataków.

Podsumowanie

• AdFection to opisana przez Citizen Lab technika dostarczania mercenary spyware przez reklamy targetowane bez kliknięcia ofiary.
• Ataki w 2024 i 2025 roku wymierzone były w co najmniej 45 urządzeń Al Jazeery; liczba ta opisuje cele, nie liczbę potwierdzonych infekcji.
• Około czterech miliardów rekordów aukcyjnych pokazało zasięg reklam Discover-Tech na niemal 200 tysiącach stron i aplikacji, nie liczbę zakażonych urządzeń.
• Raport wiąże dostarczenie spyware Candiru z infrastrukturą Discover-Tech, ale nie wskazuje zleceniodawcy ataków.
• Citizen Lab zaleca między innymi blokowanie reklam na urządzeniach i bramach sieciowych oraz dokładniejsze kontrole w łańcuchu reklamowym.

Podstawą tekstu jest raport Citizen Lab; zakres ataków i brak wskazanego zleceniodawcy opisuje także Committee to Protect Journalists. Dodatkowe omówienie opublikował CyberScoop.