Шпигун у рекламному банері: Candiru заражала пристрої без жодного кліку
Citizen Lab вперше публічно й технічно підтвердила, що комерційне шпигунське ПЗ доставляли через таргетовану рекламу. Жертві достатньо було побачити оголошення. Підтверджена ціль — щонайменше 45 пристроїв працівників Al Jazeera, а сама рекламна інфраструктура торкалася сотень мільйонів показів.
Більшість порад з цифрової гігієни зводяться до «не натискайте на підозрілі посилання». Історія, яку розкопала Citizen Lab, — про атаку, де натискати нічого не треба. Досить, щоб на екрані відобразилася реклама.
Що знайшли
Дослідники назвали техніку AdFection. Це перше публічне технічне підтвердження того, що комерційне шпигунське ПЗ доставляли через таргетовану рекламу в реальних атаках. Схожий метод уже описувала Amnesty International наприкінці 2025 року для шпигунського ПЗ Predator, але тоді йшлося про документи з витоку, а не про спіймані атаки.
У центрі історії — ізраїльська компанія Discover-Tech. Citizen Lab описує її як «міст між компаніями-розробниками шпигунського ПЗ і рекламною екосистемою». Discover-Tech купувала рекламні покази через звичайні рекламні мережі й біржі. Її клієнти через платформу Controlium могли обирати цілі за рекламним ідентифікатором пристрою, ідентифікатором браузера чи IP-адресою.
Як працювала атака
- В оголошенні був невеликий скрипт, який при показі звертався до сервера Discover-Tech.
- Сервер перевіряв, чи є цей пристрій ціллю: за IP-адресою, рекламним ID чи cookie.
- Якщо ні — повертав порожню відповідь. Звичайний користувач бачив звичайну рекламу, а рекламна мережа не бачила нічого підозрілого.
- Якщо так — повертав додатковий код, і далі ланцюжок вів до серверів перевірки Candiru, а потім до серверів керування шпигунським ПЗ.
Саме вибірковість робила схему такою непомітною: шкідливий код отримували одиниці, а мільйони решти показів були чистими.
Хто постраждав
Підтверджена жертва — Al Jazeera. Мережа передала дослідникам журнали, які свідчать про атаки щонайменше на 45 пристроїв у 2024–2025 роках. З одного скомпрометованого комп'ютера з Windows вдалося дістати бібліотеку, яку Citizen Lab з високою впевненістю пов'язує з Candiru. Ця ізраїльська компанія офіційно продає інструменти стеження лише урядам, а раніше потрапляла в новини через атаки на журналістів і активістів із використанням вразливостей Windows і Chrome.
Цифри, які легко неправильно прочитати
За березень–червень 2026 року Discover-Tech зробила близько 3,77 млрд ставок на рекламних аукціонах і виграла приблизно 442 млн. Оголошення зі скриптом нападників з'являлися у 75 373 мобільних застосунках і на 120 768 сайтах, зокрема в мережах урядів, військових, ООН і ЄС.
Це не кількість заражень. Citizen Lab окремо наголошує: показ реклами сам по собі не означає, що пристрій атакували. Підтверджені випадки стосуються конкретних цілей, а не всіх, хто бачив банер. Оцінка «від сотень тисяч до мільйонів користувачів», яких реклама Discover-Tech спрямувала на певні домени, стосується охоплення інфраструктури, а не жертв.
Що це означає
Для звичайного читача ризик бути ціллю Candiru мізерний: така атака коштує дорого й спрямована на конкретних людей. Але сама модель тривожна. Рекламна екосистема з її точним таргетингом на рівні пристрою виявилася готовим каналом доставки для шпигунів, і для цього не потрібно було нічого зламувати.
Після звернень дослідників Google, IAB Europe, Beeswax, Eskimi та Vungle відключили чи заблокували Discover-Tech. Частина інших компаній, згаданих у звіті, станом на публікацію не відповіла.
Для журналістів, правозахисників і всіх, кого можуть цілеспрямовано відстежувати, висновок практичний: блокувальник реклами — це вже не лише про зручність, а й частина моделі загроз. Як і своєчасні оновлення браузера та ОС, без яких навіть найкращий рекламний «вхід» ні до чого не приведе.
