Forscher von Citizen Lab haben den ersten öffentlich bestätigten Fall dokumentiert, in dem kommerzielle Spyware über gezielte Online-Anzeigen zugestellt wurde, ohne dass ein Klick erforderlich war. Die als AdFection bezeichnete Technik wurde eingesetzt, um Geräte bei Al Jazeera mit Candiru-Spyware zu infizieren.
Mindestens 45 Geräte der Nachrichtenorganisation wurden in den Jahren 2024 und 2025 ins Visier genommen. Die Forscher brachten die Angriffe mit hoher Wahrscheinlichkeit mit schädlichen Anzeigen in Verbindung, die von Discover-Tech, einem israelischen Unternehmen, gekauft wurden. Citizen Lab zufolge ermöglichte das Unternehmen Operationen für mehrere Überwachungsanbieter. Die Forscher bestätigten Infektionen, konnten jedoch nicht feststellen, dass alle 45 anvisierten Geräte kompromittiert wurden.
Echtzeit-Werbeauktionen verarbeiten täglich Hunderte Milliarden Gebote. Laut der Untersuchung von Citizen Lab vom 15. Oktober wurde diese Infrastruktur genutzt, um Millionen von Nutzern zu profilieren und ausgewählten Zielen unbemerkt Spyware zuzustellen.
Was ist der Zero-Click-Spyware-Angriff AdFection?
AdFection nutzt die Art und Weise aus, wie Online-Werbesysteme Inhalte an Browser und Apps ausliefern.
Wenn eine Anzeige von Discover-Tech geladen wird, kontaktiert eingebetteter Code die Server des Unternehmens und übermittelt Informationen, darunter möglicherweise Werbekennungen, Cookies und die IP-Adresse des Geräts.
Wenn das Gerät einem vorgesehenen Ziel entspricht, kann der Server schädliches JavaScript zurückgeben, das im Browser oder in der App ausgeführt wird und einen Exploit ausliefert. Die meisten Geräte erhalten keinen schädlichen Code, auch wenn ihre Informationen möglicherweise trotzdem erfasst werden.
Der Nutzer muss weder auf die Anzeige klicken noch eine Datei herunterladen oder eine Installation genehmigen. In manchen Fällen kann die Anzeige im Hintergrund dargestellt werden, ohne sichtbar zu sein.
Frühere Zero-Click-Spyware-Angriffe nutzten Schwachstellen in Messaging-Plattformen aus. AdFection verwendet stattdessen die bereits in Websites und Apps eingebetteten Werbesysteme.
Citizen Lab bezeichnet dies als die erste öffentliche technische Bestätigung einer Spyware-Infektion durch gezielte Anzeigen – nicht als Beweis dafür, dass solche Angriffe zuvor nie stattgefunden haben.
Die Reichweite des Zustellungssystems geht weit über Al Jazeera hinaus.
Die Forscher analysierten fast vier Milliarden Discover-Tech-Gebotsdatensätze aus dem Zeitraum von März bis Juni 2026. Die Datensätze zeigten, dass die Anzeigen auf mehr als 120.000 Websites und 70.000 mobilen Apps in Dutzenden Ländern erschienen.
Eine einzelne Anzeigenimpression bestätigt weder eine Zielauswahl noch eine Spyware-Infektion. Citizen Lab zufolge zeigen diese Impressionen, dass Nutzer der Profiling-Infrastruktur von Discover-Tech ausgesetzt waren, während eine tatsächliche Ausnutzung zusätzliche Belege erfordert.
Wie gezielte Anzeigen Al Jazeera Candiru-Spyware zustellten
Citizen Lab bestätigte, dass Geräte von Al Jazeera mit Spyware infiziert waren, die mit Candiru in Verbindung steht, einem kommerziellen Überwachungsanbieter, der inzwischen unter dem Namen Integrity Labs operiert.
Die Untersuchung stützte sich auf von Al Jazeera bereitgestellte Netzwerkprotokolle, anhand derer die Forscher den Ablauf der Infektion rekonstruieren konnten.
Betroffene Geräte kontaktierten zunächst die Infrastruktur von Discover-Tech, als eine Anzeige geladen wurde. Anschließend stellten sie eine Verbindung zu einem Candiru-Validierungsserver her, der das Gerät überprüfte, bevor weiteres Profiling und die Infektion erfolgten.
Erfolgreich infizierte Geräte kommunizierten anschließend mit Candirus Command-and-Control-Servern.
Diese aufeinanderfolgenden Verbindungen halfen den Forschern, den Zusammenhang zwischen dem Werbesystem und der Spyware-Zustellung zu ermitteln.
Die Unterscheidung zwischen Zielauswahl und Infektion bleibt wichtig. Citizen Lab identifizierte mindestens 45 anvisierte Geräte, doch die veröffentlichten Erkenntnisse belegen nicht, dass jedes anvisierte Gerät infiziert wurde.
Candiru kann auf eine lange Geschichte der Lieferung von Überwachungstechnologie an Regierungen zurückblicken.
Im November 2021 setzte das US-Handelsministerium Candiru auf seine Entity List – aufgrund von Belegen dafür, dass seine Spyware eingesetzt worden war, um Journalisten, Amtsträger, Aktivisten und andere Personen ins Visier zu nehmen.
Citizen Lab hatte zuvor auch Candiru-Operationen gegen Organisationen der Zivilgesellschaft dokumentiert. Das Unternehmen nahm später den Namen Integrity Labs an, nachdem Berichten zufolge die Übernahme durch das US-Unternehmen Integrity Partners erfolgt war.
Der Fall Al Jazeera belegt, dass diese Überwachungstechnologie über eine gewöhnliche Werbeinfrastruktur zugestellt wurde und nicht über einen schädlichen Link, der direkt an ein Ziel gesendet wurde.
In Discover-Techs Controlium-Plattform
Citizen Lab beschreibt Discover-Tech als Werbeunternehmen, das eine Verbindung zwischen legitimen Werbebörsen und kommerziellen Spyware-Anbietern herstellte, darunter Candiru, Bindecy und Intelos.
Die Controlium-Plattform ermöglichte es Kunden, Ziele anhand von Kennungen wie IP-Adressen, mobilen Werbe-IDs und Browser-Cookies auszuwählen.
Partner konnten anschließend Anzeigen konfigurieren, die zusätzlichen Code nur dann abriefen, wenn sie ausgewählten Geräten angezeigt wurden.
Die Forscher stellten fest, dass Discover-Tech Werbeinfrastruktur von Google, Yandex, Beeswax, Vungle und Eskimi nutzte.
Das Design der Plattform trug dazu bei, schädliche Aktivitäten vor den Diensten zu verbergen, die die Anzeigen auslieferten. Eine bei einer Werbebörse eingereichte Anzeige enthielt nicht zwangsläufig den Exploit selbst. Stattdessen konnte der schädliche Code später von den Servern von Discover-Tech bereitgestellt werden.
In einer separaten technischen Untersuchung, die zusammen mit dem Bericht von Citizen Lab veröffentlicht wurde, identifizierte der Werbesicherheitsanbieter Confiant ausgefeiltes Device-Fingerprinting, verschlüsselte Steuerkanäle und Mechanismen zur Code-Zustellung an ausgewählte Nutzer.
Confiant stellte außerdem fest, dass einige Anzeigen Cookies von Websites erfassten, darunter Sitzungskennungen – unter Bedingungen, unter denen die Sicherheitsbeschränkungen des Browsers diesen Zugriff erlaubten.
Die Operation erreichte sensible Netzwerke.
Citizen Lab identifizierte Discover-Tech-Anzeigenimpressionen im Zusammenhang mit Netzwerken der NATO und der UN, Institutionen der Europäischen Union, Regierungsbehörden in Dänemark, Norwegen und Schweden sowie Organisationen aus den Bereichen Verteidigung und Nuklearforschung.
Die Forscher beobachteten außerdem Impressionen in Netzwerken, die mit großen Technologieunternehmen in Verbindung stehen.
Diese Erkenntnisse belegen nicht, dass eine dieser Organisationen kompromittiert wurde. Werbedatensätze auf Netzwerkebene können weder jede Person identifizieren, die eine Anzeige erhalten hat, noch beweisen, dass Spyware installiert wurde.
Citizen Lab zufolge nutzte ein separater Akteur mit der Bezeichnung DARK CARTOGRAPHER die Infrastruktur von Discover-Tech, um durch das Ausnutzen von Schwachstellen in Mobilfunknetzen Werbekennungen mit Telefonnummern zu verknüpfen. Weitere Erkenntnisse sollen in einem späteren Bericht veröffentlicht werden.
Wie die Werbebranche reagierte
Citizen Lab stellte fest, dass Discover-Tech auf von Google und dem Werbebranchenverband IAB Europe geführten Listen zugelassener oder zertifizierter Anbieter erschienen war.
Diese Registrierungen ermöglichten es dem Unternehmen, trotz seiner Verbindungen zu Personen aus der Überwachungsbranche, die den Forschern zufolge öffentlich auffindbar waren, in großem Umfang an Werbesystemen teilzunehmen.
Nach der Untersuchung beendete Google den Zugang von Discover-Tech zu seinen Werbebörsen und entfernte das Unternehmen aus seinen Anbieterverzeichnissen.
Google teilte Citizen Lab außerdem mit, dass das Unternehmen für bekannte, mit der Operation verbundene Domains den Safe-Browsing-Schutz aktiviert habe.
IAB Europe entfernte Discover-Tech am 8. Oktober aus seiner Global Vendor List.
Beeswax entfernte das Unternehmen nach einer unabhängigen Sicherheitsvalidierung von seiner Werbeplattform. Vungle, das zu Liftoff gehört, setzte den Zugang während der Prüfung der Erkenntnisse aus.
Eskimi sperrte die Konten und zugehörigen Domains von Discover-Tech. In seiner Antwort an Citizen Lab erklärte Eskimi, dass die Werbe-Tags des Unternehmens je nach Gerät, IP-Adresse und Standort unterschiedlichen Code auslieferten, wodurch einige Kampagnen automatisierten Prüfungen entgehen konnten.
Die Untersuchung legte Schwachstellen in den Prüfsystemen von Werbeunternehmen offen. Bereits bestehende Malvertising-Bedrohungen haben gezeigt, wie Werbenetzwerke schädliche Inhalte verbreiten können, doch AdFection fügt die überwachungsgetriebene Zielauswahl und Zero-Click-Exploitation hinzu.
Was bestätigt ist – und was nicht
Citizen Lab ist mit hoher Wahrscheinlichkeit davon überzeugt, dass Candiru-Spyware Geräte von Al Jazeera über Discover-Tech-Anzeigen infiziert hat.
Was die Forscher nicht feststellen konnten, ist, welche Regierung diese Angriffe in Auftrag gegeben hat oder wie viele der Millionen profilierten Geräte erfolgreich kompromittiert wurden.
Auf sensiblen Netzwerken beobachtete Anzeigenimpressionen sind ein Beleg für die Aussetzung und ein mögliches Profiling, nicht für eine bestätigte Spyware-Infektion.
Citizen Lab fordert die Aufsichtsbehörden auf zu untersuchen, ob Discover-Tech und Candiru gegen geltendes Recht verstoßen haben, und die Kontrolle der Werbebranche zu stärken.
Für Organisationen empfehlen die Forscher, Werbung und Tracking nach Möglichkeit an Netzwerk-Gateways und auf verwalteten Geräten zu blockieren. Außerdem raten sie, Werbekennungen durch Richtlinien für die Verwaltung mobiler Geräte einzuschränken.
Personen mit erhöhtem Risiko sollten vertrauenswürdige Werbeblocker in Betracht ziehen, die personalisierte Werbeverfolgung deaktivieren, wo dies möglich ist, und ihre Geräte auf dem neuesten Stand halten. Diese Maßnahmen können die Gefährdung verringern, aber keinen vollständigen Schutz vor jedem Zero-Click-Exploit garantieren.
Sicherheitsteams sollten bei der Untersuchung mutmaßlicher Infektionen außerdem relevante Netzwerk- und Endpunktdaten sichern. Neuere Funktionen wie die Protokollierung von Spyware-Eindringversuchen in Android können Untersuchungen unterstützen, verhindern eine Zustellung nach dem Muster von AdFection jedoch nicht direkt.
Die Erkenntnisse zu Al Jazeera zeigen, dass ein Gerät über eine Anzeige kompromittiert werden kann, mit der der Nutzer nie interagiert hat. Die Verhinderung ähnlicher Angriffe erfordert eine strengere Prüfung der Werbeinfrastruktur, die Code an Browser und Apps ausliefert.
Auch lesenswert: Die jüngste DarkSword-iPhone-Spyware-Untersuchung dokumentierte Bedrohungen, die auf sensible Geräteinformationen abzielten, darunter Keychain-Anmeldedaten und Daten aus Kryptowährungs-Wallets.