Forscher des Citizen Lab an der Universität Toronto haben erstmals eine Methode zur Infektion von Computern und Smartphones mit Spyware über Online-Werbung ohne jegliche Nutzerinteraktion dokumentiert und bestätigt. Die als AdFection bezeichnete Methode löst eine Exploit-Kette aus und schleust Schadcode bereits beim Laden einer Seite oder dem Start einer App ein: Der Nutzer muss weder auf einen Link klicken, einen Banner antippen noch eine Datei öffnen. Dem Bericht zufolge wurden Mitarbeiter des Nachrichtensenders Al Jazeera in den Jahren 2024–2025 genau über diesen Weg angegriffen.
Angriffsmechanik: Von der Werbeauktion zum Schadcode
Die Aufmerksamkeit der Experten erregte das israelische Unternehmen Discover-Tech, das auf dem Markt für digitale Werbung tätig ist. Dessen Plattform Controlium ermöglichte es Angreifern laut Citizen Lab, bestimmte Personen anhand von Geräte-IDs und anderen Daten, die automatisch an Teilnehmer von Werbeauktionen übermittelt werden, gezielt zu überwachen. Beim Laden einer Anzeige kontaktierte ein eingebettetes Skript den Discover-Tech-Server und übermittelte Gerätedaten. Wenn das System den Besucher als Ziel identifizierte, lieferte es zusätzlichen Infektionscode aus; allen anderen antwortete der Server in der Regel leer. Dabei sah der Nutzer den verdächtigen Banner oft gar nicht, da die Werbung im Hintergrund geladen wurde.
Angriffe auf die Al-Jazeera-Infrastruktur
Bei der Analyse von Netzwerkverbindungsprotokollen rekonstruierten die Experten eine charakteristische Sequenz: zuerst Anfragen an die Discover-Tech-Infrastruktur, dann an Validierungsserver des Spyware-Entwicklers Candiru und schließlich an die Command-and-Control-Server der Schadsoftware. Auf einem der betroffenen Computer wurde eine mit Candiru verknüpfte Windows-DLL-Bibliothek entdeckt. Dem Citizen Lab-Bericht zufolge wurden 2024–2025 mindestens 45 Geräte im Al-Jazeera-Netzwerk auf diese Weise attackiert.
Ausmaß des Werbenespekts und Kreis potenzieller Opfer
Die Reichweite des Werbenetzwerks erwies sich als unvergleichlich größer als die Zahl der bestätigten Opfer. Eine Analyse von fast 4 Milliarden Werbeauktionsdatensätzen ergab, dass Discover-Tech-Anzeigen zwischen März und Juni 2026 auf über 120.000 Websites und in 70.000 mobilen Apps ausgespielt wurden. Millionen von Geräten kontaktierten Candiru-Server, was jedoch laut den Forschern nicht bedeutet, dass sie infiziert wurden: Ein Großteil der Anfragen diente der Datenerfassung und Zielgruppenfilterung. Werbeeinblendungen wurden unter anderem auch in den Netzwerken von Regierungsstellen und internationalen Organisationen festgestellt.
Kontext und Reaktion der Branche
Für Angriffe ohne Nutzerwirkung nutzen Angreifer seit Langem Schwachstellen in Messengern und anderen Apps; im Dezember 2025 warnten Apple und Google vor gezielten Spyware-Kampagnen. Die AdFection-Methode unterscheidet sich dadurch, dass der Schadcode über Werbenetzwerke ausgeliefert wird, was die Angriffsfläche erheblich vergrößert. Noch vor Veröffentlichung des Berichts sperrte Google Discover-Tech in seinen Werbesystemen und richtete Safe-Browsing-Warnungen für zugehörige Websites ein. Beeswax stellte die Zusammenarbeit ein, und der Branchenverband IAB Europe suspendierte Discover-Tech aus seinem Verzeichnis von Werbeanbietern.
