Исследователи лаборатории Citizen Lab при Университете Торонто впервые зафиксировали и документально подтвердили схему заражения компьютеров и смартфонов шпионским ПО через интернет-рекламу без какого-либо действия со стороны пользователя. Метод, получивший название AdFection, позволяет запускать цепочку эксплуатации уязвимостей и доставлять вредоносный код просто при загрузке страницы или запуске приложения: пользователю не нужно переходить по ссылке, нажимать на баннер или открывать файл. По данным отчета, именно по такой схеме в 2024–2025 годах атаковали сотрудников телеканала Al Jazeera.
Механика атаки: от рекламного аукциона до вредоносного кода
Внимание специалистов привлекла израильская компания Discover-Tech, работавшая на рынке цифровой рекламы. Ее платформа Controlium, по заключению Citizen Lab, позволяла операторам выделять конкретных людей для слежки, опираясь на идентификаторы устройств и прочие сведения, которые автоматически передаются участникам рекламных аукционов. При загрузке объявления встроенный скрипт обращался к серверу Discover-Tech и передавал ему данные об устройстве. Если система определяла посетителя как цель, в ответ поступал дополнительный код для заражения; всем остальным сервер, как правило, возвращал пустой ответ. При этом пользователь мог даже не увидеть подозрительного баннера — реклама нередко загружалась в фоновом режиме.
Атаки на инфраструктуру Al Jazeera
Анализируя журналы сетевых соединений, эксперты проследили характерную последовательность: сначала обращения к инфраструктуре Discover-Tech, затем к проверочным серверам разработчика шпионского ПО Candiru и, наконец, к серверам управления вредоносной программой. На одном из пострадавших компьютеров была обнаружена DLL-библиотека для Windows, связанная с Candiru. Согласно отчету Citizen Lab, в 2024–2025 годах таким способом были атакованы как минимум 45 устройств в сети Al Jazeera.
Масштаб рекламной сети и круг потенциальных жертв
Охват рекламной сети оказался несопоставимо большим, чем число подтвержденных жертв. Анализ почти 4 млрд записей о рекламных аукционах показал, что с марта по июнь 2026 года объявления Discover-Tech демонстрировались более чем на 120 тыс. сайтов и в 70 тыс. мобильных приложений. Миллионы устройств связывались с серверами Candiru, однако, как подчеркивают исследователи, это не означает их заражения: значительная часть обращений использовалась для сбора данных и отбора целей. Показы рекламы были обнаружены в том числе в сетях государственных структур и международных организаций.
Контекст и реакция индустрии
Для атак без участия пользователя злоумышленники давно используют уязвимости в мессенджерах и других приложениях; в декабре 2025 года Apple и Google предупреждали пользователей о целевых кампаниях со шпионским ПО. Схема AdFection отличается тем, что вредоносный код доставляется через рекламные сети, что существенно расширяет поверхность атаки. Еще до публикации отчета Google заблокировала Discover-Tech в своих рекламных системах и настроила предупреждения Safe Browsing для связанных с ней сайтов. Компания Beeswax прекратила сотрудничество, а отраслевое объединение IAB Europe приостановило участие Discover-Tech в реестре рекламных поставщиков.
