Дослідники лабораторії Citizen Lab при Університеті Торонто вперше зафіксували та документально підтвердили схему зараження комп'ютерів і смартфонів шпигунським програмним забезпеченням через інтернет-рекламу без будь-яких дій з боку користувача. Метод, який отримав назву AdFection, дозволяє запускати ланцюжок експлуатації вразливостей і доставляти шкідливий код просто під час завантаження сторінки або запуску додатку: користувачеві не потрібно переходити за посиланням, натискати на банер чи відкривати файл. Згідно з даними звіту, саме за такою схемою у 2024–2025 роках атакували співробітників телеканалу Al Jazeera.
Механіка атаки: від рекламного аукціону до шкідливого коду
Увагу фахівців привернула ізраїльська компанія Discover-Tech, яка працювала на ринку цифрової реклами. Її платформа Controlium, за висновком Citizen Lab, дозволяла операторам виділяти конкретних людей для стеження, спираючись на ідентифікатори пристроїв та інші відомості, які автоматично передаються учасникам рекламних аукціонів. Під час завантаження оголошення вбудований скрипт звертався до сервера Discover-Tech і передавав йому дані про пристрій. Якщо система визначала відвідувача як ціль, у відповідь надходив додатковий код для зараження; всім іншим сервер, як правило, повертав порожню відповідь. При цьому користувач міг навіть не побачити підозрілого банера — реклама нерідко завантажувалася у фоновому режимі.
Атаки на інфраструктуру Al Jazeera
Аналізуючи журнали мережевих з'єднань, експерти простежили характерну послідовність: спочатку звернення до інфраструктури Discover-Tech, потім до перевірочних серверів розробника шпигунського ПЗ Candiru і, нарешті, до серверів керування шкідливої програми. На одному з постраждалих комп'ютерів було виявлено DLL-бібліотеку для Windows, пов'язану з Candiru. Згідно зі звітом Citizen Lab, у 2024–2025 роках у такий спосіб було атаковано щонайменше 45 пристроїв у мережі Al Jazeera.
Масштаб рекламної мережі та коло потенційних жертв
Охоплення рекламної мережі виявилося несумірно більшим за кількість підтверджених жертв. Аналіз майже 4 млрд записів про рекламні аукціони показав, що з березня по червень 2026 року оголошення Discover-Tech демонструвалися більш ніж на 120 тис. сайтів і у 70 тис. мобільних додатків. Мільйони пристроїв зв'язувалися із серверами Candiru, проте, як підкреслюють дослідники, це не означає їхнього зараження: значна частина звернень використовувалася для збору даних і відбору цілей. Поклики реклами було виявлено, зокрема, у мережах державних структур і міжнародних організацій.
Контекст та реакція індустрії
Для атак без участі користувача зловмисники давно використовують вразливості в месенджерах та інших додатках; у грудні 2025 року Apple і Google попереджали користувачів про цільові кампанії зі шпигунським ПЗ. Схема AdFection відрізняється тим, що шкідливий код доставляється через рекламні мережі, що суттєво розширює поверхню атаки. Ще до публікації звіту Google заблокувала Discover-Tech у своїх рекламних системах і налаштувала попередження Safe Browsing для пов'язаних із нею сайтів. Компанія Beeswax припинила співпрацю, а галузеве об'єднання IAB Europe призупинило участь Discover-Tech у реєстрі рекламних постачальників.
