Célzott online hirdetéssel, kattintás nélkül is támadhatott kémprogram
A Citizen Lab kutatása szerint elsőként sikerült nyilvános technikai bizonyítékot találni arra, hogy célzott online hirdetéseken keresztül, a felhasználó közreműködése nélkül is elindulhatott egy zsoldos kémprogram támadási lánca. A kiválasztott eszközön elég lehetett a hirdetés betöltődése: nem kellett gyanús linkre kattintani vagy csatolmányt megnyitni.
A módszert AdFectionnek nevező kutatók szerint a Discover-Tech hirdetései egy saját NOAS- vagy getAd-szerverhez továbbították az eszköz azonosítóit. A szerver az IP-cím és más azonosítók alapján eldönthette, hogy üres választ küld, vagy JavaScript-kódot juttat el a kiválasztott eszközre. Ez további, sebezhetőségeket kihasználó kódokat tölthetett be, miközben maga a hirdetés nem tartalmazott közvetlenül kártékony programot, így a reklámplatformok ellenőrzése elől is rejtve maradhatott.
A kutatók szerint 2024-ben és 2025-ben az Al Jazeera legalább 45 eszköze került célkeresztbe. A hálózati naplók előbb Discover-Tech-, majd Candiru-ellenőrző és parancsvezérlő szerverekkel való kapcsolatot mutattak. A Candiru újabb nevén Integrity Labs; a vizsgált minta a cég 2021-ben azonosított támadási láncának továbbfejlesztett változatára utalt.
A Citizen Lab 2026 márciusa és júniusa között közel négymilliárd licitrekordot elemzett. A Discover-Tech 3,77 milliárd hirdetési helyre licitált, 442 millió aukciót nyert meg, hirdetései pedig 75 373 alkalmazásban és 120 768 weboldalon jelenhettek meg. A rendszer mintegy 109 ezer dollárnyi költést rögzített, de egyetlen konverziót sem. A 3,6 millió „eligible user” nem fertőzött eszközöket jelent, hanem olyan felhasználókat, akik kódot kaphattak. A jelentés magyar célpontot nem azonosított.