Привет! Исследователи Citizen Lab выяснили, что израильское шпионское ПО Candiru использовали для атак на сотрудников Al Jazeera через рекламные объявления. Причём жертве даже не нужно было нажимать на рекламу. Достаточно было её загрузки, иногда вообще в фоне.
👨💻 Схема работала через рекламную компанию Discover-Tech. В объявления встраивали небольшой JavaScript, который отправлял на сервер рекламный идентификатор устройства и IP-адрес. Сервер проверял, подходит ли посетитель под нужную цель, и только тогда возвращал код для атаки.
🚨 Благодаря этому вредоносный код не находился в самой рекламе. Рекламные сети видели обычное объявление, а заражение запускалось уже после проверки устройства. По данным Citizen Lab, в 2024–2025 годах атакующие нацелились как минимум на 45 устройств Al Jazeera.
⚙️ Исследователи восстановили последовательность соединений: сначала рекламный сервер Discover-Tech, затем сервер проверки Candiru и уже после него C2. На одном из заражённых устройств удалось получить образец шпионского ПО, но сам эксплойт, через который происходило первоначальное заражение, найти не смогли.
🔎 Масштаб рекламной инфраструктуры оказался огромным. Объявления Discover-Tech встречались примерно в 75 тысячах приложений и на 120 тысячах сайтов. После публикации результатов Google и другие рекламные платформы начали отключать компанию от своих сетей.
P.S. Это первый публично подтверждённый технический случай использования коммерческого шпионского ПО через таргетированную рекламу на реальных устройствах. При этом показ объявления ещё не означает заражение: атакующий сервер отдельно выбирал, кому отправить эксплойт.
#Candiru #Spyware #Malvertising #Infosec
👍 Белый хакер