Citizen Lab вскрыла заражение шпионским ПО через таргетированную рекламу

Израильская Discover-Tech с 2020 года числилась проверенным рекламным поставщиком в реестрах Google и IAB Europe. Показы закупала на биржах Google, Яндекса и других. По данным Citizen Lab, главная её работа - связывать рекламные биржи с производителями коммерческого шпионского ПО и их государственными заказчиками.

Схема простая. Каждый показ баннера - аукцион за доли секунды, и приложение отдаёт на биржу рекламный идентификатор устройства, IP-адрес, модель, иногда точное местоположение. Заказчик вбивает в панель Discover-Tech идентификатор или IP цели. В выигранном баннере сидит скрипт, который обращается к серверу компании: цели тот возвращает код с переходом на сервер атакующего, остальным - пустой ответ. Нажимать ничего не надо, хватает того, что реклама отрисовалась, порой в фоне. Проверки бирж такое не ловят, код получает только цель.

Подтверждённый случай - Al Jazeera. В 2024-2025 гг. так атаковали не менее 45 устройств в сети телеканала, заражали шпионским ПО израильской Candiru (теперь Integrity Labs). С одного компьютера сняли образец под Windows. Какая уязвимость использовалась, в отчёте не раскрыто.

Только по собственной закупочной платформе компании за март-июнь 2026 г. - около 3,8 млрд ставок, из них примерно каждая пятая на баннер с таким скриптом. Их показали в 75 тыс. приложений и 120 тыс. сайтов, от Viber и MX Player до погоды, игр и yandex.ru. Показы Discover-Tech попали в сети минобороны Израиля и Италии, вооружённых сил Швеции, НАТО, Saab, Raytheon, Elbit. Сам показ ещё не заражение, авторы это оговаривают. Но данные с устройства уходят Discover-Tech и без него.

Две трети ставок (67,4%) этой платформы шли через биржу Яндекса, в панели был отдельный канал «MyDSP Yandex RU». Идентификаторы пользователей Discover-Tech синхронизировала с яндексовыми, фоновые запросы к её домену для этого замечены в основном на российских сайтах. Россия есть и в списке стран, где показы попали в государственные сети. Google, IAB Europe и ещё три площадки после расследования Discover-Tech отключили или приостановили. Яндекса среди них нет, комментария Яндекса в отчёте тоже нет.

Те же баннеры пытались через утечку WebRTC вытащить настоящий IP у пользователей VPN. У абонентов мобильного интернета - номер телефона, через сервисы операторов, которые сами подставляют номер в незашифрованный HTTP-запрос. По оценке Citizen Lab, этим минимум с 2019 года занимается отдельный участник в сетях операторов более 30 стран, разбор выйдет отдельно. А без всякого заражения поток аукционных данных по одному идентификатору показывает, как телефон перемещается и через что выходит в сеть: сотовую связь, Wi-Fi, VPN.

Что советует отчёт:
⚙️ резать рекламу и следящие скрипты на шлюзе и на самих устройствах. Авторы считают это самой реальной защитой, пока биржи не научатся надёжно отсекать такие баннеры
⚙️ удалить или регулярно сбрасывать рекламный идентификатор, отключить рекламное отслеживание; на служебных телефонах - принудительно, через централизованное управление
⚙️ браузер со встроенной блокировкой рекламы и слежки, дома - блокировка рекламы на роутере
⚙️ администраторам - смотреть трафик рекламных показов и закрыть на шлюзе известную инфраструктуру: mtrtb[.]com, mydsp[.]io, myweb3id[.]io, tracookiepixel[.]xyz, powerium[.]net, controlium[.]net, myipinfo[.]io, dtech.adtimizer[.]co

Список закрывает одну компанию, а сам способ, как подозревают авторы, шире. Так что на служебном и фронтовом телефоне бесплатным плеерам, погоде и играм с рекламой не место.

🟢Подписаться на канал
🟢Подписаться в MAX