Шпионское ПО Candiru заражало жертв через обычную рекламу
С марта по июнь 2026 года скрипт атакующих попадал в рекламу внутри 75 тыс. мобильных приложений и 120 тыс. сайтов.
Фото: BleepingComputer
Исследователи Citizen Lab доказали, что израильское шпионское ПО Candiru доставляли жертвам через таргетированную рекламу. Схему назвали AdFection. Для заражения не нужно было ничего нажимать: хватало того, что вредоносное объявление загрузилось на устройстве. По данным BleepingComputer, это первое публичное техническое подтверждение доставки коммерческой шпионской программы через рекламу.
Главной жертвой оказалась медиасеть Al Jazeera. В 2024–2025 годах атакам подверглись как минимум 45 устройств её сотрудников.
Как работала схема
Посредником выступила израильская компания Discover-Tech. Citizen Lab называет её «мостом между продавцами шпионского ПО и рекламной индустрией». Она покупала показы через обычные рекламные сети и биржи. В объявления встраивали скрипт, который при загрузке связывался с сервером компании.
Сервер проверял IP-адрес и рекламный идентификатор устройства. Нужная цель получала дополнительный код, остальные — ничего. Поэтому атака долго оставалась незаметной. Логи показали цепочку от серверов Discover-Tech к серверам проверки Candiru, а затем к серверам управления шпионской программой.
Платформа Discover-Tech под названием Controlium позволяла клиентам не только заражать выбранные устройства. Через неё можно было составлять профиль пользователя, снимать с него анонимность и вычислять «отпечаток» устройства.
Масштаб
С марта по июнь 2026 года операция сделала 3,77 млрд ставок на рекламных аукционах и выиграла 442 млн из них. Объявления со скриптом атакующих появлялись в 75 373 приложениях для Android и iOS и на 120 768 сайтах. Это не число заражений: вредоносный код получали только выбранные цели. При этом, по оценке Citizen Lab, на такие домены попадали от сотен тысяч до миллионов пользователей.
Candiru официально продаёт свои инструменты только государствам. Её программа DevilsTongue для Windows умеет красть файлы, пароли и переписку. Раньше её доставляли через уязвимости нулевого дня в Windows и Chrome и применяли против журналистов, активистов и политиков. Citizen Lab нашла на заражённом компьютере библиотеку DLL и с высокой уверенностью приписала её Candiru.
Похожий метод в конце 2025 года описывала Amnesty International: тогда через рекламу распространяли шпионское ПО Predator. После отчёта Citizen Lab Google, IAB Europe, Beeswax, Eskimi и Vungle удалили связанные с операцией аккаунты и заблокировали её домены.
Источники: BleepingComputer — Candiru и атаки через таргетированную рекламу
