Candiru тыңшы бағдарламасы құрбандарын жарнама арқылы жұқтырды
2026 жылғы наурыз бен маусым аралығында шабуылдаушылардың скрипті 75 мың мобильді қосымша мен 120 мың сайттағы жарнамаға енген.
Фото: BleepingComputer
Citizen Lab зерттеушілері израильдік Candiru тыңшы бағдарламасы құрбандарға таргеттелген жарнама арқылы жеткізілгенін дәлелдеді. Схема AdFection деп аталды. Жұқтыру үшін ештеңе басудың қажеті болмады: зиянды хабарландыру құрылғыда жүктелсе болғаны. BleepingComputer дерегінше, коммерциялық тыңшы бағдарламаның жарнама арқылы таралғаны техникалық тұрғыдан алғаш рет ашық расталып отыр.
Басты құрбан Al Jazeera медиажелісі болды. 2024–2025 жылдары оның қызметкерлерінің кемінде 45 құрылғысы шабуылға ұшырады.
Схема қалай жұмыс істеді
Делдал рөлін израильдік Discover-Tech компаниясы атқарды. Citizen Lab оны «тыңшы бағдарлама сатушылары мен жарнама индустриясы арасындағы көпір» деп атайды. Компания жарнама көрсетілімдерін кәдімгі жарнама желілері мен биржалар арқылы сатып алды. Хабарландыруларға скрипт енгізілді, ал ол жүктелген сәтте компания серверіне қосылды.
Сервер құрылғының IP-мекенжайы мен жарнама идентификаторын тексерді. Керек нысана қосымша код алды, қалғандарына ештеңе келмеді. Сондықтан шабуыл ұзақ уақыт байқалмай қалды. Логтар Discover-Tech серверлерінен Candiru тексеру серверлеріне, одан кейін тыңшы бағдарламаны басқаратын серверлерге баратын тізбекті көрсетті.
Discover-Tech-тің Controlium платформасы клиенттерге таңдалған құрылғыларды жұқтыруға ғана мүмкіндік берген жоқ. Ол арқылы пайдаланушының профилін жасап, оның анонимдігін ашып, құрылғының «саусақ ізін» анықтауға болатын.
Ауқымы
2026 жылғы наурыз бен маусым аралығында операция жарнама аукциондарында 3,77 млрд ставка жасап, оның 442 млн-ын ұтып алды. Шабуылдаушылардың скрипті бар хабарландырулар Android мен iOS-қа арналған 75 373 қосымшада және 120 768 сайтта шықты. Бұл жұқтырылғандар саны емес, себебі зиянды кодты тек таңдалған нысаналар алды. Алайда Citizen Lab бағалауынша, мұндай домендерге жүздеген мыңнан миллиондаған пайдаланушыға дейін түскен.
Candiru өз құралдарын ресми түрде тек мемлекеттерге сатады. Оның Windows-қа арналған DevilsTongue бағдарламасы файлдарды, құпиясөздерді және хат-хабарды ұрлай алады. Бұрын оны Windows пен Chrome-дағы нөлдік күн осалдықтары арқылы жеткізіп, журналистерге, белсенділер мен саясаткерлерге қарсы қолданған. Citizen Lab жұқтырылған компьютерден DLL кітапханасын тауып, оны жоғары сенімділікпен Candiru-ға телиді.
Ұқсас әдісті 2025 жылдың соңында Amnesty International сипаттаған еді: ол кезде жарнама арқылы Predator тыңшы бағдарламасы таралған. Citizen Lab есебінен кейін Google, IAB Europe, Beeswax, Eskimi және Vungle операцияға байланысты аккаунттарды өшіріп, оның домендерін бұғаттады.
Дереккөздер: BleepingComputer — Candiru және таргеттелген жарнама арқылы шабуылдар
