Израильская компания Candiru, производитель шпионского ПО, продаваемого правительствам, заразила устройства новостной сети Al Jazeera с помощью обычной онлайн-рекламы. Атаки не требовали от пользователя никаких действий, кроме загрузки рекламы, сообщили в четверг исследователи из Citizen Lab. Скрытый вредоносный код запускался в момент загрузки рекламы на экране, а иногда реклама загружалась незаметно, в фоновом режиме.
Citizen Lab, исследовательская группа Университета Торонто, заявила, что это первое публичное техническое подтверждение того, что наемное шпионское ПО, то есть инструменты для взлома, продаваемые правительствам, достигло реальных устройств через таргетированную рекламу. Этот метод ранее описывался в утечках документов компаний, но не демонстрировался в реальной атаке. Исследователи извлекли само шпионское ПО с одного из устройств, но не эксплойт, который взламывает браузер или приложение для его установки. Первый этап взлома был описан на основе того, как была настроена атака, а не на основе захваченного кода.
Реклама размещалась компанией Discover-Tech, израильским стартапом, позиционирующим себя как обычная фирма, занимающаяся цифровой рекламой. Исследователи обнаружили, что каждое рекламное объявление содержало небольшой фрагмент кода, который при загрузке рекламы незаметно отправлял рекламный идентификатор устройства и интернет-адрес на сервер Discover-Tech. Этот сервер определял, является ли устройство целью. Если да, то сервер отправлял обратно код для атаки на браузер или приложение. Если нет, то сервер ничего не отправлял. Поскольку сама реклама не содержала вредоносного кода, рекламные сети, которые ее доставляли, не имели ничего подозрительного для обнаружения.
В Al Jazeera в 2024 и 2025 годах было нацелено по меньшей мере 45 устройств, сообщила Citizen Lab, и атаки с высокой степенью уверенности были связаны с Candiru. Исследователи не уточнили, какое правительство стояло за операцией. Сеть предоставила исследователям свои журналы трафика. На зараженных устройствах журналы показывали одну и ту же последовательность каждый раз: сначала контакт с рекламным сервером Discover-Tech, затем сервер Candiru, который сканирует устройство, а затем командно-контрольный сервер, который управляет шпионским ПО. Al Jazeera также извлекла один файл программы для Windows с скомпрометированного устройства. Его код использовал те же отличительные методы, что и инструмент Candiru, разобранный Citizen Lab в 2021 году, что и послужило основой для установления связи с высокой степенью уверенности.
Сотрудники Al Jazeera уже подвергались атакам ранее. В 2020 году айфоны десятков журналистов были взломаны с помощью шпионского ПО Pegasus от NSO Group в рамках другой операции, использовавшей иной метод. Google и отраслевая ассоциация IAB Europe включали Discover-Tech в список одобренных поставщиков рекламных услуг с 2020 года и до текущего месяца. Компания была зарегистрирована в Израиле в 2020 году, а ее генеральным директором является Декель Бони.
Candiru — одно из наиболее известных имен в индустрии шпионского ПО. США включили ее в торговый черный список в 2021 году из-за использования шпионского ПО для слежки за правительственными чиновниками, журналистами и активистами. В 2025 году ее активы были приобретены американской инвестиционной фирмой Integrity Partners и переведены в новую компанию, предположительно Integrity Labs, на которую санкции не распространяются.
После того как исследователи поделились своими выводами, Google и IAB Europe исключили Discover-Tech из своих списков поставщиков в начале октября, сообщила Citizen Lab. Google заблокировал компании доступ к своим рекламным биржам, Beeswax исключил ее, Vungle приостановил доступ для проверки, а Eskimi заблокировал ее аккаунты. Google сообщил Reuters, что сотрудничал с исследователями и удалил Discover-Tech “за систематическое нарушение наших правил”. IAB Europe заявила, что приостановила деятельность компании после аудита, выявившего нарушения правил. Comcast, владеющая Beeswax, заявила, что действовала “в связи с недавней активностью”.
Discover-Tech, владельцы Candiru, Al Jazeera и российская рекламная сеть Яндекс не ответили на запросы Reuters. Веб-сайт Discover-Tech по-прежнему работал в четверг и не содержал никакой информации об этих выводах. Охват Discover-Tech выходил далеко за пределы Al Jazeera. На одной из своих платформ компания разместила почти четыре миллиарда рекламных ставок в период с марта по июнь 2026 года, сообщила Citizen Lab, а реклама со скрытым кодом обратного вызова появлялась примерно в 75 000 мобильных приложений и 120 000 веб-сайтов. Confiant, американская фирма по безопасности рекламы, которая проводила расследование совместно с Citizen Lab, оценила трафик Discover-Tech примерно в 10 миллионов рекламных объявлений в день. Реклама появлялась в сетях правительств и крупных учреждений, включая НАТО, ООН, органы Европейского Союза, государственные учреждения примерно двух десятков стран, производителей чипов и новостные организации. Появление рекламы в сети не является доказательством заражения кого-либо, а лишь показывает, насколько широко могла распространиться система. Confiant обнаружила, что небольшое количество рекламных объявлений, которые ей удалось напрямую связать с Candiru, было низкообъемным и в основном достигало домашних и мобильных интернет-соединений, а не самих конфиденциальных сетей. Обе группы опубликовали веб-адреса и файлы, связанные с операцией, чтобы защитники могли их заблокировать и проверить свои собственные записи. Организации, сотрудники которых могли видеть рекламу, особенно в сетях, упомянутых в отчете, могут искать порядок соединений атаки: устройство, обращающееся к рекламному серверу Discover-Tech, затем к серверу сканирования Candiru, а затем к командно-контрольному серверу. Среди опубликованных индикаторов: Исследователи в области безопасности годами предупреждали, что система закупки рекламы может быть использована в этих целях. В декабре утечки документов связали производителя шпионского ПО Intellexa с аналогичным инструментом на основе рекламы под названием Aladdin, хотя прямых заражений через него показано не было.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
