Stačilo, aby sa ti zobrazila reklama. Útočníci cez ňu vedeli nájsť konkrétny telefón a poslať doň spyware

Používateľ nemusel otvoriť odkaz, stiahnuť súbor ani kliknúť na reklamu. Útok sa začal už jej načítaním na zariadení, ktoré si útočníci vopred vybrali. Reklamný systém ho rozpoznal a následne mu doručil kód pre ďalšiu fázu útoku.

Výskumníci z Citizen Lab pri University of Toronto techniku pomenovali AdFection. V správe z 15. októbra ju označili za prvý verejne technicky zdokumentovaný prípad, keď bola cielená internetová reklama použitá na doručenie mercenary spyware bez kliknutia zo strany obete.

V centre systému bola izraelská spoločnosť Discover-Tech, ktorá podnikala v digitálnej reklame. Jej technológia vedela v reklamných aukciách hľadať konkrétne zariadenia podľa identifikátorov. Citizen Lab s touto infraštruktúrou spojil aj Candiru, výrobcu komerčného spyware, ktorý podľa Recorded Future neskôr začal vystupovať pod názvom Integrity Labs.

Útočníci zadali identifikátor obete a čakali, kým sa jej zariadenie objaví v reklamnej aukcii

Discover-Tech mal v systéme Controlium zoznam zariadení, ktoré hľadal. Rozpoznával ich napríklad podľa reklamného ID Androidu alebo iPhonu, identifikátora prehliadača či IP adresy.

Keď používateľ otvoril web alebo aplikáciu s reklamou, na pozadí prebehla aukcia o reklamný priestor. Controlium tieto aukcie sledoval a hľadal zhodu s niektorým zo svojich cieľov.

Súvisí s tým

Máš aktualizovaný WhatsApp? Stačilo kliknúť na Reel a aplikácia ťa mohla poslať na server útočníka

Ak Discover-Tech reklamný priestor získal, načítala sa jeho reklama spolu s JavaScriptom zo serverov firmy. Používateľ ju pritom nemusel ani vidieť, kód sa vedel spustiť aj pri reklame vykreslenej na pozadí.

Na zariadeniach mimo zoznamu cieľov zostalo pri profilovaní. Discover-Tech získal údaje o prehliadači, niektoré cookies či verejnú IPv6 adresu. Ak systém našiel hľadané zariadenie, server načítal ďalší JavaScript a spojenie pokračovalo k infraštruktúre útočníka.

Pri kampaniach spojených s Candiru nasledovala kontrola zariadenia a pokus zneužiť zraniteľnosť, cez ktorú sa doň dostal spyware. Na reklamu nebolo potrebné kliknúť ani potvrdiť sťahovanie.

Infraštruktúra Discover-Tech sa objavila vo viac ako 196-tisíc aplikáciách a weboch

Na serveri Discover-Tech zostalo verejne prístupných takmer štyri miliardy záznamov z reklamných aukcií od marca do júna 2026. Citizen Lab z nich zistil, kde sa reklamy firmy skutočne načítali.

Script tag smerujúci na servery Discover-Tech sa objavil v 75 373 aplikáciách pre Android a iOS a na 120 768 webových stránkach. Medzi aplikáciami boli Viber, Truecaller, Yahoo Mail, Opera Mini či Duolingo, medzi webmi Yahoo, BBC, CBC, Fox News a The New York Times.

Samotné služby útočníci nenapadli. Ich reklamný priestor využili cez reklamné siete, cez ktoré sa reklamy bežne nakupujú a distribuujú.

Reklamy Discover-Tech zároveň nasmerovali milióny zariadení na servery spojené s Candiru. Citizen Lab to spája so zisťovaním ďalších informácií o zariadeniach.

Spoločnosť Eskimi zistila, že reklamný tag neposielal každému rovnaký obsah. Odpoveď menil podľa zariadenia, IP adresy alebo polohy a niektoré kampane fungovali iba pre úzky zoznam konkrétnych IP adries. Automatický skener reklamnej siete tak videl neškodnú reklamu, zatiaľ čo vybranému zariadeniu server poslal iný kód.

Reklama otvorila útočníkom cestu k najmenej 45 zariadeniam Al Jazeery

V sieti Al Jazeera už výskumníci zachytili komunikáciu, ktorú s vysokou mierou istoty spojili so spyware Candiru doručovaným cez reklamy Discover-Tech. Záznamy pochádzali z rokov 2024 a 2025.

Terčom bolo najmenej 45 zariadení.

Pri potvrdených infekciách sa telefón po načítaní reklamy najskôr spojil s infraštruktúrou Discover-Tech a následne s validačným serverom Candiru. Ten preveril cieľ a po úspešnom napadnutí zariadenie komunikovalo s command-and-control serverom spyware.

Americké ministerstvo obchodu zaradilo Candiru už v roku 2021 na svoj Entity List. Americké úrady vtedy uviedli, že jej spyware používali zahraničné vlády proti novinárom, aktivistom, akademikom, podnikateľom, vládnym predstaviteľom aj pracovníkom ambasád.

Stopy Discover-Tech našli aj v sieťach NATO, OSN a amerického ministerstva obrany

Záznamy Discover-Tech obsahovali aj zariadenia z prostredia ministerstiev obrany, ozbrojených síl, národných kyberbezpečnostných agentúr či kritickej infraštruktúry. Objavili sa medzi nimi siete spojené s NATO a Organizáciou Spojených národov.

Spoločnosť Confiant našla v ďalších dátach reklamy Discover-Tech aj v sieťach amerického ministerstva obrany, Medzinárodnej agentúry pre atómovú energiu a Medzinárodného trestného súdu.

Tieto záznamy potvrdzujú načítanie reklamy a kontakt s infraštruktúrou Discover-Tech. Zdroj pri konkrétnych zariadeniach neuvádza, či zostalo pri profilovaní, alebo ich útočníci vybrali na ďalšiu fázu útoku.

Discover-Tech po zverejnení zistení prišiel o prístup k veľkým reklamným platformám

Discover-Tech bol od roku 2020 vedený medzi reklamnými dodávateľmi Googlu aj IAB Europe. Jeho reklamy sa dostávali do systémov Googlu, Yandexu, Beeswaxu, Vungle, Eskimi a ďalších platforiem.

Po zverejnení zistení Google firmu odstránil zo svojich registrov a zablokoval jej prístup k reklamným burzám. IAB Europe ju vyradila zo svojho Global Vendor List.

Beeswax ukončil jej prístup k nákupnej platforme, Vungle ho počas preverovania pozastavil a Eskimi zablokovalo súvisiace účty aj domény.

Reklamu treba zablokovať ešte predtým, než sa načíta do zariadenia

Citizen Lab odporúča vo firemných a štátnych sieťach filtrovať reklamné a trackingové domény už na sieťovej bráne a pri spravovaných telefónoch vypnúť reklamné identifikátory. Doma sa dá časť reklamnej prevádzky blokovať na úrovni siete, napríklad cez vhodne nastavený Wi-Fi router, prípadne cez VPN službu s filtrovaním reklám a trackingu.

Na Androide vieš obmedziť sledovanie a personalizáciu reklám a reklamný identifikátor resetovať alebo vypnúť, ak to systém umožňuje. Samostatne si môžeš upraviť aj prístup aplikácií k polohe, mikrofónu a ďalším citlivým údajom.

Aktualizovaný systém a prehliadač znižujú počet známych zraniteľností, ktoré môže spyware po doručení kódu zneužiť. Pri podozrení na neobvyklú komunikáciu si vieš pozrieť sieťovú aktivitu jednotlivých aplikácií a množstvo dát, ktoré odosielajú.