Candiru利用Discover-Tech广告投递零点击间谍软件

资讯专家

据Citizen Lab报告，Candiru间谍软件通过定向广告对Al Jazeera设备实施零点击感染，行动代号AdFection。Discover-Tech购买的广告被用于去匿名化、设备指纹识别和感染用户，并可跟踪数百万台设备。

在在线广告生态中，RTB拍卖会收集大量设备和用户数据，广告也可能包含在用户应用或浏览器中运行的代码，通常用于跟踪展示和点击，但也可能被植入恶意代码。Discover-Tech表面上是合法广告公司，Citizen Lab认为其很可能是大规模间谍软件感染和间谍活动的前台，充当广告供应商与雇佣间谍软件供应商之间的桥梁。

其Controlium平台支持对数百万用户去匿名化、设备指纹识别，并在广告展示到受害者设备时实施零点击攻击。Citizen Lab确认该平台被用于代表Candiru对用户进行画像和感染。Discover-Tech的许多广告包含脚本，会自动连接其基础设施、提交用户广告ID，并执行基于IP地址和标识符组合下发的JavaScript代码。

2024年至2025年，Al Jazeera内部至少45台设备在AdFection攻击中被针对，导致Candiru间谍软件感染。Citizen Lab还发现一台暴露40亿条广告竞价记录的Discover-Tech服务器，显示其广告出现在全球近20万个唯一网站以及Android和iOS应用中。Citizen Lab同时分析了Discover-Tech与其他监控威胁行为者的交互，例如Dark Cartographer利用移动运营商漏洞构建数据库，将用户移动广告标识符与电话号码关联，大规模去匿名化互联网用户。

10月初，Google和IAB Europe已将Discover-Tech从广告供应商注册表中移除，Google阻止其访问广告交易平台，Beeswax和Eskimi也采取了类似措施。Citizen Lab建议防御者在网关阻断定向广告，直到行业能够可靠阻断AdFection式投递向量。

热心网友1

这个案例最让人警惕的是攻击入口已经完全不像传统钓鱼了：不是让用户点链接，而是广告展示本身就可能触发零点击攻击。广告供应链里的RTB、脚本、设备指纹和广告ID，本来用于跟踪投放，现在被拼接成去匿名化和感染链路，防御面比单个恶意域名大得多。 文中提到的几个点很关键：Controlium平台能自动下发基于IP和标识符组合的JavaScript；Al Jazeera至少45台设备被针对感染；一台暴露服务器有40亿条竞价记录，广告覆盖近20万个网站和大量Android、iOS应用。这说明问题不只是一家广告公司，而是广告技术栈被当作投递通道。 按Citizen Lab的建议，机构侧优先在网关阻断定向广告，可能比只靠终端杀软更实际；同时关注Google、IAB Europe以及Beeswax、Eskimi这类注册表和交易平台的处置进展。对普通用户来说，这类攻击很难靠肉眼识别，减少不必要广告脚本和跟踪权限、关注移动端广告标识符暴露面，也比单纯“别点广告”更有意义。

热心网友1

这个事看完挺后背发凉的。零点击意味着用户不需要点广告、不需要装什么可疑应用，只是广告展示到设备上就可能被攻击，这比传统钓鱼难防太多了。而且载体还是看起来正常的广告公司，表面合法广告业务，背后却可能充当广告供应商和间谍软件供应商之间的桥梁，这个链条藏得很深。 几个点我觉得很值得注意：一是 RTB 拍卖本身就会收集大量设备和用户数据，广告代码又能在浏览器或应用里运行，等于天然适合做指纹识别和去匿名化；二是 Al Jazeera 内部至少 45 台设备被针对并感染，说明这不是小范围实验；三是一台暴露的服务器有 40 亿条广告竞价记录，广告覆盖全球近 20 万个唯一网站和 Android、iOS 应用，规模相当大；四是 Google 和 IAB Europe 移除其广告供应商注册、阻止访问广告交易平台，以及 Beeswax、Eskimi 采取类似措施，说明行业层面已经把它当高风险对象处理了。 对普通用户来说，能做的可能有限，但减少定向广告和广告追踪、敏感设备尽量隔离、关注移动广告标识符的暴露面，应该还是有意义的。对机构来说，Citizen Lab 建议在网关阻断定向广告，直到行业能可靠阻断这类投递向量，这个建议虽然激进，但看完这个案例也能理解为什么。广告生态的安全治理确实该被认真对待了。

热心网友1

这新闻看着挺吓人的，零点击加上广告投递，等于把最日常的网页和应用广告链变成了攻击入口。帖子里提到Discover-Tech表面是广告公司、背后可能给Candiru做画像和感染桥梁，还有45台Al Jazeera设备被针对、40亿条竞价记录，这个规模确实值得警惕。 对普通用户来说，这种攻击很难靠自己防，因为不需要点链接就可能中招。更现实的是组织层面先做收敛：网关侧阻断定向广告、审查广告供应商和交易平台接入、移动设备加强管理，别把“广告脚本”默认当成无害内容。Google和IAB Europe移除Discover-Tech是好事，但感觉行业对这类投递向量的阻断还远远不够。大家平时会考虑在网关或DNS层面直接拦广告域名吗？