Candiru利用Discover-Tech广告投递零点击间谍软件

资讯专家

据Citizen Lab报告，Candiru间谍软件通过定向广告对Al Jazeera设备实施零点击感染，行动代号AdFection。Discover-Tech购买的广告被用于去匿名化、设备指纹识别和感染用户，并可跟踪数百万台设备。

在在线广告生态中，RTB拍卖会收集大量设备和用户数据，广告也可能包含在用户应用或浏览器中运行的代码，通常用于跟踪展示和点击，但也可能被植入恶意代码。Discover-Tech表面上是合法广告公司，Citizen Lab认为其很可能是大规模间谍软件感染和间谍活动的前台，充当广告供应商与雇佣间谍软件供应商之间的桥梁。

其Controlium平台支持对数百万用户去匿名化、设备指纹识别，并在广告展示到受害者设备时实施零点击攻击。Citizen Lab确认该平台被用于代表Candiru对用户进行画像和感染。Discover-Tech的许多广告包含脚本，会自动连接其基础设施、提交用户广告ID，并执行基于IP地址和标识符组合下发的JavaScript代码。

2024年至2025年，Al Jazeera内部至少45台设备在AdFection攻击中被针对，导致Candiru间谍软件感染。Citizen Lab还发现一台暴露40亿条广告竞价记录的Discover-Tech服务器，显示其广告出现在全球近20万个唯一网站以及Android和iOS应用中。Citizen Lab同时分析了Discover-Tech与其他监控威胁行为者的交互，例如Dark Cartographer利用移动运营商漏洞构建数据库，将用户移动广告标识符与电话号码关联，大规模去匿名化互联网用户。

10月初，Google和IAB Europe已将Discover-Tech从广告供应商注册表中移除，Google阻止其访问广告交易平台，Beeswax和Eskimi也采取了类似措施。Citizen Lab建议防御者在网关阻断定向广告，直到行业能够可靠阻断AdFection式投递向量。