Не менее 45 устройств сотрудников Al Jazeera Media Network были атакованы через объявления, для заражения которых не требовалось ни перехода по ссылке, ни установки файла. Таргетированная реклама показывала вредоносный JavaScript выбранным устройствам, а затем приводила их к инфраструктуре шпионского ПО Candiru. Для IT-команд это неприятное напоминание: рекламный блок в приложении или на сайте может быть не только источником баннерной слепоты, но и точкой входа в целевую атаку.
Как сообщает BleepingComputer, исследователи Citizen Lab назвали метод AdFection. Это первое публичное техническое подтверждение доставки коммерческого шпионского ПО через адресно купленную онлайн-рекламу. Сценарий особенно опасен отсутствием действия со стороны жертвы: достаточно, чтобы браузер или приложение отрисовало объявление. В такой модели привычные советы «не кликайте по подозрительным ссылкам» не бесполезны, но уже явно не покрывают весь периметр.
По данным Citizen Lab, связанная с атакой израильская компания Discovere-Tech использовала платформу Controlium. Она позволяла заказчикам выделять конкретные устройства, собирать их параметры, деанонимизировать и профилировать пользователей. Рекламное место закупалось через обычные сети и биржи, а в код объявления добавлялся JavaScript. При рендеринге скрипт обращался к серверу NOAS, который также фигурирует под названием getAd. Тот сопоставлял параметры устройства — включая IP-адрес и рекламные идентификаторы — с заданными условиями и решал, выдавать ли следующую часть кода.
Большинство увидевших баннер пользователей ничего необычного не получали. Это и делало схему трудноуловимой: вредоносная нагрузка уходила только устройствам, которые прошли отбор. В изученных логах Al Jazeera исследователи проследили цепочку от инфраструктуры Discovere-Tech к серверам проверки Candiru, а затем к управляющим серверам шпионского ПО. На одном из скомпрометированных компьютеров Windows также нашли DLL-библиотеку, которую Citizen Lab с высокой уверенностью связала с Candiru по совпадениям в коде и инфраструктуре.
Candiru — израильский поставщик средств наблюдения, заявляющий о продаже своих продуктов государственным заказчикам. Ранее его связывали с вредоносным ПО DevilsTongue для Windows, способным похищать файлы, учётные данные и сообщения. В прошлых расследованиях инструменты компании использовались против журналистов, активистов и политиков, в том числе с применением уязвимостей нулевого дня в Windows и Chrome. В истории с Al Jazeera меняется не профиль предполагаемых целей, а канал доставки: вместо письма, фишингового сайта или прямой эксплуатации пользовательского действия атакующий пришёл через рекламный аукцион.
У схемы уже был предшественник. В конце 2025 года Amnesty International описала механизм Aladdin, с помощью которого реклама без клика заражала цели шпионским ПО Predator. Тогда техническая картина стала известна после утечки маркетинговых материалов компании Intellexa и последующей проверки данных по следам на устройствах. AdFection отличается тем, что Citizen Lab обнаружила его в реальных атаках и смогла связать с Discovere-Tech — компанией, которую исследователи считают связующим звеном между рынком коммерческого шпионского ПО и рекламной индустрией.
Масштаб рекламной части операции выглядит существенно шире числа подтверждённых заражений. С марта по июнь 2026 года связанные с Discovere-Tech кампании сделали около 3,77 млрд ставок в рекламных аукционах и выиграли 442 млн из них. Объявления со скриптовыми тегами, которые исследователи оценили как относящиеся к операции, появлялись в 75 373 приложениях для Android и iOS и на 120 768 сайтах. Эти цифры не равны числу заражений: они показывают охват рекламной доставки. Citizen Lab оценивает, что на связанные домены через такие объявления были направлены от сотен тысяч до миллионов пользователей.
После уведомлений от исследователей Google, IAB Europe, Beeswax, Eskimi и Vungle начали удалять связанные аккаунты и блокировать доступ к доменам. Реакция важна, но она не отменяет фундаментальную проблему программатика: покупатель рекламы, посредники, биржа, приложение и сайт образуют длинную цепочку, где каждый участник видит лишь часть сигнала. Если вредоносный код отдаётся только редким и точно выбранным устройствам, автоматическая модерация может месяцами встречать совершенно безобидную версию креатива.
Для разработчиков приложений с рекламной монетизацией это повод внимательнее относиться к SDK, источникам рекламного трафика и возможностям удалённого исполнения кода внутри рекламных контейнеров. Командам безопасности стоит учитывать рекламные домены и сетевые обращения рекламных SDK при расследованиях, а не списывать их автоматически на фоновый шум. Для редакций, правозащитных организаций и компаний с сотрудниками в зонах повышенного риска таргетированная реклама становится отдельной моделью угрозы: защита должна включать сегментацию, контроль устройств, сбор телеметрии и понятный процесс реагирования на аномальные обращения к внешним доменам.
Главный вопрос теперь не в том, смогут ли рекламные платформы заблокировать конкретные домены и аккаунты: после публичного расследования они уже начали это делать. Гораздо важнее, появятся ли у рынка механизмы проверки скрытой логики креативов и адресной выдачи рекламы. Пока рекламная экосистема умеет почти безошибочно находить нужного пользователя для показа баннера, она остаётся удобным каналом и для тех, кто ищет нужное устройство для заражения.