Исследователи из Торонтского университета утверждают, что это первое публичное техническое доказательство того, что так называемое шпионское ПО с нулевым кликом может распространяться через рекламу: жертвам не нужно было ничего нажимать.
Согласно докладу, по меньшей мере 45 устройств Al Jazeera, атакованных в 2024 и 2025 годах, были связаны с Candiru. В 2021 году Citizen Lab впервые разоблачила израильского разработчика шпионского ПО, ныне известного как Integrity Labs. В том же году США внесли его в чёрный список.
Сама реклама поступала от израильской компании Discover-Tech, которая позиционирует себя как рекламное агентство. На практике, как утверждает Citizen Lab, компания выступает посредником для нескольких разработчиков шпионского ПО, в том числе Candiru.
Этот метод основан на торгах в реальном времени — молниеносных аукционах, определяющих, какую рекламу увидит пользователь при загрузке страницы или приложения.
Каждый раз, когда появлялась реклама Discover-Tech, скрипт проверял рекламный идентификатор устройства и IP-адрес. Устройство, включённое в список целей, получало код, запускавший атаку, а все остальные не получали ничего.
Это означало, что пользователям не нужно было ничего нажимать, а рекламные компании, размещавшие объявления, не видели вредоносный код.
Масштабы операции тоже были велики: изучив почти 4 миллиарда записей о торгах за рекламные показы, исследователи обнаружили объявления Discover-Tech более чем в 70 000 приложений и на 120 000 сайтах в период с марта по июнь 2026 года.
Некоторые объявления появлялись в правительственных и оборонных сетях, в том числе в сетях НАТО. Компания Confiant, занимающаяся безопасностью рекламы и проводившая собственное расследование, также обнаружила их в Министерстве обороны США и Международном агентстве по атомной энергии. Однако ни одна из групп не нашла доказательств того, что эти организации действительно были заражены.
С 2020 года Discover-Tech числилась в списках одобренных поставщиков Google и IAB Europe — отраслевого объединения рекламной индустрии. Теперь обе организации прекратили с ней сотрудничество; Beeswax, Vungle и Eskimi также заблокировали компанию или приостановили работу с ней.
Ни Discover-Tech, ни Candiru не ответили на запросы Citizen Lab о комментариях. Исследователи пока не могут установить, кто стоял за атаками, и призвали регулирующие органы выяснить, нарушили ли компании закон.
Этот случай пополнил растущий список инцидентов со шпионским ПО: от заражения телефона депутата Европарламента программой Pegasus до поддельного приложения WhatsApp, созданного итальянским разработчиком.
Опубликовано 16 октября 2026 - 02:38 Наверх
