Шпигунське ПЗ навчилося заражати пристрої через рекламу без жодного кліка — достатньо просто відкрити сайт

Фахівці лабораторії Citizen Lab при Університеті Торонто вперше підтвердили зараження пристроїв шпигунським ПЗ через інтернет-рекламу без жодного кліка. Користувачеві не потрібно переходити за посиланням або натискати на банер: спеціально підготовлена реклама може запустити ланцюг експлуатації вразливостей і призвести до зараження пристрою під час звичайного перегляду сайту або використання додатку. За такою схемою атакували співробітників телеканалу Al Jazeera.

Джерело зображення: Unsplash

Як пише Wired, дослідники назвали метод AdFection. Увагу фахівців привернула ізраїльська компанія Discover-Tech, яка працювала на ринку цифрової реклами. Її платформа Controlium дозволяла обирати конкретних людей для стеження, використовуючи ідентифікатори пристроїв та інші відомості, які передаються учасникам рекламних аукціонів.

При завантаженні оголошення вбудований скрипт звертався до сервера Discover-Tech і передавав йому дані про пристрій. Якщо система визначала відвідувача як ціль, у відповідь міг надійти додатковий код для зараження. Всім іншим сервер зазвичай повертав порожню відповідь. Користувач міг навіть не побачити підозрілого банера: реклама іноді завантажувалася у фоновому режимі.

Згідно з доповіддю Citizen Lab, у 2024–2025 роках таким способом атакували як мінімум 45 пристроїв у мережі Al Jazeera. Вивчивши журнали з'єднань, експерти виявили послідовні звернення до інфраструктури Discover-Tech, потім до перевірочних серверів розробника шпигунського ПЗ Candiru і, нарешті, до серверів управління шкідливою програмою. На одному з постраждалих комп'ютерів знайшли DLL-бібліотеку для Windows, пов'язану з Candiru.

Охоплення рекламної мережі було несопоставним з числом підтверджених жертв. Аналіз майже 4 млрд записів про рекламні аукціони показав, що з березня по червень 2026 року оголошення Discover-Tech демонструвалися більш ніж на 120 тис. сайтів і в 70 тис. мобільних додатків. Мільйони пристроїв зв'язувалися з серверами Candiru, однак це не означає, що вони були заражені: значна частина звернень використовувалася для збору даних і відбору цілей. Покази реклами виявили, зокрема, в мережах державних структур і міжнародних організацій.

Для атак без участі користувача хакери давно використовують вразливості в месенджерах та інших додатках. У грудні 2025 року Apple і Google попереджали користувачів про цільові кампанії з використанням шпигунського ПЗ. Схема AdFection відрізняється тим, що шкідливий код доставляють через рекламні мережі.

Ще до виходу доповіді Google заблокувала Discover-Tech у своїх рекламних системах і налаштувала попередження Safe Browsing для пов'язаних з нею сайтів. Компанія Beeswax також припинила співпрацю, а галузеве об'єднання IAB Europe призупинило участь Discover-Tech у реєстрі рекламних постачальників.

Хочеш дізнатися більше — читай відгуки