Oglas brez klika je namestil vohunsko kodo: AdFection spreminja grožnjo

Citizen Lab je v poročilu z dne 15. oktobra 2026 opisal AdFection, prvi javno tehnično potrjeni primer, v katerem so ciljani spletni oglasi brez klika dostavili plačljivo vohunsko kodo. Oglase je kupovalo izraelsko podjetje Discover-Tech, okužbo naprav v mreži medijske hiše Al Jazeera pa so raziskovalci povezali s kodo podjetja Candiru. Med napadi v letih 2024 in 2025 je bilo tarča najmanj 45 naprav v tej mreži; ta podatek sam po sebi ne pomeni, da je bila okužena vsaka od njih.

Raziskovalec Bill Marczak je za TechCrunch dejal, da imajo zdaj »concrete technical evidence showing this process in action«. Platformo Discover-Tech sta uporabljala najmanj dva ponudnika vohunske programske opreme, Candiru in Bindecy; vlad, ki so naročile napade, preiskava ni določila. Za običajno brskanje je pomembna razlika med oglasom, ki zbere podatke o napravi, in dodatno kodo, poslano izbrani tarči.

Kako je dražba oglasa postala pot do naprave

Ko spletna stran ali aplikacija ponudi oglasni prostor, se v samodejni dražbi potencialnim kupcem pošlje zahteva za ponudbo. V njej so lahko naslov IP, podatki o napravi, spletni strani ali aplikaciji ter identifikator mobilnega oglaševanja oziroma piškotka. Ti podatki kupcu omogočijo odločitev, za katerega uporabnika bo licitiral, še preden se oglas prikaže. Dostop do dražbenih podatkov je torej že sam po sebi uporaben za prepoznavanje in spremljanje naprav.

Discover-Tech je oglase kupoval tudi prek lastne platforme MyDSP. Po zmagi na dražbi se je oglas naložil na odprti strani ali v aplikaciji, včasih v ozadju. Vseboval je zahtevo do strežnika, imenovanega NOAS, ki je prejel identifikator in podatke o povezavi. Platforma Controlium je omogočala izbor uporabnika po mobilnem oglaševalskem identifikatorju, identifikatorju brskalnika ali naslovu IP, strežnik pa je ob prikazu presodil, ali naprava ustreza cilju.

Za večino prikazov NOAS ni vrnil dodatnega JavaScripta, oglas pa je še vedno lahko poslal podatke o brskalniku. Izbrani napravi je strežnik lahko vrnil kodo za nadaljnjo povezavo z infrastrukturo za napad. Ker je bila odločitev sprejeta po prikazu, običajen pregled istega oglasa na drugi napravi ni nujno pokazal nevarne vsebine. Brez klika tu pomeni, da uporabniku ni bilo treba odpreti oglasne povezave ali potrditi drugega dejanja.

Milijarde ponudb niso milijarde okužb

Zapisi MyDSP za obdobje od marca do junija 2026 vsebujejo približno 3,77 milijarde ponudb na dražbah in približno 442 milijonov zmag. Oglasi z oznakami, ki so kazale na strežnik NOAS, so bili dejansko prikazani v 75.373 mobilnih aplikacijah in na 120.768 spletnih mestih. Med aplikacijami so bili Viber, Duolingo in Yahoo Mail. Te številke opisujejo doseg oglasne infrastrukture, ne števila naprav, ki so prejele kodo za vdor.

Meja med širokim profiliranjem in ozko ciljano okužbo je odgovor strežnika po prikazu oglasa. Zmaga na dražbi pripelje oglas do naprave; prikaz lahko razkrije njene identifikatorje; šele nadaljnja dostava kode lahko sproži izkoriščanje ranljivosti. Zapisi o prikazih tudi v omrežjih državnih ustanov in mednarodnih organizacij zato niso dokaz vdora v te ustanove. Poleg tega podatkovna zbirka MyDSP ne zajema oglasov, kupljenih prek platform Beeswax in Eskimi, zato tudi ne predstavlja celotne dejavnosti Discover-Tech.

Pri potrjenih okužbah v mreži Al Jazeera je bil dokazni vzorec drugačen od samega zapisa o oglasu. Omrežni dnevniki so pokazali stik z infrastrukturo Discover-Tech, nato povezavo s Candirujevim strežnikom za preverjanje naprave in nazadnje komunikacijo okužene naprave s strežnikom za upravljanje vohunske kode. Iz ene od prizadetih naprav je Al Jazeera pridobila tudi datoteko Windows DLL. Njene lastnosti in vgrajeni naslovi strežnikov so podprli pripis okužbe Candirujevi kodi.

Kaj je pokazal oglas MyIPInfo

Analiza podjetja Confiant opisuje oglas za Discover-Techovo spletno mesto MyIPInfo, ki je ob prikazu sprožil zahtevo do strežnika NOAS. V zahtevi so bili podatki o napravi in oglasni umestitvi. Analitiki so nato opazovali predajo kodi na infrastrukturi, povezani s Candirujem, ki je preverjala lastnosti naprave in vzpostavila šifriran kanal za nadaljnja navodila.

Ta zajeti primer pokaže, kako se lahko običajna oglasna vsebina spremeni v izhodišče za dodatno preverjanje naprave. Confiant v njem ni zajel celotne verige izkoriščanja ranljivosti. Potrjene okužbe v Al Jazeeri temeljijo na širši forenzični preiskavi, vključno z omrežnimi dnevniki in analizo kode iz prizadete naprave.

Različni odgovori strežnika pojasnijo tudi težavo pri nadzoru oglasov. Sistem za pregled lahko prejme prazen odgovor, medtem ko strežnik za izbrani identifikator vrne drugo kodo. Piškotki, oglaševalski identifikatorji in naslovi IP lahko pomagajo povezati obiske različnih strani ali aplikacij z isto napravo. Tako je mogoče veliko množico naprav spremljati prek oglasov, dražjo napadalno kodo pa nameniti le posameznim tarčam.

Kaj se je spremenilo po razkritju

Google in IAB Europe sta Discover-Tech odstranila iz svojih registrov oglasnih ponudnikov, Google pa mu je prekinil dostop do oglasnih dražb. Beeswax ga je odstranil s platforme za nakup oglasov, Vungle je dostop začasno ustavil med pregledom, Eskimi pa je blokiral njegove račune in domene. Ukrepi zmanjšujejo dostop tega podjetja do oglasnega ekosistema. Primer obenem kaže, zakaj pregled same oglasne vsebine ne zadostuje, kadar se njena koda spremeni glede na prejemnika.

Za brskalnike sta neposredno pomembna omejevanje oglasov in preprečevanje sledenja; ponastavitev ali izklop mobilnega oglaševalskega identifikatorja zmanjša možnost prepoznavanja naprave po tem podatku. Organizacije lahko oglase in sledilnike omejujejo tudi na omrežnem prehodu ter v dnevnikih iščejo zaporedje povezav po prikazu oglasa. Posamezen zaščitni ukrep ne nadomesti forenzične preiskave, če obstaja sum na okužbo.

Za uporabnika spletne strani ali aplikacije je posledica predvsem manj vidna meja zaupanja: oglas lahko sproži kodo, še preden se ga človek dotakne. Ali je pri določeni napravi ostalo pri zbiranju podatkov ali je sledila okužba, lahko pokaže šele nadaljnje omrežno in tehnično preverjanje.

Preberite tudi:

• 61 % zaposlenih brez vodstvene vloge ni usposobljenih za grožnje UI
• Docker brez roota: varnejši daemon lahko upočasni omrežje
• Lažen oglas za delo: preverite šest znakov, preden pošljete dokumente