Citizen Lab раскрыла доставку Candiru через таргетированную рекламу
Исследователи Citizen Lab связали как минимум 45 атак на устройства сотрудников Al Jazeera в 2024–2025 годах со шпионским ПО Candiru, которое доставлялось через обычные интернет-объявления. Заражение не требовало клика или другого действия пользователя: код атаки запускался при загрузке рекламы, а в некоторых случаях объявление загружалось незаметно в фоновом режиме.
Citizen Lab, исследовательская группа Университета Торонто, называет это первым публичным техническим подтверждением доставки на реальные устройства коммерческого шпионского ПО через таргетированную рекламу. Ранее такой способ упоминался в утекших документах, но не был показан на примере действующей атаки.
Как реклама отбирала цели
Объявления размещала израильская компания Discover-Tech, позиционирующая себя как цифровая рекламная фирма. В коде объявления находился небольшой скрипт: после загрузки он передавал рекламный идентификатор устройства и IP-адрес на сервер Discover-Tech.
Сервер определял, относится ли устройство к цели. Для выбранных устройств он возвращал код эксплуатации для браузера или приложения; остальные не получали ничего. Поэтому непосредственно в рекламе не было вредоносного кода, который рекламные сети могли бы обнаружить при доставке.
Исследователи получили образец шпионского ПО с одного скомпрометированного устройства, однако не получили сам эксплойт, с помощью которого происходило первоначальное проникновение. В Al Jazeera извлекли с заражённого устройства Windows-файл: в нём использовались те же характерные техники, что и в инструменте Candiru, разобранном Citizen Lab в 2021 году. На этом основании связь с Candiru оценена с высокой уверенностью.
Следы в сетевых журналах и масштаб охвата
Al Jazeera предоставила исследователям журналы трафика. На заражённых устройствах наблюдалась одинаковая последовательность: обращение к рекламному серверу Discover-Tech, затем к серверу Candiru для проверки устройства и после этого к серверу управления шпионским ПО.
По оценке Citizen Lab, с марта по июнь 2026 года Discover-Tech разместила почти 4 млрд рекламных ставок на одной из платформ. Объявления с кодом обратного вызова появились примерно в 75 тыс. мобильных приложений и 120 тыс. сайтов. Компания Confiant, участвовавшая в расследовании, оценила объём трафика Discover-Tech примерно в 10 млн рекламных показов в день.
Такие объявления фиксировались в сетях НАТО, ООН, структур Евросоюза, ведомств примерно двух десятков стран, производителей чипов и медиа. Само появление рекламы в сети не доказывает заражение. Confiant отмечает, что объявления, напрямую связанные с Candiru, были малотиражными и преимущественно достигали домашних и мобильных подключений, а не чувствительных сетей.
Реакция рекламной индустрии
После передачи результатов Google и IAB Europe в начале октября исключили Discover-Tech из списков одобренных поставщиков. Google отключила компании доступ к рекламным биржам, Beeswax удалила её, Vungle приостановила доступ на время проверки, а Eskimi заблокировала аккаунты. Google заявила Reuters, что удалила Discover-Tech за систематическое нарушение политик; IAB Europe сообщила о приостановке после аудита.
Citizen Lab и Confiant опубликовали связанные с операцией домены и файлы. Среди индикаторов указан домен рекламного сервера Discover-Tech mtrtb[.]com и SHA-256 извлечённого образца: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8.
Для организаций практический вывод состоит в проверке журналов на последовательность обращений к рекламному серверу Discover-Tech, серверу проверки Candiru и серверу управления. Опубликованные индикаторы можно использовать для блокировки и ретроспективного поиска, особенно если сотрудники могли видеть такую рекламу.