Citizen Lab выявила доставку zero-click-шпионского ПО через рекламу
Исследователи Citizen Lab сообщили о первых подтверждённых атаках с доставкой правительственного zero-click-шпионского ПО через онлайн-рекламу. По данным лаборатории Университета Торонто, платформа Controlium израильской Discover-Tech использовалась производителями Candiru и Bindecy; как минимум 45 компьютеров Windows медиакомпании Al Jazeera, предположительно, были скомпрометированы в 2024 и 2025 годах.
Zero-click-инструменты не требуют от жертвы открыть письмо, перейти по ссылке или нажать на вложение. В описанном случае вредоносный код доставлялся вместе с рекламными объявлениями, а потому атака могла происходить незаметно для пользователя.
Рекламная платформа как канал точечной атаки
Discover-Tech позиционирует себя как рекламная компания. Однако Citizen Lab называет её связующим звеном между поставщиками рекламы и рынком наёмного шпионского ПО. Рекламные сети изначально позволяют выбирать аудиторию по устройству, организации и другим параметрам, что делает их удобным механизмом адресной доставки контента.
Исследователи обнаружили на страницах входа Controlium доступный исходный код и смогли восстановить веб-панель управления без авторизации. По оценке Citizen Lab, интерфейс был предназначен для отправки вредоносного содержимого отдельным целевым пользователям одновременно с рекламой.
Открытые учётные записи и данные рекламных торгов
На сайте Discover-Tech также была публично доступна часть данных, позволявшая скачать большое число записей для входа в Controlium без пароля. Среди них оказались учётные данные, принадлежавшие как минимум двум сотрудникам Candiru, а также пользователям, связанным с Bindecy.
Отдельно Citizen Lab нашла миллиарды записей рекламных торгов, оставленных в открытом доступе. Они показывают, что с марта по июнь 2026 года реклама платформы демонстрировалась на десятках тысяч сайтов и в мобильных приложениях. В записях присутствовали устройства, используемые военными, государственными структурами, организациями критической инфраструктуры и национальными киберведомствами.
Специалисты платформы контроля качества рекламы Confiant, работавшие вместе с Citizen Lab, также увидели признаки показа потенциально вредоносной рекламы в сетях Международного агентства по атомной энергии и Международного уголовного суда. При этом исследователи подчёркивают: наличие показа не означает, что устройство было заражено.
Что проверить организациям
Citizen Lab не установила, какие именно государства стояли за атаками на Al Jazeera. Discover-Tech и Al Jazeera не ответили на запросы о комментарии, а с Integrity Labs, производителем Candiru, связаться не удалось.
Для бизнеса этот случай означает, что рекламные технологии следует учитывать в модели угроз как возможный путь доставки кода. Для сотрудников с повышенным риском целесообразно проверить настройки рекламного отслеживания и оценить применение блокировки рекламы на корпоративных устройствах, не считая показ объявления доказательством компрометации.