Citizen Lab povezao Candiru napade sa ciljanim oglasima
Citizen Lab je utvrdio da je najmanje 45 uređaja povezanih sa mrežom Al Jazeera bilo ciljano oglasima koji su bez klika korisnika pokretali napad povezan sa izraelskim proizvođačem špijunskog softvera Candiru, tokom 2024. i 2025. Istraživači su sa jednog kompromitovanog uređaja preuzeli Windows program i povezali ga sa ranije analiziranim Candiru alatom sa visokim stepenom pouzdanosti.
Napad je koristio oglase kompanije Discover-Tech. Kada bi se oglas učitao, mali deo koda slao je oglašivački identifikator uređaja i IP adresu serveru Discover-Techa. Server je zatim odlučivao da li uređaj pripada meti: ciljanim uređajima vraćao je kod za napad u pregledaču ili aplikaciji, dok za ostale nije slao ništa.
Oglas kao nevidljivi kanal za selekciju meta
Citizen Lab navodi da je ovo prva javno potvrđena tehnička analiza slučaja u kojem je plaćeni špijunski softver stigao do stvarnih uređaja putem ciljanog oglašavanja. Metod je bio opisan u procurelim dokumentima, ali do sada nije bio javno prikazan kroz zabeleženu infekciju. Istraživači nisu preuzeli eksploatacioni kod koji vrši početni prodor, već su njegovu ulogu rekonstruisali iz načina na koji je operacija bila postavljena.
U mrežnim zapisima Al Jazeere ponavljao se isti sled: veza sa oglasnim serverom Discover-Techa, potom sa Candiru serverom za proveru uređaja i na kraju sa komandno-kontrolnim serverom špijunskog softvera. Sama reklama nije sadržala napadački kod, pa oglasne mreže koje su je isporučivale nisu imale očigledan zlonamerni sadržaj za detekciju.
Velik domet ne znači i potvrđenu infekciju
Discover-Tech je, po nalazima Citizen Laba, između marta i juna 2026. na jednoj platformi plasirao gotovo četiri milijarde ponuda za oglase. Oglasi sa skrivenim povratnim kodom pojavili su se u približno 75.000 mobilnih aplikacija i 120.000 sajtova. Američka firma Confiant procenila je obim saobraćaja na oko 10 miliona oglasa dnevno.
Ti oglasi viđeni su i na mrežama NATO-a, Ujedinjenih nacija, institucija Evropske unije, državnih organa u oko dve desetine zemalja, proizvođača čipova i medijskih organizacija. Prisustvo oglasa na mreži ne dokazuje infekciju; pokazuje samo koliki je bio potencijalni domet infrastrukture. Confiant je oglase neposredno povezane sa Candiruom video u malom obimu, uglavnom na kućnim i mobilnim vezama.
Odgovor platformi i operativna provera
Po prijavi nalaza, Google i IAB Europe uklonili su Discover-Tech sa svojih lista početkom oktobra. Google je kompaniji ukinuo pristup svojim oglasnim berzama, Beeswax ju je uklonio, Vungle je pauzirao pristup radi provere, a Eskimi blokirao naloge. IAB Europe je saopštio da je suspenzija usledila posle revizije koja je utvrdila kršenje pravila.
Citizen Lab i Confiant objavili su domene, fajlove i druge indikatore kompromitacije. Među njima je domen oglasnog servera mtrtb[.]com i SHA-256 vrednost pronađenog uzorka. Za bezbednosne timove praktičan korak je pretraga evidencija za sled Discover-Tech servera, Candiru servera za selekciju i zatim komandno-kontrolne infrastrukture, uz obuhvatanje poslovnih, mobilnih i kućnih veza zaposlenih.
Ovaj slučaj pokazuje da nadzor nad oglasnim saobraćajem i provera objavljenih indikatora treba da budu deo odgovora na ciljane pretnje, jer isporuka oglasa može prethoditi kompromitaciji bez ikakve akcije korisnika.