Рекламные объявления со шпионским ПО работали в 75 000 приложений и на 120 000 сайтах

DSP, который сделал миллиарды ставок и ничего не продал

Отчёт Citizen Lab называет это «AdFection»: первое публичное техническое подтверждение шпионского ПО-наёмника, которое не требует действий пользователя и доставляется через таргетированную рекламу. Объявление загружается, обращается к серверу и может получить код, который заражает устройство без единого нажатия. По данным исследователей, израильская компания Discover-Tech Ltd представляет себя обычным DSP (demand-side platform, программа, с помощью которой рекламодатели покупают рекламные места), но на деле выступает посредником для производителей шпионского ПО. Поставщиком, стоявшим за заражениями Al Jazeera, была Candiru, ныне переименованная в Integrity Labs.

Цифры закупки рекламы не похожи на рекламу. По примерно четырём миллиардам записей о ставках, собранным с марта по июнь 2026 года, объявления Discover-Tech появились примерно в 75 000 приложений и 120 000 сайтов. Её платформа MyDSP выиграла 442 млн показов, то есть 11,7% из 3,77 млрд, на которые она делала ставки. Около 19% ставок касались объявлений со скрипт-тегами, которые доставляют код. Зафиксированные расходы составили всего около 109 000 долларов при почти нулевой выручке рекламодателей, а кампании «AliExpress» выглядят сомнительно.

Панель управления, которую исследователи называют Controlium, позволяет клиентам таргетировать по мобильному рекламному ID, ID браузера или IP-адресу. Из-за ошибки аутентификации открылись логи входов за 128 дней для 120 имён пользователей. Объявления со скрипт-тегами дошли до пользователей в 161 стране, больше всего сырых ставок пришлось на Йемен. Показы попадали и в сети оборонных ведомств, НАТО, ООН и институтов ЕС, хотя в отчёте подчёркнуто: показ не доказывает заражение.

Google и IAB Europe включали Discover-Tech в список одобренных поставщиков с 2020 по 2026 год. В октябре 2026 года обе организации её исключили. Beeswax прекратила работу с ней, Vungle приостановила доступ, а Eskimi заблокировала её аккаунты.

«Проверить невозможно», говорит адтех-инженер, а ответ на это даёт вопрос о биллинге

Самый громкий аргумент в треде касался вины. Адтех-инженер с 13 годами в отрасли утверждал, что нет одного «рекламного провайдера», которого можно привлечь к ответственности: экосистема состоит из множества ниш. Даже предварительная проверка Google, по его словам, пропускает недобросовестных участников:

«Огромный объём трафика делает практически невозможной проверку даже его части.» — адтех-инженер, 13 лет в отрасли

Ответил человек, который слышал такую же отговорку в другой отрасли. Комментатор, работавший с телеком-операторами в правоохранительном контексте описал встречу со старшим полицейским чиновником, прокурором и несколькими представителями операторов. Сторона без операторов снова и снова возвращалась к одному вопросу:

«Почему тогда невозможно не сделать биллинг?» — комментатор, присутствовавший на встречах телекомов с полицией

Биллинг — собственная выручка оператора, поэтому его строят. Помощь полиции стоит денег и ничего не приносит. Тот же комментатор применил это к рекламным сетям: они могли бы запустить системы, которые пытаются этому помешать, но это «просто снизило бы прибыль».

Отчёт описывает привратника, а не эксплойт

Второе возражение инженера касалось самого отчёта. Он назвал его «крайне сенсационным» из-за слова «zero-click», потому что в нём не сказано, что запускает вредонос. Участник MediaWiki заподозрил, что за заголовком стоит старая уязвимость:

«Похоже, речь о CVE-2021-21166, но если они говорят об эксплойте пятилетней давности, вводный абзац вводит в заблуждение.» — участник MediaWiki

Комментатор, перечитавший формулировки отчёта, нашёл объяснение пробелу. Исследователи описывают «NOAS-сервер», к которому обращается каждое объявление. Он получает cookie или мобильный рекламный ID и возвращает код, только если исходный IP и идентификаторы совпадают с целью. В остальных случаях он отдаёт ответ из 0 байт:

«Я подозреваю, что отчёт Citizen Lab скуп на детали именно потому, что сами авторы их не знают» — комментатор, перечитавший формулировки отчёта

Поэтому находка AdFection уже, чем заголовок, и её труднее отмести. Citizen Lab обнаружила фильтр, который решает, кому достанется код, а не эксплойт, который этот код несёт. По версии отчёта, фильтр существует, чтобы держать вредоносный код подальше от компаний, которые обслуживают и показывают объявления.

Госструктура или наёмный поставщик

Одно прочтение, которое предложил комментатор с более чем 20 тысячами кармы, сводилось к тому, что компании везде в итоге действуют в интересах спецслужб, а в Израиле много адтех-компаний, которых можно привлечь. Другой комментатор возразил: спецслужбам это не служит, это наёмный поставщик шпионского ПО. Сам отчёт не утверждает ничего о государственной операции.

Проверяемая часть — это покупатель

Доставка полезной нагрузки по запросу бьёт по обоим аргументам выше. Сканер, который проверяет креатив, никогда не увидит код, который сервер не отдаёт. Привратник, возвращающий ноль байт большинству посетителей, выглядит чистым для любого проверяющего, кроме цели. Платформа при этом всё ещё может проверить, кто покупает. Один комментатор предложил решение, которое переживает эту схему: «К сожалению, для всех решение одно: надёжный режим KYC». Проверка покупателя — единственный контроль, поднятый в треде, который эта конструкция не обходит.