Wprowadzenie do problemu / definicja
Ataki typu zero-click należą do najgroźniejszych form cyberinwigilacji, ponieważ nie wymagają od ofiary żadnego działania. W opisywanym przypadku badacze powiązali kampanię spyware z wykorzystaniem infrastruktury reklamy internetowej, co znacząco poszerza tradycyjne rozumienie powierzchni ataku. Reklama online, dotąd kojarzona głównie z profilowaniem i śledzeniem użytkowników, została wykorzystana jako mechanizm selekcji celów i uruchamiania łańcucha infekcji.
To szczególnie istotne dla organizacji medialnych, podmiotów publicznych i środowisk wysokiego ryzyka, ponieważ pokazuje, że zwykłe ładowanie reklamy może stać się elementem zaawansowanej operacji szpiegowskiej.
W skrócie
Według ustaleń badaczy kampania skierowana przeciwko Al Jazeerze miała zostać powiązana z izraelskim dostawcą spyware Candiru oraz platformą reklamową Discover-Tech. Ataki miały charakter zero-click i były realizowane za pośrednictwem reklam ładowanych na urządzeniach ofiar.
- celem były urządzenia wybranych osób, a nie masowa populacja użytkowników;
- mechanizm opierał się na zbieraniu identyfikatorów i danych sieciowych po załadowaniu reklamy;
- infrastruktura pośrednicząca decydowała, czy użytkownik jest wart dalszej eksploatacji;
- w przypadku pozytywnej selekcji następował kolejny etap prowadzący do infekcji spyware.
Kontekst / historia
Rynek komercyjnego spyware od lat funkcjonuje na styku cyberbezpieczeństwa, wywiadu i polityki. Narzędzia tego typu były wcześniej wykorzystywane przeciwko dziennikarzom, aktywistom, prawnikom i przedstawicielom organizacji społecznych. Candiru od dawna pojawia się w raportach dotyczących zaawansowanych operacji nadzorczych prowadzonych przy użyciu narzędzi ofensywnych klasy premium.
Nowością w tym przypadku jest techniczne potwierdzenie użycia ekosystemu reklamy cyfrowej jako praktycznego kanału dostarczania zero-click spyware. To ważny moment dla całej branży, ponieważ wcześniejsze dyskusje o takim scenariuszu miały w dużej mierze charakter teoretyczny. Opisana kampania pokazuje, że adtech może zostać wykorzystany jako precyzyjne narzędzie operacyjne w rzeczywistych działaniach ofensywnych.
Analiza techniczna
Kluczowym elementem operacji było rozdzielenie etapu reklamy od właściwego etapu eksploatacji. Sam materiał reklamowy nie musiał zawierać pełnego exploita. Zamiast tego pełnił funkcję lekkiego komponentu inicjującego kontakt z serwerem kontrolowanym przez operatora kampanii.
Po załadowaniu reklamy następowało przekazanie danych identyfikujących urządzenie, takich jak identyfikator reklamowy czy informacje sieciowe. Na tej podstawie infrastruktura pośrednicząca ustalała, czy dane urządzenie odpowiada profilowi celu. Jeśli nie, reklama nie wykazywała oczywistych cech złośliwego działania. Jeśli tak, uruchamiany był kolejny etap prowadzący do komunikacji z infrastrukturą spyware.
Taki model znacząco utrudnia detekcję. Publicznie widoczny komponent pozostaje ograniczony i pozornie nieszkodliwy, natomiast właściwy ładunek trafia wyłącznie do starannie wybranych urządzeń. To podejście przypomina wielostopniowy łańcuch dostarczania, w którym minimalizuje się liczbę artefaktów możliwych do wykrycia przez sieci reklamowe, analityków i systemy bezpieczeństwa.
Badacze opisali także charakterystyczny wzorzec ruchu sieciowego: kontakt z serwerem reklamowym, następnie z infrastrukturą odpowiedzialną za profilowanie lub selekcję, a ostatecznie z komponentem sterującym spyware. Dodatkowym elementem atrybucji miała być analiza próbki komponentu dla systemu Windows odzyskanej z jednego z naruszonych urządzeń, wykazującej podobieństwa do narzędzi wcześniej przypisywanych Candiru.
Choć sam exploit inicjujący przełamanie zabezpieczeń nie został publicznie odtworzony, udokumentowany łańcuch infekcji oraz zależności infrastrukturalne zapewniły badaczom wysoki poziom pewności co do powiązania kampanii z tym ekosystemem spyware.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem tego przypadku jest zmiana założeń dotyczących zaufania do infrastruktury reklamowej. Organizacje zazwyczaj traktują reklamy jako problem prywatności, zgodności lub komfortu użytkownika, a nie jako nośnik zaawansowanego ataku szpiegowskiego. Ten model myślenia staje się niewystarczający.
- Użytkownik końcowy może zostać zaatakowany bez kliknięcia i bez wyraźnego sygnału ostrzegawczego.
- Organizacje narażają urządzenia pracowników na kontakt z zewnętrznymi komponentami reklamowymi w przeglądarkach i aplikacjach mobilnych.
- Dostawcy adtech mogą stać się nieświadomym ogniwem w łańcuchu dostarczania spyware.
- Zespoły SOC i DFIR mogą nie mieć reguł detekcji obejmujących reklamowy etap poprzedzający właściwą kompromitację.
Szczególnie wysokie ryzyko dotyczy redakcji, organizacji praw człowieka, administracji publicznej, dyplomacji oraz wszystkich środowisk posiadających dane o wysokiej wartości wywiadowczej. W takich przypadkach pojedyncza infekcja może prowadzić do długotrwałej inwigilacji, utraty poufności komunikacji i dalszych działań wewnątrz organizacji.
Rekomendacje
Obrona przed tego typu scenariuszem wymaga potraktowania ekosystemu reklamowego jako pełnoprawnego elementu powierzchni ataku. To oznacza potrzebę zmiany polityk bezpieczeństwa, monitoringu i modelowania zagrożeń.
- Ogranicz ekspozycję na reklamy na urządzeniach wysokiego ryzyka, zwłaszcza należących do dziennikarzy, kadry zarządzającej, prawników i osób pracujących z danymi wrażliwymi.
- Monitoruj telemetrię sieciową pod kątem nietypowych sekwencji połączeń inicjowanych przez komponenty reklamowe.
- Rozszerz threat hunting o artefakty związane z adtech, takie jak identyfikatory kampanii, domeny pośredniczące i nietypowe przekierowania.
- Utrzymuj rygorystyczny patch management dla systemów operacyjnych, przeglądarek, WebView i aplikacji komunikacyjnych.
- Wdrażaj segmentację sieci oraz model ograniczonego zaufania, aby ograniczyć skutki ewentualnej kompromitacji jednego endpointu.
- Analizuj historyczne logi DNS, HTTP(S), proxy i EDR w poszukiwaniu wzorców zgodnych z opisanym łańcuchem ataku.
Podsumowanie
Opisany przypadek stanowi ważny punkt zwrotny w analizie nowoczesnych operacji spyware. Reklama internetowa została wykorzystana nie tylko do śledzenia użytkowników, lecz także do wyboru celu i uruchomienia zero-click ataku. To pokazuje, że granica między marketingową infrastrukturą cyfrową a narzędziami ofensywnymi staje się coraz mniej wyraźna.
Dla branży cyberbezpieczeństwa wniosek jest jednoznaczny: adtech należy oceniać nie tylko przez pryzmat prywatności, ale również jako potencjalny kanał dostarczania zaawansowanych zagrożeń. Organizacje chroniące osoby i informacje o wysokiej wartości powinny uwzględnić taki scenariusz w swoich strategiach obronnych.
Źródła
- Citizen Lab – Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware — https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/
- The Hacker News – Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads — https://thehackernews.com/2026/10/citizen-lab-traces-zero-click-candiru.html
- Confiant – ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming — https://blog.confiant.com/p/adint-weaponized-ad-tech-for-zero-click-spyware-and-mass-identity-vacuuming
- IAB Europe – Recent Reports Concerning a TCF Vendor, Discover-Tech — https://iabeurope.eu/recent-reports-concerning-a-tcf-vendor-discover-tech/
- Al Jazeera – Israeli ad-tech firm helped place spyware on Al Jazeera devices — https://www.aljazeera.com/news/2026/10/15/israeli-ad-tech-firm-helped-spy-on-al-jazeera-devices