Eine einzige Anzeige konnte ausreichen, um den Angriff zu starten. Citizen Lab hat Infektionen mit der Candiru-Spionagesoftware dokumentiert auf Geräten, die von Al Jazeera genutzt wurden, nachdem sie Werbung erhalten hatten, die von Discover-Tech geschaltet wurde. Die Benutzer mussten nicht auf die Anzeige klicken: Die Kette wurde ausgelöst, wenn die Anzeige auf einer Webseite oder in einer App geladen wurde.
Die Angriffe ereigneten sich in den Jahren 2024 und 2025. Die Nachricht besteht in der Veröffentlichung der technischen Analyse, die erläutert, wie ein im Werbemarkt integriertes Unternehmen bestimmte Personen identifizieren und ihnen eine von der restlichen Zielgruppe abweichende Anzeige zustellen konnte. Citizen Lab untersuchte Netzwerkprotokolle, die Al Jazeera zur Verfügung gestellt wurden, und verband die Verbindungsfolge mit der Infrastruktur von Discover-Tech und Candiru.
Die Anzeige wählte das Ziel aus
Der Vorgang nutzte das Auktionssystem, über das viele Werbeflächen gekauft werden. Discover-Tech konnte darauf wettbewerblich darauf abzielen, eine Anzeige einem interessanten Gerät anzuzeigen. Beim Laden forderte die Anzeige JavaScript-Code von einem Server des Unternehmens an.
Die Antwort dieses Servers hing vom Empfänger ab. In den meisten Fällen wurde kein Code zur Initiierung einer Infektion zurückgegeben, obwohl der Werbebanner weiterhin Daten des Browsers und des Geräts sammelte. Wenn ein ausgewähltes Ziel erkannt wurde, konnte der Inhalt bereitgestellt werden, der die Angriffsfolge auslöste. Die Anzeige konnte sogar im Hintergrund geladen werden, ohne dass der Benutzer sie sah.
Diese Unterscheidung ist entscheidend, um den Umfang des Falls zu interpretieren. Dass ein Gerät eine Werbung von Discover-Tech erhielt, bedeutet nicht automatisch, dass es infiziert wurde. Citizen Lab hat jedoch reale Infektionen bei Al Jazeera dokumentiert und weist darauf hin, dass mindestens 45 Geräte dieser Organisation Ziel der Angriffe waren; diese Zahl bezieht sich auf angegriffene Geräte, nicht auf 45 bestätigte Infektionen.
Die von Discover-Tech verwendete Plattform hieß Controlium. Laut der Untersuchung ermöglichte sie die Profilbildung von Geräten, die Verknüpfung von Werbe-IDs mit Personen und die Auswahl von Zielen für spätere Operationen. Diese Fähigkeit verwandelte allgemein verfügbare Daten aus dem Werbemarkt in ein Überwachungsinstrument.
Vier Milliarden Einträge zeigen die Reichweite des Netzwerks
Die Forschenden analysierten fast 4 Milliarden Gebotsprotokolle von einem Server von Discover-Tech. Über vier Monate hinweg fanden sie Anzeigen des Unternehmens auf fast 200.000 Webseiten und Apps in verschiedenen Ländern. Es handelt sich um Orte, an denen Anzeigen ausgeliefert wurden, nicht um Opfer der Spyware.
Citizen Lab stellte auch fest, dass Anzeigen von Discover-Tech Millionen von Geräten zu Servern leiteten, die mit Candiru in Verbindung standen. Der Bericht interpretiert diesen Datenverkehr als potenzielle groß angelegte Überwachungs- und Aufklärungsoperation. Wieder bedeutet eine Verbindung zu diesen Servern allein nicht automatisch eine Infektion.
Die Untersuchung beschreibt zwei verwandte Verwendungen derselben Infrastruktur. Eine bestand darin, Daten zu sammeln, um Geräte zu erkennen und zu verfolgen. Die andere ermöglichte die Verteilung von Spyware an ausgewählte Ziele. Erstere könnte sehr vielen Menschen schaden; Letztere erforderte die Identifikation des Empfängers und die Ausführung der Angriffsfolge auf dessen Gerät.
Um den Vorfall bei Al Jazeera nachzuvollziehen, verglich Citizen Lab die Netzprotokolle der Angriffsperiode mit den Domains von Discover-Tech, der Candiru zugeschriebenen Infrastruktur und dem Verhalten der Spyware. Die infizierten Geräte kontaktierten zunächst Systeme, die mit dem Laden der Anzeige verbunden waren. Diese Sequenz half dabei, Werbung mit der anschließenden Infektion zu verknüpfen.
Was haben die Werbeplattformen getan
Nachdem Informationen über die Ergebnisse eingegangen waren, haben mehrere Unternehmen der Werbebranche Maßnahmen gegen Discover-Tech ergriffen. Dazu gehörten der Ausschluss des Anbieters aus bestimmten Systemen, die Sperrung seiner Aktivitäten oder die Aussetzung seiner Kampagnen. Diese Schritte schränken die im Bericht beschriebenen Wege ein, aber sie lassen nicht zu, zu behaupten, dass irgendeine vergleichbare Technik aus der digitalen Werbung verschwunden sei.
Der Fall beweist auch nicht, dass der Besuch einer der fast 200.000 identifizierten Webseiten und Apps den Benutzer der Spyware ausgesetzt hat. Der Mechanismus hing von der Auswahl des Geräts und der Antwort des Servers ab, der die Anzeige steuerte. Daher müssen die Reichweite der Werbeverteilung und die Anzahl der dokumentierten Infektionen separat dargestellt werden.
Die Untersuchung wirft ein schwieriges Problem für den Benutzer auf: Verdächtige Klicks zu vermeiden, hätte diese konkreten Angriffe nicht gestoppt. Der Bericht ermöglicht erstmals eine technisch belegte Kette dieses Typs, dokumentiert in realen Infektionen.
