Citizen Lab berichtet, dass mindestens 45 Geräte von Al Jazeera in den Jahren 2024 und 2025 Ziel von Zero-Click-Angriffen waren, bei denen Spyware über Anzeigen von Discover-Tech verbreitet worden sein soll. Die Forschenden schreiben die Spyware mit hoher Zuversicht Candiru zu. Ihr Bericht beschreibt eine Angriffskette, die schon beim Anzeigen einer Werbung beginnen konnte – ein Klick war dafür nicht nötig. Zum Bericht von Citizen Lab
Wie der Angriff ohne Klick ablaufen konnte
Laut Citizen Lab konnte Code in einer angezeigten Werbung ausgeführt werden. Kennungen dienten dazu, geeignete Ziele auszuwählen: Für sie konnte der Server weiteres JavaScript ausliefern, das einen Exploit im Browser lud. Ein Exploit nutzt eine Schwachstelle aus, um einen Angriff auszuführen. Wer die Anzeige sah, musste sie dafür nicht anklicken.
Die Plattform Controlium von Discover-Tech unterstützte dem Bericht zufolge Profilbildung, Geräte-Fingerprinting und die Auswahl von Zielen für eine automatische Infektion. Fingerprinting bezeichnet das Erkennen eines Geräts anhand charakteristischer Merkmale. Die konkrete Abfolge vom Anzeigenaufruf bis zur Infektion beschreibt Citizen Lab als Teil seiner Untersuchung der Angriffe auf Geräte von Al Jazeera.
Welche Spuren Citizen Lab mit Candiru verknüpft
Die Netzwerkprotokolle der betroffenen Geräte zeigten laut Citizen Lab zunächst Verbindungen zu Infrastruktur von Discover-Tech, anschließend zu einem Candiru-Validator und zu einem Candiru-Server für Befehle und Steuerung. Zusätzlich untersuchte das Forschungsteam eine von einem kompromittierten Gerät geborgene Windows-DLL. Darin fest codierte Serveradressen stimmten mit einem Candiru-Fingerabdruck überein.
Auch technische Merkmale der Schadsoftware flossen in die Zuordnung ein: Sie nutzte COM-Hijacking, eine wiederkehrende 48-Byte-XOR-Verschleierung und geordnete Prüfungen der Netzwerkverbindung, die laut Citizen Lab einem früheren Candiru-Beispiel entsprachen. Auf dieser Grundlage bewerteten die Forschenden die Zuordnung zu Candiru als sehr wahrscheinlich. Der Bericht bezeichnet das Unternehmen als später in Integrity Labs umbenannt.
Was die Reichweitenzahlen zählen
Zwischen März und Juni 2026 tauchten Anzeigen mit einem Angreifer-Skript in 75.373 Android- und iOS-Apps sowie 120.768 Websites auf, wie Citizen Lab zählte. Das sind Anzeigenplatzierungen, keine Infektionszahlen. Die Forschenden betonen außerdem, dass nicht zwangsläufig jede Anzeige von Discover-Tech für einen Angriff eingesetzt wurde.
Eine weitere Zahl beschreibt eine andere Messgröße: Ein Infrastruktur-Endpunkt von Infinite FIFO erfasste von Januar bis Juni 2026 3.637.213 geeignete Nutzer. Das ist die Zahl der Nutzer, die für eine Zielauswahl infrage kamen, nicht die Zahl bestätigter Infektionen.
Welche Plattformen reagierten
Google beendete laut Citizen Lab Anfang Oktober 2026 Discover-Techs Zugang zu seinen Anzeigenbörsen. Am 15. Oktober berichtete WIRED, Google habe erklärt, Discover-Tech nach einer gemeinsamen Untersuchung mit Citizen Lab und Confiant von seinen Anzeigenplattformen ausgeschlossen und Safe-Browsing-Warnungen für Websites eingerichtet, die mit der Gruppe verbunden waren. WIREDs Bericht zu den Plattformreaktionen
IAB Europe entfernte Discover-Tech laut Citizen Lab am 8. Oktober 2026 aus der Global Vendor List. Beeswax meldete, Discover-Tech von seiner Plattform entfernt zu haben. Citizen Lab zufolge sperrte Eskimi Konten, Nutzer und Domains; Vungle/Liftoff pausierte den Zugang bis zu einer Überprüfung.
Citizen Lab empfiehlt, Werbung sowohl auf Endgeräten als auch an den Gateways von Organisationen zu blockieren. Das ist eine Maßnahme zur Risikominderung, keine Garantie, AdFection zu verhindern.
