Citizen Lab beschreibt mit AdFection eine Angriffskette, in der gezielte Werbeanzeigen Spyware ohne Klick ausliefern konnten. Bei Al Jazeera waren 2024 und 2025 mindestens 45 Geräte Ziel solcher Angriffe; die Zahl bezieht sich auf anvisierte Geräte. Citizen Lab ordnet die Spyware mit hoher Sicherheit Candiru zu und verknüpft ihre Auslieferung mit Anzeigen von Discover-Tech. Der technische Bericht von Citizen Lab beschreibt sowohl die Auswahl einzelner Ziele als auch die Daten, die Anzeigen bei anderen Nutzern erfassen konnten.
So lief die Werbekette ab
Eine gerenderte Anzeige konnte JavaScript von der Infrastruktur von Discover-Tech anfordern. Danach prüfte ein Server, ob der jeweilige Nutzer zum ausgewählten Zielkreis gehörte. Die meisten Nutzer erhielten kein JavaScript. Bei ausgewählten Zielen führte die Kette laut Citizen Lab über einen Validierungsserver von Candiru zu weiterem Profiling und zur Infektion; anschließend kommunizierte die Spyware mit einem Candiru-Kontrollserver.
Controlium, eine Plattform von Discover-Tech, unterstützte die Zielauswahl anhand mobiler Werbe-IDs, Cookie-IDs von MyDSP oder Beeswax und/oder IP-Adressen. Auch ohne die zusätzliche JavaScript-Antwort konnte eine gerenderte Anzeige laut Citizen Lab Browserdaten, Cookies und die öffentliche IPv6-Adresse eines Geräts erfassen.
Das erklärt den entscheidenden Unterschied: Eine Anzeige konnte Daten sammeln, ohne dass daraus automatisch die gezielte Exploit-Kette folgte. Eine Werbeeinblendung und eine Infektion sind verschiedene Vorgänge.
Was die Zahlen zu Al Jazeera und den Anzeigen aussagen
Citizen Lab zählt für 2024 und 2025 mindestens 45 Geräte bei Al Jazeera, die Ziel der Angriffe waren. Die Organisation berichtet außerdem von Infektionen bei Al Jazeera; die Zahl 45 bezeichnet jedoch die anvisierten Geräte.
Die Reichweitenzahlen stammen aus einem anderen Zeitraum und messen Werbeaktivität, keine Infektionen. Für März bis Juni 2026 wertete Citizen Lab fast vier Milliarden offengelegte Gebotsdatensätze aus. MyDSP gab in diesem Zeitraum 3.770.286.576 Gebote auf Anzeigenimpressionen ab und gewann 441.954.291 davon – laut Bericht 11,7 Prozent. Anzeigen von Discover-Tech erschienen in mehr als 70.000 mobilen Apps und auf 120.000 Websites.
Mindestens 718.748.885 Gebote enthielten laut Auswertung ein Skript-Tag, das auf einen NOAS-Server verwies; das entsprach ungefähr 19 Prozent. Die entsprechenden Anzeigen wurden in 161 Ländern ausgespielt. Diese Werte beschreiben Gebote, Platzierungen und geografische Reichweite, nicht die Zahl kompromittierter Geräte.
Welche Plattformen Discover-Tech einschränkten
Im Oktober 2026 ergriffen mehrere Unternehmen unterschiedliche Maßnahmen. Google entfernte Discover-Tech aus seinen Registern und beendete den Zugang zur eigenen Anzeigenbörse. Der Eintrag von Discover-Tech im Anbieterverzeichnis von IAB Europe endete am 8. Oktober 2026. Beeswax nahm das Unternehmen aus Buyer Cloud. Vungle (Liftoff) setzte den Zugang während einer Überprüfung aus; Eskimi sperrte Konten, Nutzer und Domains von Discover-Tech.
Die Maßnahmen betrafen also unterschiedliche Teile der Werbeinfrastruktur: ein Verzeichniseintrag, der Zugang zu einer Anzeigenbörse, eine Einkaufsplattform oder Konten und Domains. Eine ausgesetzte Nutzung während einer Prüfung ist dabei nicht dasselbe wie eine dauerhafte Sperre.
Welche Schutzmaßnahmen Citizen Lab empfiehlt
Citizen Lab empfiehlt Werbeblocker-Erweiterungen und Werbeblockierung auf Netzwerkebene sowie zeitnahe Software-Updates. Nutzer können außerdem ihre mobile Werbe-ID zurücksetzen und Anzeigen-Tracking deaktivieren. Die Empfehlungen setzen an unterschiedlichen Stellen an: Werbeblockierung begrenzt die Auslieferung, Updates halten Geräte auf einem aktuellen Stand, und Änderungen an Werbe-ID oder Tracking schränken die Nutzung von Werbeinformationen ein.
So beschreibt Citizen Lab den Ablauf
Citizen Lab beschreibt eine selektive Kette: Die meisten Nutzer erhielten kein JavaScript, während ausgewählte Ziele weiter profiliert und angegriffen wurden.
