Citizen Lab opisuje AdFection jako atak typu zero-click: według badaczy w latach 2024–2025 celem ataków powiązanych z reklamami Discover-Tech było co najmniej 45 urządzeń Al Jazeera. Opisana ścieżka mogła uruchomić się, gdy reklama została wyświetlona — kliknięcie nie było potrzebne. Raport Citizen Lab łączy ataki ze spyware Candiru.
Jak reklama mogła uruchomić exploit bez kliknięcia
Kod reklamy mógł wykonać się podczas jej wyświetlania, pobrać dodatkowy JavaScript i załadować exploit przeglądarki, czyli kod wykorzystujący podatność. Identyfikatory pozwalały wybrać kwalifikujący się cel; w pozostałych przypadkach serwer mógł zwrócić pustą odpowiedź. Kliknięcie reklamy nie było więc konieczne.
W opisanej sekwencji urządzenie wybrane do ataku łączyło się z serwerem walidacyjnym Candiru, a następnie z serwerem exploita. Po wykorzystaniu podatności spyware nawiązywało połączenie ze swoim serwerem sterującym. Citizen Lab przypisuje tę technikę kampanii AdFection. Raport badaczy przedstawia też cztery etapy łączące wyświetlenie reklamy, wybór celu i dostarczenie exploita.
Ślady łączące ataki z Candiru
Logi sieciowe urządzeń Al Jazeera rejestrowały połączenia z infrastrukturą Discover-Tech, a następnie z serwerem walidacyjnym Candiru i serwerem command-and-control, czyli sterującym spyware. Odzyskana z przejętego urządzenia biblioteka DLL dla Windows zawierała zakodowane na stałe adresy serwerów sterujących, zgodne z charakterystycznym wzorcem Candiru rozpoznanym przez Citizen Lab.
Badacze ocenili przypisanie spyware Candiru jako wysoce wiarygodne. W próbce znaleźli także przejmowanie COM, mechanizm utrudniający usunięcie programu, oraz powtarzające się maskowanie XOR o długości 48 bajtów. Kolejność sprawdzania łączności sieciowej odpowiadała wcześniejszej próbce Candiru. Później firma działała pod nazwą Integrity Labs, jak podaje raport Citizen Lab.
Co mówią liczby o zasięgu
Od marca do czerwca 2026 roku reklamy ze skryptami atakującego pojawiły się w 75 373 aplikacjach na Androida i iOS oraz na 120 768 stronach internetowych. To liczby miejsc emisji reklam, nie potwierdzonych infekcji. Citizen Lab zaznacza, że nie wszystkie reklamy Discover-Tech musiały zawierać złośliwy kod.
Osobna liczba — 3 637 213 — oznacza użytkowników kwalifikujących się do ataku, powiązanych z jednym punktem infrastruktury od stycznia do czerwca 2026 roku. Nie jest to liczba zainfekowanych urządzeń. Te pomiary opisują różne etapy: emisję reklam, możliwość wybrania użytkownika i ataki odnotowane na urządzeniach Al Jazeera. Szczegóły analizy Citizen Lab.
Działania platform i blokowanie reklam
Google poinformowało WIRED, że po wspólnym dochodzeniu z Citizen Lab i Confiant zablokowało Discover-Tech na swoich platformach reklamowych oraz uruchomiło ostrzeżenia Safe Browsing dla stron powiązanych z tą firmą. WIRED opisał stanowisko Google.
Citizen Lab podaje, że 8 października 2026 roku IAB Europe usunęło Discover-Tech z Global Vendor List; WIRED określił tę decyzję jako zawieszenie. Beeswax poinformowało o usunięciu firmy ze swojej platformy. Citizen Lab wymienia też blokady kont, użytkowników i domen wprowadzone przez Eskimi oraz wstrzymanie dostępu przez Vungle/Liftoff na czas przeglądu.
Citizen Lab zaleca blokowanie reklam na urządzeniach i bramach sieciowych organizacji. To środek ograniczający ryzyko, nie gwarancja ochrony przed AdFection.
