Изследователите са убедени, че подобни действия на правителствено ниво са доста разпространени.
Т.нар. „малвъртайзинг“ (от англ. malware – зловреден софтуер и advertising – реклама) – доставянето на зловреден код посредством онлайн реклама по страниците на сайтове е добре известна тактика, използвана от киберпрестъпниците. Най-честият метод е превземането на сайт и поставянето на фалшива реклама на страниците му. Има и друга тактика, която е далеч по-трудна за засичане от посещаващия уебсайта. Чрез участие в RTB (real-time bidding) търговете за реклама на легитимни страници, идентифицирайки се обикновено чрез открадната самоличност на реален търговец. И тук имаме два типа в доставянето на зловреден код към системата.
Първият не е толкова труден за засичане от посетителите и антивирусните решения. Потенциалната жертва трябва да кликне върху рекламния банер, за да се изпълни заложения код. Но има и т.нар. zero-click или drive-by download атаки. При тях от жертвата не се изисква действие. Просто да посети адреса на страницата. И ако зловредният код е непознат за антивирусната му програма или той няма въобще такава – инфекцията е гарантирана.
Специалистите по сигурност от Citizen Lab са се натъкнали на атака от страна на израелски шпионски софтуер към известна медия. Изследователите разясняват начините, по които работи днес онлайн рекламната индустрия и степента, до която може да разпознае даден потребител, за да му достави целенасочена реклама. Както и дълбоката уязвимост и слабости на тези процеси, които могат да се експлоатират за злумишлени цели. Нещо, което киберпрестъпниците всъщност правят отдавна. Една от тези уязвими точки са ADINT (advertising intelligence) платформите. Тези, които успяват да ви профилират и продават информацията ви, за да включите устройството ви в RTB аукционите. Citizen Lab пишат за няколко случая, в които подобни ADINT платформи са злоупотребявали с тази информация. Продавайки я не на хакери. Но на разузнавателни служби, военни контрактори, полицейски агенции. На сцената се появява Discover-Tech.
Израелската компания се представя за легитимна фирма за онлайн реклама. Но всъщност предоставя услугите си и информацията, с която борави на множество агенти, разпространяващи шпионски софтуер. Така например, те биват свързвани с операторите на шпионски софтуер с името Candiru.
По данни на Citizen Lab, за едва четири месеца, рекламните съобщения на Discover-Tech са показани на почти 200 000 уникални сайта и мобилни приложения. През този период Discover-Tech тайно пренасочва милиони устройства към сървърите на Candiru. Вероятно за целите на идентификация и допълнително разузнаване на целите. Как се е случило това?
Оказва се, че за официалните играчи на пазара на онлайн реклама Discover-Tech е легитимен и признат партньор. Те работят със секторната организация IAB Europe, Google, Yandex, Beeswax и др. Компанията използва също така популярния фреймуърк за съгласие на GDPR, за да атакува жертви в границите на ЕС.
Една от жертвите на глобалната шпионска кампания на Discover-Tech, наречена в доклада AdFection, е известната близкоизточна новинарска агенция Al Jazeera. През 2024 и 2025 са инфектирани множество устройства в офисите на медията чрез Candiru. След посещаване на сайт, представящ реклама на Discover-Tech, устройството се пренасочва към сървър на Candiru. Той профилира посетителя и ако е оперативно интересен следва инфектиране, сързвайки го вече със сървърите на спайуера. AdFection се явява първия случай на разпространение на комерсиален шпионски софтуер чрез онлайн реклама. За разлика от хакерския спайуер, този тип софтуер се продава на и използва от правителствени структури и държавни разузнавателни агенции.
Citizen Lab са открили реклами импресии на системите в мрежите на множество правителствени агенции в държави по целия свят. Засегнати са също мрежите на големи медии, неправителствени организации, журналисти и др.
Citizen Lab са се свързали, както с Google, така и с IAB Europe, предоставяйки откритията си. Първите са прекъснали връзките си с Discover-Tech и са забранили участие в RTB аукционите. IAB Europe са направили същото.