Zusammenfassung:
Citizen Lab, ein Forschungsinstitut für Cybersicherheit, das der University of Toronto in Kanada angegliedert ist, hat kürzlich die Ergebnisse einer Umfrage veröffentlicht, die große Aufmerksamkeit erregt hat. Forscher haben herausgefunden, dass eine neue Angriffsmethode, die auf dem Online-Werbeversandsystem basiert, tatsächlich für Spionageaktivitäten eingesetzt wurde. Angreifer können Ziele durch Online-Werbung identifizieren und Spyware auf Geräten installieren, ohne dass die Opfer überhaupt auf Links klicken müssen.
Das Forschungsteam nannte diese Technologie „AdFection“ und gab an, dass dies das erste Mal sei, dass öffentlich technische Beweise dafür vorliegen, dass kommerzielle „Zero-Click“-Spyware-Angriffe mit Hilfe von Online-Werbesystemen durchgeführt werden können. Die Untersuchung ergab, dass die Technologie bei einer Online-Penetrationsoperation gegen Al Jazeera in Katar eingesetzt wurde.
Dem Bericht zufolge spielte ein israelisches Unternehmen namens Discover-Tech eine Schlüsselrolle bei dieser Operation. Das Unternehmen behauptet, ein Unternehmen für digitale Werbung zu sein, Forscher gehen jedoch davon aus, dass es eine Plattform betreibt, die Partnern tatsächlich dabei hilft, bestimmte Zielgeräte zu identifizieren, zu verfolgen und gezielt anzusprechen.
Die Untersuchung ergab, dass Discover-Tech eine Plattform namens Controlium betreibt. Die Plattform ist in der Lage, ein Echtzeit-Gebotssystem für Online-Werbung zu nutzen, um Geräteinformationen, einschließlich Werbekennungen und IP-Adressen, zu sammeln. Nachdem das System das beabsichtigte Ziel identifiziert hat, kann es Schadcode an das entsprechende Gerät senden, während normale Benutzer nur gewöhnliche Werbeinhalte sehen. Das bedeutet, dass das Opfer nicht auf die Anzeige klicken oder Dateien herunterladen muss und der Angriffsprozess automatisch ablaufen kann.
Forscher sagten, dass diese Plattform nicht nur das Ziel identifizieren kann, sondern auch ein Einstiegspunkt für die Verbreitung von Malware werden kann. Im Fall von Al Jazeera nutzten Angreifer angeblich diesen Mechanismus, um die kommerzielle Spyware Candiru auf Zielgeräten zu verbreiten. Candiru ist ein bekanntes, mietbares Spyware-Tool, das Geräte fernsteuern, Daten stehlen und auf die Kamera und das Mikrofon des Geräts zugreifen kann.
Citizen Lab gab an, dass sie herausgefunden haben, dass mindestens 45 Geräte im Netzwerk von Al Jazeera im Zeitraum von 2024 bis 2025 Opfer ähnlicher Angriffe waren. Forscher gehen davon aus, dass dies das erste öffentlich veröffentlichte Beispiel einer vollständigen technischen Zero-Click-Spyware-Infektion durch gezielte Werbung ist.
Der Umfang dieser Operation geht auch weit über einzelne Ziele hinaus. Das Forschungsteam analysierte etwa 4 Milliarden Anzeigengebotsdatensätze und stellte fest, dass zwischen März und Juni 2026 von Discover-Tech geschaltete Anzeigen auf etwa 120.000 Websites und mehr als 70.000 mobilen Anwendungen auf der ganzen Welt geschaltet wurden, darunter mehrere Länder und Regionen.
Die Forscher wiesen außerdem darauf hin, dass diese Werbung nicht nur der kommerziellen Propaganda dient, sondern auch für groß angelegte Aufklärung und Zielprüfung eingesetzt wird. Millionen von Geräten wurden stillschweigend angewiesen, eine Verbindung zu Candiru-Servern herzustellen, um Angreifern dabei zu helfen, Informationen zu sammeln, Ziele zu identifizieren und sich auf nachfolgende Angriffe vorzubereiten.
Die Untersuchung ergab außerdem, dass Discover-Tech seit langem auf den zertifizierten Lieferantenlisten vieler großer Werbeökosysteme steht, darunter das Google-Werbesystem und die europäische Werbebranchenorganisation IAB Europe. Das bedeutet, dass seine Anzeigen eine große Anzahl von Websites und Apps auf der ganzen Welt erreichen können.
Neben Candiru entdeckte Citizen Lab auch, dass eine weitere Bedrohungsgruppe namens „Dark Cartographer“ mit der Werbeplattform verbunden ist. Forscher sagten, dass die Organisation hauptsächlich Schwachstellen im Zusammenhang mit Mobilfunkbetreibern ausnutzt, um Geräte-Werbekennungen mit echten Telefonnummern zu verknüpfen und so eine groß angelegte Deanonymisierung der Benutzer zu erreichen.
In einer unabhängigen Untersuchung stellte das Werbesicherheitsunternehmen Confiant außerdem fest, dass relevante Werbung in Regierungsabteilungen, Verteidigungsbehörden und NATO-Netzwerkumgebungen aufgetaucht war. Derzeit gibt es jedoch keine Hinweise darauf, dass diese institutionellen Geräte erfolgreich infiziert wurden.
Nachdem der Vorfall aufgedeckt wurde, haben viele Werbeplattformen Maßnahmen ergriffen, um ihre Kooperationsbeziehungen mit Discover-Tech abzubrechen. Gleichzeitig fordern Forscher die Regulierungsbehörden und die Werbebranche auf, die Sicherheitsrisiken des bestehenden digitalen Werbeökosystems erneut zu prüfen. Sie glauben, dass sich die Werbeinfrastruktur, die ursprünglich für kommerzielles Marketing genutzt wurde, als Instrument zur Massenüberwachung, Zielverfolgung und sogar für Cyberangriffe erwiesen hat, und dass dieses Phänomen neue Herausforderungen für den Datenschutz im Internet und die Netzwerksicherheit mit sich bringt.
Kommentare