Targeted ads delivered 0-click exploits to install mercenary malware

定向广告通过零点击漏洞传播雇佣兵恶意软件 - Ars Technica

劫持式感染

定向广告通过零点击漏洞传播雇佣兵恶意软件

该事件很可能是首次确认通过定向广告传播雇佣兵间谍软件的案例。

Dan Goodin

–

2026年10月15日 下午4:32

|

42

图片版权：Getty Images

按钮

文本设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化至导航栏

研究人员表示，雇佣兵黑客在广告中植入了零点击漏洞，当目标用户仅加载网站或打开已安装的应用程序时，这些漏洞就会在目标设备上安装复杂的恶意软件。

多伦多大学公民实验室周四发布的研究称，该事件很可能是首次确认通过定向广告传播零点击雇佣兵间谍软件的案例。这些攻击针对iOS和Android设备，具有特别严重的危害性，因为它们无需目标用户任何交互即可运行，除非用户运行特殊取证硬件或软件，否则攻击过程对用户完全不可见。公民实验室表示，他们确认名为AdFection的活动在2024年和2025年期间感染了国际媒体机构半岛电视台的45台设备。

明确的警告信号

公民实验室研究人员写道：“这项调查应……向全球新闻机构发出明确的警告信号，表明他们可能正在遭受这种新型威胁的主动攻击。”“这种攻击可能发生在新闻编辑室，也可能针对个别记者、编辑和其他工作人员。”他们的报告进一步指出：“通过定向广告传播间谍软件不仅对潜在受害者构成安全风险，也对各国政府和整个公民社会构成安全威胁。”

这些广告由以色列公司Discover-Tech提供，该公司自称是一家合法广告公司，但公民实验室表示，该公司实际上为多家雇佣兵间谍软件合作伙伴提供中介服务。该公司在希望展示广告的广告商与希望通过展示广告获取收入的出版商或应用开发者之间充当经纪人。在此角色中，Discover-Tech充当“广告供应商与雇佣兵间谍软件生态系统之间的桥梁”，公民实验室表示，这似乎是“Discover-Tech的主要业务”。

中介过程涉及一个竞价流程，广告商通过提供费用来换取其广告在特定人口统计数据个体的设备上展示。利用用户的唯一移动设备ID、位置、IP地址和其他数据碎片，中介能够为数百万用户创建详细的人口画像。公民实验室表示，他们获得了Discover-Tech处理的超过40亿条竞价记录。这些记录显示，Discover-Tech的广告在2026年3月至6月期间出现在超过7万个移动应用和12万个网站上。

将Discover-Tech列为“认证”或“已验证”供应商的主要厂商包括Google和广告行业协会IAB欧洲。这家以色列公司还使用欧洲通用数据保护条例（GDPR）的同意框架来针对欧盟内的用户。Discover-Tech已通过Google、Yandex和Beeswax等主要网络平台投放广告。

Google 和 IAB Europe 随后将 Discover-Tech 从其广告供应商名录中移除，Google 进一步终止了 Discover-Tech 对其广告交易平台的访问权限。Beeswax 已将 Discover-Tech 从其广告购买平台中移除。同属广告平台的 Vungle（Liftoff）在进行审查期间暂停了 Discover-Tech 的访问权限，Eskimi 则封锁了 Discover-Tech 的账户和域名。

周四的报告指出，Discover-Tech 的广告展示已出现在全球多个与政府和国家安全相关的网络中：包括北约、联合国网络、欧洲立法机构、澳大利亚关键基础设施提供商，以及挪威和瑞典的武装部队和政府机构。

Citizen Lab 表示：“Discover-Tech 的大规模滥用、隐私侵犯以及为雇佣兵间谍软件攻击提供便利，凸显了在线广告系统的结构性缺陷，该系统未能检测或阻止本报告中记录的滥用行为。”

该研究实验室表示，通过 AdFection 安装的雇佣兵恶意软件由 Candiru（重新品牌为“Integrity Labs”）开发和分发。根据与 Discover-Tech 的协议，针对 Candiru 客户感兴趣的特定目标人群，会投放携带 JavaScript 或其他代码的广告，这些代码会连接到 Candiru 的控制服务器。作为回应，这些服务器会在广告出现在个人设备上时，传递一个零点击有效载荷的漏洞利用程序。

该研究未描述零点击攻击中被利用的漏洞或最终安装的恶意软件。这些漏洞很可能是零日漏洞，在 Citizen Lab 发现此次行动后已得到修复。Citizen Lab 未立即回应相关问题。

发送给 Discover-Tech 和 Candiru 的信息均未得到回复。

Citizen Lab 呼吁广告商和政府官员采取具体行动，主动防止类似 AdFection 的活动。除此之外，用户可通过安装广告拦截软件、在 iOS 和 Android 设置中重置移动广告 ID（尚不清楚为何研究人员未建议完全关闭个性化广告），以及在家庭或办公室网络上安装广告拦截软件来降低被感染的风险。一如既往，及时安装系统更新也是必须的。

高级安全编辑

Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码的报道。在空闲时间，他喜欢园艺、烹饪和关注独立音乐场景。Dan 基于旧金山。关注他的 Mastodon 账号和 Bluesky 账号。通过 Signal 联系他，号码是 DanArs.82。

42 条评论 /