Candiru-Spionagesoftware erreichte Geräte des Al Jazeera Media Network über gezielte Online-Werbeanzeigen, die keine Klicks erforderten. Bereits die Anzeige einer schädlichen Werbung auf einem ausgewählten Gerät konnte den Angriff auslösen.
Forscher des Citizen Lab bezeichneten die Technik als AdFection. Ihre Untersuchung brachte die Operation mit Discover-Tech in Verbindung, einem israelischen Unternehmen, das Anbieter von Überwachungstechnologie mit Online-Werbediensten verbindet.
Von Al Jazeera bereitgestellte Beweise zeigten, dass sich die Angriffe in den Jahren 2024 und 2025 gegen mindestens 45 Geräte richteten. Diese Zahl bedeutet jedoch nicht, dass jedes angegriffene Gerät erfolgreich infiziert wurde.
Schädliche Werbeanzeigen wählten Geräte vor der Codeübertragung aus
Nach Angaben der Forscher nutzte Discover-Tech seine Controlium-Plattform, um Kunden bei der Identifizierung und gezielten Auswahl bestimmter Geräte zu unterstützen. Zu den Funktionen gehörten außerdem die Erkennung von Geräten anhand digitaler Fingerabdrücke, die Profilerstellung und die Identifizierung ansonsten anonymer Nutzer.
Die Operation kaufte Werbeflächen über etablierte Werbenetzwerke und Anzeigenbörsen. Eingebetteter JavaScript-Code kontaktierte anschließend einen Discover-Tech-Server, sobald ein Gerät eine der Anzeigen darstellte.
Daraufhin überprüfte der Server Informationen wie IP-Adressen und Werbeidentifikatoren, um festzustellen, ob das Gerät dem vorgesehenen Ziel entsprach.
Ausgewählte Geräte erhielten zusätzlichen Code. Andere Geräte erhielten keine weitere Schadlast. Dadurch konnte die Operation einer Entdeckung entgehen, während die Anzeigen gleichzeitig breit verteilt wurden.
Da der Vorgang bereits beim Laden einer Werbeanzeige begann, mussten die Opfer weder auf einen Link klicken noch mit der Anzeige interagieren.
Ermittler verfolgten den Datenverkehr bis zur Candiru-Infrastruktur
Al Jazeera stellte Netzwerkprotokolle zur Verfügung, anhand derer die Forscher den Angriffsablauf rekonstruieren konnten. Die Verbindungen führten von der Infrastruktur von Discover-Tech zu den Validierungsservern von Candiru und anschließend zu den Command-and-Control-Servern der Spionagesoftware.
Die Ermittler stellten außerdem eine DLL-Datei auf einem kompromittierten Windows-Computer sicher. Nach einem Vergleich des Codes und der Infrastruktur mit zuvor gesammelten Proben ordneten sie die Datei mit hoher Sicherheit Candiru zu.
Candiru verkauft Überwachungswerkzeuge und beschränkt den Verkauf Berichten zufolge auf staatliche Kunden. Die Windows-Schadsoftware des Unternehmens, bekannt als DevilsTongue, kann Dateien, Anmeldedaten und Nachrichten stehlen.
Frühere Untersuchungen haben Candiru-Spionagesoftware mit Angriffen auf Journalisten, Aktivisten und politische Persönlichkeiten in Verbindung gebracht. Diese Operationen nutzten zuvor unbekannte Sicherheitslücken in Windows und Chrome aus.
Reichweite der Werbung überstieg die Zahl bestätigter Ziele deutlich
Die Untersuchung offenbarte auch das Ausmaß der Werbeoperation. Zwischen März und Juni 2026 gab sie rund 3,77 Milliarden Gebote ab und gewann 442 Millionen Werbeauktionen.
Werbeanzeigen, die nach Einschätzung der Forscher Skript-Tags der Angreifer enthielten, erschienen in 75.373 Android- und iOS-Apps sowie auf 120.768 Websites.
Diese Zahlen beschreiben jedoch die Verbreitung der Werbung und nicht die Anzahl erfolgreicher Infektionen mit Spionagesoftware. Das Zielauswahlsystem konnte eine Anzeige auf vielen Geräten ausspielen, während nur bestimmte Geräte zusätzlichen Code erhielten.
Die Forscher schätzten, dass Werbeanzeigen von Discover-Tech Hunderttausende bis Millionen Nutzer auf zugehörige Domains weiterleiteten. Auch diese Schätzung gibt keinen Aufschluss darüber, wie viele Geräte die Angreifer kompromittierten.
Frühere Erkenntnisse beschrieben eine ähnliche Verbreitungsmethode
Eine separate Untersuchung, die Ende 2025 veröffentlicht wurde, beschrieb eine werbebasierte Infektionsmethode im Zusammenhang mit der Spionagesoftware Predator.
Die als Aladdin bekannte Technik wurde durch geleakte Dokumente und Marketingmaterialien aus der Überwachungsbranche bekannt. Die Ermittler untermauerten diese Erkenntnisse mit technischen Beweisen aus forensischen Untersuchungen.
Im Vergleich dazu verfolgte die AdFection-Untersuchung die Werbeinfrastruktur anhand beobachteter Angriffe bis zur Candiru-Spionagesoftware zurück. Die Ergebnisse liefern weitere Belege dafür, dass kommerzielle Werbesysteme hochgradig selektive Überwachungsoperationen unterstützen können.
Werbeunternehmen sperrten Konten und Domains
Nach den Enthüllungen ergriffen mehrere Organisationen der Werbebranche Maßnahmen gegen die mit der Operation verbundene Infrastruktur.
Google, IAB Europe, Beeswax, Eskimi und Vungle gehörten zu den Unternehmen und Organisationen, die betroffene Konten entfernten oder zugehörige Domains blockierten.
Die Untersuchung verdeutlicht, wie schädliche Werbung ausgewählte Nutzer Angriffen aussetzen kann, ohne dass diese bewusst mit der Werbung interagieren müssen. Sie zeigt außerdem, warum die Anzahl ausgespielter Werbeanzeigen von der Anzahl bestätigter Kompromittierungen unterschieden werden muss.
0 Kommentare zu „Candiru-Spionagesoftware wird über Zero-Click-Werbung verbreitet“