Исследование, проведенное канадской группой по кибернадзору The Citizen Lab, показало, что устройства миллионов людей были заражены израильским наемным шпионским программным обеспечением под названием Candiru посредством цифровой рекламы, которая не требует клика пользователя.
Группа сообщила в отчете, опубликованном в четверг, что данный случай является первым публично подтвержденным примером использования наемного шпионского ПО с функцией zero-click, доставленного через таргетированную рекламу. Шпионское ПО также было направлено на устройства, связанные с Al Jazeera Media Network.
Согласно отчету, компания Discover-Tech, базирующаяся в Израиле и представляющая себя как легитимная рекламная фирма, фактически работает на партнеров, занимающихся израильским наемным шпионским ПО, таких как Candiru. Эта компания размещала таргетированную рекламу, которая побуждала миллионы устройств в десятках стран связываться с серверами Candiru для целей слежения и разведки.
The Citizen Lab установила, что в течение 2024 и 2025 годов по серии атак с использованием zero-click рекламы, приобретенных Discover-Tech, было затронуто не менее 45 устройств в рамках Al Jazeera.
Discover-Tech управляет платформой под названием Controlium, которая позволяет «партнерам по найму деанонимизировать, создавать отпечатки и автоматически заражать устройства» сразу после показа рекламы, даже если целевой пользователь не совершает клик.
В течение четырехмесячного периода реклама Discover-Tech демонстрировалась на почти 200 000 уникальных веб-сайтах и приложениях для Android и iOS в различных странах.
Помимо Candiru, которое было переименовано в Integrity Labs, Discover-Tech также связана с другими акторами наемного шпионского ПО, включая Intelos и Bindecy.
В 2021 году Candiru попало в черный список правительства США за «ведение деятельности, противоречащей интересам национальной безопасности или внешней политики Соединенных Штатов». Переименование Candiru произошло после того, как в 2025 году оно было приобретено частной инвестиционной фирмой США Integrity Partners, которая не находится под санкциями США.
Discover-Tech фигурировала как «сертифицированный и одобренный» поставщик, работающий с Google и ассоциацией индустрии рекламы IAB Europe, и размещала рекламу в крупных сетях, включая Google, российский поисковик Yandex и платформу Beeswax.
Wolfie Cristl, старший научный сотрудник The Citizen Lab, заявил Reuters: «То, как сегодня работает онлайн-реклама, представляет собой системную угрозу безопасности» — и это касается государств, частного сектора, гражданского общества и всех остальных.
Jerome Dangu, соучредитель нью-йоркской фирмы по безопасности рекламы Confiant, которая также опубликовала отдельный отчет по данному делу в четверг, отметил, что Discover-Tech ежедневно размещала не менее 10 миллионов объявлений по всему миру, а договоренности об обмене данными, известные как cookie matching, позволяли ей отслеживать людей даже за пределами охвата ее рекламы.
Dangu предположил: «Вероятно, сотни миллионов людей были затронуты Discover-Tech».
Израильская шпионская фирма NSO Group также была добавлена в торговый черный список США вместе с Candiru в ноябре 2021 года после того, как США пришли к выводу, что иностранные правительства приобретали ее шпионское ПО и использовали его для слежки за государственными чиновниками, журналистами и другими лицами.
Candiru также использовалось для нацеливания на Middle East Eye и другие веб-сайты в ноябре 2021 года. Атака, обнаруженная фирмой по онлайн-безопасности ESET, была направлена на сайт MEE в течение двух дней в апреле 2020 года. Эта кампания затронула еще 20 веб-сайтов двумя волнами: апрель-июль 2020 года и январь-август 2021 года.
ESET сообщила, что целью были «связи со Ближним Востоком и сильный фокус на Йемене и окружающем конфликте». После выводов двух исследовательских групп Google, IAB Europe, Beeswax и другие платформы с тех пор отключили доступ Discover-Tech к рынку цифровой рекламы.