Izraelska firma wykorzystywała reklamy internetowe do instalowania oprogramowania szpiegowskiego. Palestyna była głównym celem

Izraelska firma Discover-Tech wykorzystywała globalną sieć reklam internetowych do gromadzenia danych osobowych i przeprowadzania ataków szpiegowskich na wybrane urządzenia. Palestyna była obszarem o największym udziale reklam obsługiwanych przez firmę, a wśród celów operacji znaleźli się pracownicy telewizji Al Jazeera. Ustalenia te przedstawili 15 października badacze kanadyjskiego Citizen Lab oraz amerykańskiej firmy zajmującej się cyberbezpieczeństwem Confiant.

Śledztwo ujawniło, że Discover-Tech, działająca oficjalnie w branży reklamy cyfrowej, wykorzystywała infrastrukturę popularnych platform, w tym Google, Yandex i Beeswax, do identyfikowania użytkowników internetu oraz dostarczania oprogramowania szpiegowskiego na ściśle wybrane urządzenia.

Badacze nazwali tę metodę AdFection. Umożliwiała ona przeprowadzanie ataków typu zero-click, czyli bez konieczności klikania w reklamę, otwierania podejrzanych linków czy pobierania plików. Wystarczyło wyświetlenie odpowiednio przygotowanej reklamy na urządzeniu wybranej osoby.

Citizen Lab określił odkrycie jako pierwszy publicznie udokumentowany technicznie przypadek wykorzystania reklam internetowych do dostarczania komercyjnego oprogramowania szpiegowskiego metodą zero-click.

Z infrastruktury Discover-Tech korzystała między innymi izraelska firma Candiru, obecnie działająca pod nazwą Integrity Labs. W 2021 roku została ona umieszczona na amerykańskiej czarnej liście przedsiębiorstw ze względu na działalność związaną z cyberinwigilacją.

Analiza przeprowadzona przez Confiant wykazała, że Palestyna była obszarem o największym udziale reklam obsługiwanych przez Discover-Tech. W badanym okresie firma odpowiadała za blisko 2 proc. reklam internetowych wyświetlanych na terytorium Palestyny, a 7 kwietnia 2026 roku udział ten wzrósł do około 10 proc.

Szczególnie intensywną aktywność odnotowano na urządzeniach z systemem Android, gdzie średnio jedna na 36 reklam pochodziła z infrastruktury izraelskiego przedsiębiorstwa.

Zdaniem badaczy tak wyraźna koncentracja geograficzna, połączona z precyzyjnym wybieraniem urządzeń, wskazuje na działania wykraczające poza standardowe kampanie reklamowe.

Eksperci zaznaczają jednak, że wyświetlenie reklamy nie oznacza automatycznie zainfekowania urządzenia. W wielu przypadkach służyło ono przede wszystkim gromadzeniu informacji umożliwiających identyfikację użytkownika i przygotowanie ewentualnego późniejszego ataku.

Jednym z najważniejszych ustaleń śledztwa było wykrycie operacji szpiegowskich wymierzonych w pracowników międzynarodowej sieci informacyjnej Al Jazeera.

Citizen Lab potwierdził wykorzystanie infrastruktury reklamowej Discover-Tech do kierowania wybranych urządzeń do serwerów powiązanych z Candiru. Badacze udokumentowali również przypadki infekowania urządzeń oprogramowaniem szpiegowskim.

Ataki były przeprowadzane bez widocznych ostrzeżeń i bez konieczności podejmowania jakichkolwiek działań przez użytkownika. Po wyświetleniu odpowiednio przygotowanej reklamy urządzenie mogło zostać przekierowane do infrastruktury wykorzystywanej do dostarczenia złośliwego oprogramowania.

Tego rodzaju narzędzia mogą umożliwiać przejmowanie poufnych informacji, w tym wiadomości, dokumentów i danych logowania, a także uzyskiwanie dostępu do wybranych funkcji urządzenia.

Ustalenia badaczy wskazują na szczególne zagrożenie dla dziennikarzy i osób pracujących z poufnymi źródłami informacji, ponieważ atak może nastąpić podczas zwykłego korzystania z internetu, bez żadnego świadomego działania ze strony ofiary.

Discover-Tech posługiwała się systemem o nazwie Controlium, który przekształcał mechanizm aukcji reklam internetowych w narzędzie masowego zbierania informacji o użytkownikach.

Każde wyświetlenie reklamy mogło dostarczać firmie dane takie jak adres IP, identyfikator reklamowy urządzenia, informacje o przeglądarce, pliki cookie czy identyfikatory umożliwiające powiązanie aktywności tej samej osoby w różnych aplikacjach i serwisach.

Dzięki temu przedsiębiorstwo mogło tworzyć rozbudowane profile użytkowników, śledzić ich aktywność i wybierać konkretne osoby do dalszej obserwacji.

Confiant przeanalizował około czterech miliardów rekordów związanych z aukcjami reklam. Ustalono, że w ciągu czterech miesięcy reklamy Discover-Tech pojawiły się na niemal 200 tys. różnych stron internetowych i aplikacji mobilnych działających na Androidzie oraz iOS.

Według badaczy infrastruktura firmy obsługiwała około 10 milionów wyświetleń reklam dziennie.

„Kluczowym odkryciem jest wykorzystanie infrastruktury reklamowej do zaawansowanego przygotowywania ataków, wstępnego wybierania celów i dostarczania złośliwego oprogramowania. Działania te charakteryzowały się wyjątkowym poziomem zaawansowania technicznego, skutecznymi zabezpieczeniami przed przechwyceniem oraz niezwykle precyzyjnym doborem celów” – wskazali eksperci Confiant.

Śledztwo ujawniło również działalność podmiotu nazwanego przez Citizen Lab Dark Cartographer, który wykorzystywał infrastrukturę Discover-Tech do łączenia identyfikatorów reklamowych urządzeń z numerami telefonów ich użytkowników.

Mechanizm ten pozwalał ustalać tożsamość osób, które podczas korzystania z internetu pozostawały pozornie anonimowe. Badacze wykryli także przypadki pozyskiwania danych uwierzytelniających i identyfikatorów użytkowników bezpośrednio ze stron internetowych, również w sytuacjach, w których europejskie przepisy o ochronie danych wymagały wcześniejszej zgody na ich przetwarzanie.

Aktywność Discover-Tech odnotowano również w sieciach wykorzystywanych przez instytucje państwowe, organizacje międzynarodowe, sądy, uniwersytety oraz podmioty związane z obronnością.

Wśród nich znalazła się infrastruktura biura premiera Armenii. Badacze wykryli również kierowanie wybranych urządzeń do serwerów Candiru w dziewięciu państwach.

Największy udział, wynoszący 56 proc. zaobserwowanej aktywności tego rodzaju, przypadł Belgii. Kolejne przypadki odnotowano między innymi w Zjednoczonych Emiratach Arabskich, Arabii Saudyjskiej, Bahrajnie, Meksyku i Hiszpanii.

Eksperci zastrzegają, że sama obecność reklam Discover-Tech w sieciach instytucjonalnych nie oznacza, iż doszło do skutecznego włamania. Potwierdza natomiast zasięg infrastruktury, którą można było wykorzystywać do rozpoznawania potencjalnych celów.

Po ujawnieniu wyników dochodzenia największe podmioty branży reklamowej rozpoczęły blokowanie dostępu Discover-Tech do swoich platform.

Google zakończyło współpracę z izraelskim przedsiębiorstwem i uniemożliwiło mu korzystanie z własnej infrastruktury reklamowej. Podobne działania podjęły Beeswax, Vungle i Eskimi, natomiast europejska organizacja branżowa IAB Europe wykluczyła firmę ze swojego systemu.

Źródła:

Citizen Lab
Confiant
Middle East Monitor