AdFection: napad se lahko začne že s prikazom oglasa
Raziskovalci Citizen Lab so razkrili AdFection, način izvajanja ciljnih napadov prek spletnih oglasov brez uporabnikovega klika. Pri Al Jazeeri so potrdili okužbe z vohunsko opremo Candiru, najmanj 45 naprav pa je bilo tarča napadov.
Spletni oglasi niso vedno zgolj slike ali videoposnetki. Za njihov prikaz se lahko v brskalniku ali aplikaciji samodejno izvaja programska koda, povezana z merjenjem prikazov in oglaševalskimi sistemi. Prav to lastnost so po raziskavi laboratorija Citizen Lab z Univerze v Torontu zlorabili ponudniki komercialne vohunske programske opreme. Raziskava, objavljena 15. oktobra 2026, prvič javno tehnično potrjuje uspešno okužbo z najemniško vohunsko opremo, dostavljeno prek ciljnega spletnega oglasa brez uporabnikovega klika.
Kako poteka napad brez klika?
AdFection združuje natančno ciljanje oseb z običajno infrastrukturo za zakup oglasnega prostora. Ko uporabnik odpre spletno mesto ali aplikacijo, oglaševalska dražba v delčku sekunde izbere oglas, ki se bo prikazal. Pri obravnavanih oglasih je vdelana koda JavaScript vzpostavila stik s strežnikom podjetja Discover-Tech in mu posredovala podatke, uporabne za prepoznavanje naprave. Strežnik je nato odločal, ali gre za posebej izbrano tarčo napada.
Večina ljudi, ki so videli tak oglas, ni prejela napadalne kode. Neizbranim napravam strežnik praviloma ni vrnil dodatnega programa, medtem ko je lahko za določeno tarčo sprožil naslednji korak napada. Oglas je lahko deloval tudi v ozadju, brez opaznega opozorila. Zato ni bilo treba odpreti povezave, prenesti datoteke ali potrditi namestitve.
Takšen način dostave napadalne kode sam po sebi še ne pomeni uspešne okužbe naprave. Za preboj zaščite brskalnika oziroma operacijskega sistema so potrebne dodatne napadalne zmožnosti. Raziskovalci celotne verige izkoriščanja niso pridobili, zato niso določili vseh uporabljenih ranljivosti in niso objavili univerzalnega popravka za AdFection.
Kaj je bilo potrjeno pri televizijski mreži Al Jazeera?
Citizen Lab je analiziral napade na naprave medijske mreže Al Jazeera v letih 2024 in 2025. Najmanj 45 naprav je bilo tarča napadov, raziskovalci pa so z visoko stopnjo zaupanja potrdili okužbe z vohunsko programsko opremo podjetja Candiru, danes znanega tudi pod imenom Integrity Labs. To ne pomeni, da je bila okužena vsaka od najmanj 45 ciljnih naprav. Analiza temelji na omrežnih dnevnikih in vzorcu škodljive kode, pridobljenem z ene od kompromitiranih naprav.
Pri okuženih napravah so raziskovalci ugotovili zaporedje povezav: najprej z infrastrukturo Discover-Tech, nato s Candirujevim strežnikom za preverjanje naprave in nazadnje s strežnikom za upravljanje vohunske opreme. Pridobljena datoteka DLL za Windows je vsebovala tehnične značilnosti, povezane s predhodno raziskanim Candirujevim orodjem. Takšna kombinacija dokazov je bistveno močnejša od ugotovitve, da se je na neki napravi zgolj pojavil sumljiv oglas.
Gre za ciljno usmerjeno vohunjenje, primerljivo po namenu, vendar ne po potrjeni tehnologiji, s prej dokumentiranimi napadi z vohunsko opremo Pegasus. Napadalčeva identiteta oziroma naročnik posameznih napadov na Al Jazeero v raziskavi ni bil zanesljivo ugotovljen.
Kako velika je bila oglaševalska mreža?
Raziskava razkriva mnogo širši doseg oglaševalske infrastrukture od posameznih potrjenih okužb. V štirih mesecih, od marca do junija 2026, so raziskovalci analizirali približno 3,77 milijarde ponudb za oglasni prostor, ki jih je oddala platforma MyDSP podjetja Discover-Tech. Po zbranih podatkih so bili oglasi z napadalčevimi skriptnimi oznakami prikazani v 75.373 mobilnih aplikacijah in na 120.768 spletnih mestih. Takšni podatki govorijo o dosegu oglasov, ne o številu napadenih ali okuženih uporabnikov.
Oglasi so dosegli tudi omrežja evropskih institucij, med njimi Evropskega parlamenta, Evropske komisije in Generalnega sekretariata Sveta EU, pa tudi omrežja, povezana z Natom in Združenimi narodi. Zaznan prikaz oglasa v teh omrežjih ne dokazuje, da je bila naprava tarča napada ali da je prišlo do okužbe. Raziskovalci kljub temu opozarjajo, da lahko takšna infrastruktura omogoča zbiranje identifikatorjev, profiliranje in pripravo poznejših ciljnih napadov.
Discover-Tech je bil več let uvrščen med odobrene ponudnike v večjih oglaševalskih sistemih. Na podlagi ugotovitev preiskave sta ga Google in IAB Europe v začetku oktobra 2026 odstranila s svojih seznamov, Google pa mu je ukinil dostop do oglasnih borz. Primer se razlikuje od običajnih finančnih prevar prek spletnih oglasov, pri katerih mora uporabnik praviloma obiskati lažno spletno stran ali vnesti osebne podatke.
Kaj odkritje pomeni za uporabnike?
Raziskava ne navaja potrjenih okužb slovenskih uporabnikov in ne dokazuje množičnega širjenja vohunske opreme prek oglasov. Dokumentirani primeri so povezani s posebej usmerjenimi napadi, zato za večino uporabnikov niso potrebni posebni ukrepi. Smiselno je še naprej redno posodabljati operacijski sistem in brskalnik, po želji uporabljati preverjen blokator oglasov ter omejiti oglaševalsko sledenje. Ti ukrepi ne zagotavljajo popolne zaščite pred ciljnimi napadi, vendar dopolnjujejo običajna priporočila za varno uporabo naprav. Primer predvsem opozarja na pomen nadzora nad oglaševalskimi ponudniki in kodo, ki se prek njihovih sistemov izvaja na napravah uporabnikov.
Povezane vsebine
- Android Intrusion Logging: nova zaščita pred vohunsko programsko opremo
- Microsoft popravil kritično ranljivost v Outlooku brez klika
- Kritična ranljivost Android brez uporabnikovega klika
- Izgubljen telefon lahko ogrozi poslovne sisteme
Kibernetska varnost – sveže novice
