Twój telefon można zainfekować bez klikania. Wystarczy obrazek na ekranie

Reklamy wyświetlane na stronach internetowych i w aplikacjach mogą służyć nie tylko do śledzenia użytkowników, ale również do infekowania ich urządzeń szpiegującym oprogramowaniem. Badacze z Citizen Lab opisali kampanię, w której za pomocą specjalnie przygotowanych reklam atakowano telefony bez konieczności kliknięcia w jakikolwiek element.

To pierwszy tak szczegółowo udokumentowany przypadek wykorzystania infrastruktury reklamowej do rozpowszechniania zaawansowanego oprogramowania szpiegowskiego. Ataki nazwane AdFection wykryto podczas analizy urządzeń należących do dziennikarzy katarskiej stacji Al Jazeera. W latach 2024-2025 celem kampanii było 45 urządzeń. Według badaczy za operację odpowiadała infrastruktura powiązana z izraelską firmą reklamową Discover-Tech oraz producentem oprogramowania szpiegowskiego Candiru.

Wystarczy wyświetlenie reklamy

Najbardziej niepokojący jest sposób przeprowadzania ataków. Wykorzystują one technikę określaną jako zero-click, która pozwala przejąć kontrolę nad urządzeniem bez jakiejkolwiek interakcji ze strony ofiary. Użytkownik nie musi otwierać podejrzanego załącznika, klikać w link ani instalować aplikacji z nieznanego źródła.

Według Citizen Lab platforma reklamowa Controlium, obsługiwana przez Discover-Tech, umożliwiała identyfikowanie urządzeń, zbieranie informacji o nich i automatyczne uruchamianie mechanizmów infekcji. Analiza logów urządzeń Al Jazeery wykazała połączenia z domenami powiązanymi z firmą reklamową, a następnie z infrastrukturą przypisywaną Candiru.

Blokowanie reklam ogranicza część ryzyka, ale nie daje pełnej ochrony.

Skala działania systemu była znacznie większa niż liczba zidentyfikowanych ofiar. Badacze szacują, że miliony urządzeń kierowano na serwery Candiru, gdzie mogły być profilowane. Z kolei między marcem a czerwcem tego roku reklamy powiązane z Discover-Tech, zawierające znaczniki skryptów atakujących, wyświetlano w ponad 70 tys. aplikacji mobilnych i 120 tys. witryn internetowych.

Na szczęście nie oznacza to jeszcze, że każda z tych reklam infekowała urządzenia. Citizen Lab odnotował jednak ich obecność również w sieciach powiązanych z instytucjami rządowymi i bezpieczeństwem narodowym, w tym z NATO i ONZ.

Problem większy niż pojedyncza kampania szpiegowska

Mechanizm wykorzystuje sposób działania reklam internetowych - w ramach aukcji w czasie rzeczywistym, czyli real-time bidding, systemy reklamowe analizują informacje o urządzeniu, lokalizacji i aktywności użytkownika, aby dopasować wyświetlane treści. Rozbudowany ekosystem pośredników sprawia, że reklama może przechodzić przez wiele podmiotów, zanim trafi na ekran odbiorcy.

Platforma reklamowa Controlium umożliwiała identyfikowanie urządzeń, zbieranie informacji o nich i automatyczne uruchamianie mechanizmów infekcji.

Bez dokładnego monitorowania ruchu sieciowego wykrycie takiego ataku może być bardzo trudne. Na prywatnym telefonie, korzystającym z domowego Wi-Fi lub transmisji komórkowej, użytkownik najprawdopodobniej nie zauważy żadnych niepokojących objawów.

Przypadek AdFection pokazuje, że nawet osoba, która nie otwiera podejrzanych wiadomości i nie instaluje przypadkowych aplikacji, może znaleźć się w zasięgu ataku wykorzystującego legalnie funkcjonującą infrastrukturę reklamową. Blokowanie reklam ogranicza część ryzyka, ale nie daje pełnej ochrony. Wychodzi też na to, że mechanizm stworzony do personalizowania reklam może być narzędziem do precyzyjnego namierzania wybranych osób.