Online hirdetéseket használtak kereskedelmi kémprogramok célba juttatására úgy, hogy az áldozatoknak nem kellett hivatkozásra kattintaniuk, fájlt letölteniük vagy telepítést jóváhagyniuk – állapította meg a Torontói Egyetem Citizen Lab kutatócsoportja.
A kutatók AdFection néven írják le a módszert. Vizsgálatuk során az Al Jazeeránál olyan fertőzéseket tártak fel, amelyeket az izraeli megfigyeléstechnológiai vállalat, a Candiru kémprogramjához kapcsoltak.
A jelentés a Discover-Tech hirdetéstechnológiai céget olyan közvetítőként azonosítja, amely összekapcsolta a kereskedelmi hirdetési infrastruktúrát a kémprogramos műveletekkel.
Az október 15-én közzétett vizsgálatot a Citizen Lab a célzott hirdetéseken keresztül terjesztett, kattintást nem igénylő kereskedelmi kémprogramok első nyilvános technikai igazolásaként mutatja be. Citizen Lab: az AdFection vizsgálata
A megállapítások nehéz kérdés elé állítják az érzékeny kommunikáció védelméért felelős szervezeteket: hogyan védjék meg munkatársaikat, ha a támadás a hétköznapi böngészés közben automatikusan betöltődő tartalmon keresztül is elindulhat?
Az egyedi célpontokon messze túlérő hirdetési hálózat
A Citizen Lab szerint a Discover-Tech Controlium platformja az eszközök azonosítását, profilozását és célzott megfertőzését is támogatta.
Közel négymilliárd hirdetési licitrekord elemzése azt mutatta, hogy a vállalat hirdetései egy négy hónapos időszak alatt csaknem 200 ezer webhelyen és mobilalkalmazásban jelentek meg.
Több millió eszköz lépett kapcsolatba a Candiruhoz kötött infrastruktúrával, feltehetően felderítés és követés céljából. Ez nem jelent több millió igazolt kémprogram-fertőzést: a hirdetés megjelenése, a profilozás, a sérülékenység kihasználására tett kísérlet és a sikeres kompromittálódás külön szakaszok.
A kutatók szerint 2024-ben és 2025-ben legalább 45 Al Jazeera-eszköz vált a támadások célpontjává.
A jelentés arról is beszámol, hogy a Google megszüntette a Discover-Tech hozzáférését hirdetési piactereihez, az IAB Europe eltávolította a céget szolgáltatói nyilvántartásából, a Beeswax pedig kizárta a hirdetésvásárlási platformjáról. Citizen Lab: célpontok, elérés és szolgáltatói intézkedések
Hogyan válik egy hirdetés a támadás kézbesítési csatornájává?
A hirdetésbiztonsággal foglalkozó Confiant kapcsolódó technikai vizsgálata bemutatja, hogyan rejthet el egy hétköznapinak látszó hirdetés összetett támadási folyamatot.
A Confiant egy hirdetés működését olyan parancsfájlok sorozatáig követte vissza, amelyek adatokat gyűjtöttek az eszközről, majd titkosított kommunikációs csatornát hoztak létre további utasítások fogadására.
A keretrendszer a további kód elküldése előtt felmérhette a böngésző és az eszköz jellemzőit. Ez a szelektív kézbesítés lehetővé teszi az üzemeltető számára, hogy előbb megvizsgálja a látogatót, és csak ezután döntsön egy érzékenyebb támadási összetevő továbbításáról.
A kutatók több mint ezer webhelyhez tartozó domainen olyan adatgyűjtést is megfigyeltek, amely az oldalak saját sütijeit érintette. Az elérhető adatok köre függött attól, hogyan ágyazták be a hirdetést, és milyen böngészővédelmi korlátozások érvényesültek.
A Confiant eredményeinek fontos korlátja, hogy a vállalat nem rögzített teljes, valós támadásban használt exploitláncot. Elemzése a célzást és a támadási kód kézbesítését támogató keretrendszert dokumentálta; a Candiruhoz kötésben a Citizen Lab vizsgálatára támaszkodott. Confiant: a hirdetési infrastruktúra felhasználása megfigyelésre és kémprogramok kézbesítésére
Egy hirdetésen belüli JavaScript-kód futtatása önmagában nem azonos egy telefon feletti ellenőrzés megszerzésével. A sikeres kompromittálódáshoz az eszköz biztonsági határait is át kell lépni.
A védők számára ebből az következik, hogy egy banner megjelenésének vagy célhivatkozásának ellenőrzése csak részleges képet ad. A lényeges tevékenység már a háttérben indított kérésekkel megtörténhet, mielőtt bárki kapcsolatba lépne a hirdetéssel.
Korábbi kiszivárgások már megmutatták ezt az irányt
A hirdetéseken alapuló kémprogram-kézbesítés korábban egy másik megfigyeléstechnológiai vállalat, az Intellexa vizsgálatában is megjelent.
Az Amnesty International Security Lab 2025 decemberében közölt elemzést olyan kiszivárgott Intellexa-anyagokról, amelyek egy Aladdin nevű kézbesítési rendszert írtak le. A belső dokumentumok szerint a megoldás egy rosszindulatú hirdetés megjelenítésével indíthatta el a fertőzést a célpont telefonján.
Az anyagok nyilvános IP-címre épülő célzást ismertettek. Az Amnesty értékelése szerint az Aladdin 2024-ben már működő Predator-telepítésekben is támogatott kézbesítési mód volt, a hirdetésalapú fertőzés fejlesztése pedig 2025-ben is folytatódott.
Az Amnesty a támadói szempontból fontos előnyt is megmagyarázta. A közvetlenül elküldött rosszindulatú hivatkozást a címzett felismerheti, jelentheti és megoszthatja a vizsgálókkal. Az automatikusan betöltődő hirdetés viszont elveheti ezt a lehetőséget: a célpontnak nem feltétlenül lesz olyan üzenete vagy megkeresése, amelyből felismerhetné a támadást. Amnesty Security Lab: az Intellexa belső működésének feltárása
Ezek a megállapítások az Intellexára és a Predatorra vonatkoznak. Nem bizonyítják, hogy részt vettek volna az újonnan bemutatott Candiru-kampányban.
A vizsgálatok együtt azonban megmutatják, miért keltett érdeklődést a hirdetési infrastruktúra a kereskedelmi megfigyelési iparág több szereplőjénél is.
A Candiru korábbi esetei a kézbesítési módszerek változását mutatják
A Candiru neve korábbi, böngészők sérülékenységeinek kihasználásával és a civil társadalom elleni támadásokkal foglalkozó kutatásokban is megjelent.
A Microsoft 2021 júliusában tett közzé vizsgálatot egy SOURGUM néven követett támadótechnológiai beszállítóról, amelyet a Citizen Lab Candiruként azonosított. A Microsoft szerint a hozzá kapcsolódó kártevővel több mint száz embert céloztak meg, köztük újságírókat, politikusokat, kutatókat, nagykövetségi dolgozókat, emberi jogi aktivistákat és másként gondolkodókat.
A vizsgálat a DevilsTongue nevű kártevőt és két Windows-jogosultságemelési sérülékenységet, a CVE-2021-31979 és CVE-2021-33771 hibát azonosította. Ezekhez 2021 júliusában jelent meg javítás.
A Microsoft böngésző- és operációsrendszer-sérülékenységeket összekapcsoló támadásokat írt le. A böngészőt célzó exploitokat a jelek szerint üzenetküldő alkalmazásokban továbbított, egyszer használatos hivatkozásokkal juttatták el az áldozatokhoz. Microsoft: a SOURGUM és a DevilsTongue vizsgálata
Ezeket a történelmi sérülékenységeket nem szabad az AdFection során kihasznált hibákkal azonosítani.
Jelentőségük a támadások felépítésében rejlik: a kémprogram telepítése több lépcsőből állhat, a kezdeti böngésző-hozzáféréstől a magasabb jogosultságok megszerzésén át a megfigyelőszoftver elhelyezéséig. Ha megváltozik, hogyan jut el a kezdeti tartalom az eszközre, a támadás kevésbé észrevehetővé válhat annak tulajdonosa számára.
A feltört webhelyektől a megvásárolt hirdetési felületekig
Egy másik előzményt az ESET 2021. novemberi, stratégiai webhely-kompromittálásokról szóló vizsgálata tárt fel.
Az ESET főként közel-keleti médiaszervezetekhez, kormányzati szervekhez és más intézményekhez kapcsolódó webhelyek elleni támadásokat dokumentált. A webhelyek közvetítő szerepet töltöttek be a kiválasztott látogatók elérésében; nem feltétlenül maguk voltak a támadók végső célpontjai.
A beillesztett parancsfájlok információkat gyűjtöttek a látogatók böngészőjéről, operációs rendszeréről és földrajzi helyéről. Az ESET Candiruhoz vezető kapcsolatokat azonosított, és úgy értékelte, hogy bizonyos látogatók valószínűleg böngésző-exploitokat kaptak. ESET: stratégiai webhely-kompromittálások és Candiru-kapcsolatok
Az összehasonlítás megvilágítja a hirdetési kézbesítés jelentőségét. Egy hagyományos, úgynevezett watering hole támadás olyan webhely kompromittálására épít, amelyet a célpont várhatóan felkeres.
A hirdetésterjesztési infrastruktúrához való hozzáférés ezzel szemben sok különböző helyen teheti megjeleníthetővé a támadó által irányított tartalmat, csökkentve az egyetlen feltört webhelytől való függést.
Ez a kézbesítési módszerek elemző összehasonlítása. Nem bizonyítja, hogy a hirdetéseket megjelenítő valamennyi webhelyet feltörték, vagy hogy azok üzemeltetői tudatosan részt vettek a műveletben.
A következmények az eszköz tulajdonosán túl is terjedhetnek
Különösen nagy a tét, amikor a megfigyelt személy kommunikációja másokról is érzékeny információkat tartalmaz.
Az Amnesty Intellexa Leaks-kutatása a kémprogramok tágabb problémáját a magánélet, a véleménynyilvánítás szabadsága és az emberi jogok veszélyeztetésével kapcsolta össze.
A szervezet újságírókat, aktivistákat és jogvédőket érintő folyamatos támadásokról számolt be. Ezek között szerepelt egy 2025-ös Predator-támadási kísérlet is, amely egy pakisztáni, Beludzsisztán tartományból származó emberi jogi ügyvédet célzott.
Az Amnesty a beszállítók ügyféloldali megfigyelőrendszerekhez való hozzáférését és a visszaéléseket lehetővé tevő termékek gyártóinak felelősségét is vizsgálta. Amnesty International: az Intellexa Leaks emberi jogi vonatkozásai
Egy szerkesztőség esetében a lehetséges következmények közé tartozhat a bizalmas források felfedése. Egy vállalatnál érzékeny tárgyalások vagy belső kommunikáció kerülhet veszélybe.
Ezek a végponti megfigyelésből következő kockázatok, nem annak állításai, hogy az AdFection-vizsgálatban ezeket a konkrét károkat igazolták.
A védelemhez több kell az óvatos kattintásnál
Az Apple Lockdown Mode, magyarul Zárt mód funkciója egy példa azokra a védelmi megoldásokra, amelyeket kifejezetten a kifinomult kémprogramos támadások fokozott kockázatának kitett személyek számára terveztek.
A választható üzemmód egyes eszközfunkciókat korlátoz, többek között bizonyos webes technológiákat, üzenetmellékleteket és kéretlen megkereséseket. Az Apple az eszközök frissítését javasolja a bekapcsolás előtt, valamint azt, hogy az érintettek valamennyi támogatott eszközükön alkalmazzák a védelmet.
A korlátozások használhatósági kompromisszumokkal járnak: egyes webhelyek és funkciók másképp működhetnek, vagy elérhetetlenné válhatnak. Az Apple a funkciót annak a viszonylag szűk felhasználói körnek szánja, amelyet különösen célzott és kifinomult támadások fenyegethetnek. Apple: tudnivalók a Lockdown Mode működéséről
Az Apple dokumentációja nem igazolja, hogy a Zárt mód ennek a konkrét kampánynak minden összetevőjét megállítja. A lényeg a támadó számára rendelkezésre álló funkciók korlátozása, a szoftverek naprakészen tartása mellett.
A biztonsági vezetőknek az automatikus tartalombetöltést is a szervezeti kitettség részének kell tekinteniük. A gyanús üzenetek felismerésére irányuló oktatás továbbra is hasznos, de nem lehet az egyetlen védelmi intézkedés egy olyan fenyegetéssel szemben, amely nem kér döntést a felhasználótól.
Az AdFection megállapításai ismét a hirdetési ellátási lánc biztonságára irányítják a figyelmet. Egyúttal előtérbe helyezik azoknak a platformoknak és közvetítőknek a felelősségét, amelyek meghatározzák, kinek a kódja jut el a felhasználók eszközeire, és milyen gyorsan lehet felismerni és megszüntetni a visszaéléseket.
Eredeti cím: New Threat Uses Targeted Ads To Deliver Zero-Click Spyware
