Исследователи Citizen Lab обнаружили кампанию, в которой как минимум 45 устройств сотрудников Al Jazeera подверглись атаке через обычные рекламные объявления. Образец шпионского ПО, связанного с израильской компанией Candiru, удалось извлечь только с одного устройства. Пользователю не требовалось переходить по ссылке или выполнять другие действия: по реконструкции исследователей, цепочка могла запускаться при загрузке рекламы, а в отдельных случаях — когда объявление подгружалось в фоне и не попадало в область видимости.
Citizen Lab называет это первым публичным техническим подтверждением доставки «наёмного» шпионского ПО на реальные устройства через таргетированную рекламу. Ранее подобный подход фигурировал в утёкших корпоративных документах, однако фактическое применение схемы в атаках публично не демонстрировалось.
При этом исследователи получили образец шпионского ПО лишь с одного устройства и не перехватили эксплойт начального доступа — код, который должен был скомпрометировать браузер или приложение. Выводы о первом этапе атаки основаны на наблюдаемой последовательности сетевых подключений и реконструкции организации кампании, а не на анализе самого эксплойта.
Как работала цепочка
Рекламные объявления размещала Discover-Tech — зарегистрированная в Израиле в 2020 году компания, позиционировавшая себя как агентство цифровой рекламы. Её генеральный директор — Декель Бони.
В каждое объявление был встроен небольшой скрипт. При загрузке он незаметно передавал рекламный идентификатор устройства и IP-адрес на сервер Discover-Tech. По реконструкции Citizen Lab, сервер определял, относится ли устройство к выбранной цели. При положительном результате он предположительно возвращал код следующего этапа атаки, рассчитанный на запуск в браузере или приложении; для остальных устройств дополнительный код не выдавался.
Такая схема позволяла скрыть полезную нагрузку от рекламных сетей. В самом креативе не находился непосредственно вредоносный код, который мог быть выявлен при проверке объявления: следующий этап, согласно выводам исследователей, доставлялся сервером только после проверки цели.
Al Jazeera предоставила Citizen Lab журналы сетевого трафика. На устройствах, подвергшихся атаке, исследователи каждый раз наблюдали одну последовательность: соединение с рекламным сервером Discover-Tech, затем обращение к серверу Candiru, который выполнял проверку устройства, и после этого — к C2-серверу, связанному со шпионским ПО.
Кроме того, Al Jazeera извлекла с одного взломанного устройства файл программы для Windows. В нём нашли характерные приёмы, совпадающие с ранее проанализированным Citizen Lab в 2021 году инструментом Candiru. На этом основании лаборатория с высокой степенью уверенности связала операцию с Candiru.
По оценке Citizen Lab, в 2024 и 2025 годах атаке подверглись как минимум 45 устройств Al Jazeera. Какое именно правительство стояло за операцией, исследователи не установили и не назвали. Сотрудники Al Jazeera уже становились целями: в 2020 году десятки iPhone журналистов были скомпрометированы Pegasus от NSO Group в другой операции с иным способом доставки.
Роль участников рекламной цепочки
Candiru относится к наиболее известным поставщикам шпионского ПО для правительственных заказчиков. В 2021 году США внесли компанию в торговый чёрный список, указав на использование её ПО для слежки за госслужащими, журналистами и активистами.
В 2025 году активы Candiru приобрела американская инвестиционная фирма Integrity Partners. По имеющимся данным, активы перевели в новую компанию Integrity Labs, на которую американские ограничения не распространяются.
Discover-Tech с 2020 года и до октября 2026 года присутствовала в списках одобренных рекламных поставщиков Google и отраслевой ассоциации IAB Europe. После публикации результатов расследования Citizen Lab в начале октября обе организации удалили компанию из своих списков.
Google заблокировала Discover-Tech доступ к рекламным биржам. Beeswax удалила компанию, Vungle приостановила ей доступ для проверки, Eskimi заблокировала связанные аккаунты. Google заявила, что сотрудничала с исследователями и удалила Discover-Tech за «систематическое нарушение» правил. IAB Europe сообщила о приостановке сотрудничества после аудита, выявившего нарушения. Comcast, владеющая Beeswax, подтвердила принятие мер в связи с недавней активностью.
Discover-Tech, владельцы Candiru, Al Jazeera и российская рекламная сеть «Яндекс» не ответили на запросы Reuters. На момент публикации результатов расследования сайт Discover-Tech продолжал работать и не содержал упоминаний о нём.
Для организаций, которым не хватает собственных специалистов для разбора таких цепочек, услуги ИТБ по информационной безопасности могут быть способом подключить внешнюю экспертизу к проверке журналов, рекламного трафика и конечных устройств. Это не заменяет внутренний контроль, но позволяет провести ретроспективный поиск при ограниченных ресурсах команды.
Охват рекламы не равен числу заражений
Инфраструктура Discover-Tech использовалась не только в контексте Al Jazeera. По данным Citizen Lab, на одной из платформ компания разместила почти 4 млрд рекламных ставок с марта по июнь 2026 года. Объявления со скрытым кодом обратного вызова появлялись приблизительно в 75 тыс. мобильных приложений и на 120 тыс. сайтах.
Американская компания Confiant, специализирующаяся на безопасности рекламной экосистемы и участвовавшая в расследовании вместе с Citizen Lab, оценила объём трафика Discover-Tech примерно в 10 млн показов рекламы в сутки.
Citizen Lab зафиксировала появление таких объявлений в сетях НАТО, ООН, структур Евросоюза, государственных учреждений примерно двух десятков стран, производителей микросхем и новостных агентств. Однако присутствие объявления в конкретной сети не доказывает заражение пользователей этой сети: оно указывает только на потенциальную широту охвата механизма доставки.
Confiant отдельно установила, что небольшое число рекламных объявлений, которые удалось напрямую связать с Candiru, имело малый объём показов. Они преимущественно доставлялись через домашние и мобильные интернет-подключения, а не непосредственно в конфиденциальные сети организаций.
Для российских организаций в опубликованных данных нет подтверждений атак или заражений в России. Упоминание «Яндекса» ограничивается тем, что компания не ответила Reuters. Тем не менее схема важна как пример адресной доставки через массовую рекламную инфраструктуру: обычный показ объявления мог использоваться для отбора цели и последующего запуска отдельной цепочки эксплуатации.
Что искать в журналах
Citizen Lab и Confiant опубликовали URL и файлы, относящиеся к операции, чтобы специалисты могли блокировать их и проверять собственные логи. В частности, доступен восстановленный образец шпионского ПО со следующим SHA-256:
255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
В качестве домена рекламного сервера Discover-Tech указан:
mtrtb[.]com
Полный набор опубликованных индикаторов включает в том числе серверы управления, связанные с кампанией.
Сам по себе контакт с mtrtb[.]com, рекламный callback или неполная последовательность соединений не подтверждают компрометацию: это может отражать показ рекламы либо проверку цели. При ретроспективном поиске подозрение должно опираться на временно связанную полную последовательность — рекламный сервер Discover-Tech, затем конкретный опубликованный сервер фильтрации Candiru и C2-сервер — а также на артефакты конечной точки.
Имеет смысл проверить журналы браузеров, мобильных приложений, DNS и прокси-систем на устройствах сотрудников, которые могли получать рекламный трафик. Отдельные совпадения следует сопоставлять с полным набором опубликованных индикаторов и данными с конечных устройств.
Исследователи давно предупреждали, что механизмы закупки интернет-рекламы могут использоваться подобным образом. В декабре утёкшие документы связали разработчика шпионского ПО Intellexa с похожим рекламным инструментом Aladdin, но подтверждённых заражений с его помощью тогда не выявили.
Блокировка отдельных доменов и IOC полезна для поиска следов известной операции, но не отменяет контроля рекламных цепочек и подозрительных последовательностей соединений на конечных устройствах. В описанном случае вредоносный этап, согласно реконструкции исследователей, доставлялся только после серверной проверки цели, поэтому отсутствие опасного кода в самом рекламном объявлении не означало отсутствия риска.