AdFection: Spyware gelangte über Online-Werbung auf Geräte

Das Citizen Lab der University of Toronto hat nach eigenen Angaben den ersten öffentlich technisch belegten Fall dokumentiert, in dem kommerzielle Spyware über gezielte Online-Werbung ohne Zutun der Opfer auf Geräte gelangte. Die Forscher nennen die Technik AdFection. Für eine Infektion genügte es, dass eine Anzeige auf dem Gerät des Ziels angezeigt wurde, Nutzer mussten weder klicken noch eine Datei öffnen.

„Es gab viele Spekulationen darüber, dass sich Online-Anzeigen nutzen lassen, um Ziele punktgenau zu identifizieren und automatisch zu hacken, aber jetzt haben wir zum ersten Mal konkrete technische Belege, die diesen Prozess in Aktion zeigen.”
Bill Marczak, Forscher am Citizen Lab

Mindestens 45 Geräte bei Al Jazeera

Laut dem Bericht wurden 2024 und 2025 mindestens 45 Geräte beim katarischen Sender Al Jazeera angegriffen. Die Forscher ordnen die Angriffe mit hoher Sicherheit der Spyware des israelischen Herstellers Candiru zu, der inzwischen unter dem Namen Integrity Labs auftritt. Netzwerkprotokolle von Al Jazeera zeigten eine feste Abfolge: Zuerst kontaktierten die Geräte Server des Werbeanbieters, dann einen Prüfserver von Candiru und schließlich einen Steuerungsserver der Spyware. Eine von einem infizierten Rechner gesicherte Datei weist laut Citizen Lab dieselben Merkmale auf wie eine Candiru-Version, die die Forscher 2021 analysiert hatten.

Werbeplattform für gezielte Infektionen

Die Anzeigen kaufte das israelische Unternehmen Discover-Tech, das sich als Werbeagentur präsentiert. Es betreibt laut Citizen Lab eine Plattform namens Controlium, über die Kunden einzelne Nutzer anhand von Werbe-IDs, Browser-Kennungen oder IP-Adressen auswählen können. Wird einem ausgewählten Ziel eine Anzeige ausgespielt, ruft diese Code von einem Server von Discover-Tech ab, der dann Schadcode nachladen kann. Alle anderen Nutzer erhalten eine leere Antwort, ihre Daten werden aber dennoch an das Unternehmen übermittelt. Neben Candiru nennt der Bericht Verbindungen zu den israelischen Firmen Bindecy und Intelos.

Ein Server des Unternehmens enthielt knapp vier Milliarden Datensätze aus Werbeauktionen zwischen März und Juni 2026. Demnach wurden Anzeigen mit dem Nachladecode in 75.373 Android- und iOS-Apps sowie auf 120.768 Websites angezeigt, unter anderem in den Apps Viber, Duolingo, Truecaller und Wetter Online. Die meisten Gebote entfielen auf Nutzer im Jemen, in Pakistan, Montenegro, Brasilien und Mexiko. Anzeigen erschienen laut den Forschern auch in Netzen von Ministerien, Streitkräften, der Nato sowie des Europäischen Parlaments und der EU-Kommission. Eine angezeigte Anzeige belegt laut Citizen Lab jedoch keine Infektion.

Google und IAB Europe ziehen Konsequenzen

Discover-Tech war von 2020 bis 2026 bei Google als zertifizierter Anbieter gelistet und im Transparency and Consent Framework des Branchenverbands IAB Europe registriert, das Einwilligungen nach der DSGVO abbildet. Ausgeliefert wurden die Anzeigen unter anderem über Google, Yandex und die Comcast-Plattform Beeswax. Nach Hinweisen von Citizen Lab haben Google und IAB Europe das Unternehmen Anfang Oktober aus ihren Verzeichnissen entfernt. Google sperrte den Zugang zu seinen Werbebörsen, auch Beeswax, Vungle und Eskimi trennten die Verbindung. Der Bericht erscheint zeitgleich mit einer Untersuchung des Sicherheitsunternehmens Confiant.

(red)