前情回顾·网络武器的能力上限

安全内参10月16日消息，加拿大多伦多大学公民实验室的研究人员刚刚披露了一种首次遭到真实利用的极端攻击场景：用户在日常使用数字服务、浏览广告时，手机可能在毫无察觉的情况下被植入间谍软件。

研究人员将这类攻击命名为“AdFection”。调查发现，一家在以色列注册的广告公司涉嫌与一家间谍软件公司的服务器建立联系，并利用广告向数十台设备植入侵入性极强的恶意软件。公民实验室表示，这是首次公开披露此类复杂间谍软件通过数字广告感染设备的详细技术证据。

零点击攻击*定向广告=

网络洲际导弹

“零点击”攻击是攻击者梦寐以求的手段，也是受害者面临的灾难性威胁。这类攻击无需目标用户进行任何操作，也不需要用户犯任何错误，就能自动把恶意软件装到设备上。

近年来，少数由高水平黑客实施的复杂“零点击”攻击，往往利用移动通信或即时消息应用中的漏洞感染受害者。不过，攻击者也曾利用庞大而复杂的网络广告生态系统传播恶意软件，有时几乎不需要受害者参与。公民实验室此次发现的“零点击”间谍软件攻击，正好结合了这两类威胁，这也凸显出相关风险有多么严重和紧迫。

公民实验室高级研究员Bill Marczak表示：“AdFection能在特定目标使用应用或浏览互联网时，自动借助雇佣间谍软件发动攻击。受害者不会察觉任何异常，甚至可能根本看不到广告。”

他指出，这类攻击尤其令人担忧，因为普通用户几乎没有有效的自我防护手段，除了尽可能屏蔽各类网站和平台上的广告，几乎没有别的选择。美国国家安全局和中央情报局等情报机构似乎对此早已心知肚明。

公民实验室高级研究员Wolfie Christl表示：“仅仅因为使用了展示广告的网站或应用，设备就可能被植入间谍软件。这种情景堪称噩梦。”

以色列广告公司对半岛电视台

发起零点击攻击

公民实验室的调查发现，2024年至2025年期间，半岛电视台旗下45台设备曾遭到通过广告发起的“零点击”攻击。

研究人员称，这些定向广告由以色列创立的营销公司Discover-Tech投放，传播的间谍软件则被认为来自以色列开发商Candiru。根据公民实验室的分析，遭到感染的设备曾与Discover-Tech的域名通信，随后又连接到与Candiru有关的基础设施。半岛电视台参与了此次调查，并向公民实验室研究人员提供了设备日志，但截至发稿时，该媒体尚未回应置评请求。

Marczak表示：“现代网络广告生态系统的一大特点，就是能向特定用户推送任意个性化内容。这一能力恰好被雇佣间谍软件行业所利用。只要这种架构不发生改变，或者广告公司不认真审核客户身份和资质，类似滥用行为就会继续出现。”

外媒《连线》杂志在报道发表前曾向Discover-Tech及其首席执行官发送电子邮件和消息，但未获回复。美国政府2021年实施制裁后，Integrity Partners据信接管了Candiru的相关资产，该公司同样未回应置评请求。

Discover-Tech遭多家网络广告企业封禁

在与公民实验室及网络安全公司Confiant的研究人员合作并确认Discover-Tech与间谍软件存在关联后，谷歌取消了该公司的广告平台注册资格。

谷歌发言人表示：“我们与公民实验室和Confiant联合调查后，发现Discover-Tech系统性违反我们的政策，因此将其封禁。我们还启用了安全浏览警告，帮助用户在访问与该团伙有关联的网站时获得保护。”

广告行业组织互动广告局（IAB）的欧洲分支机构向《连线》证实，已将Discover-Tech从全球供应商名单（GVL）中暂时移除。IAB Europe表示，此举是在对该公司的相关政策进行审查后作出的。该机构发言人称：“如果有进一步证据证实其与间谍软件有关，这些发现也可能成为将其永久移出全球供应商名单的依据。”

康卡斯特旗下网络广告公司Beeswax的一名发言人在声明中表示：“鉴于Discover-Tech近期的活动以及第三方安全专家的独立核实结果，我们已将其从平台中移除。我们对恶意广告采取零容忍政策。”

Discover-Tech广告平台

已接入约20万网站和APP

用户在网站或应用中看到广告，往往是实时竞价机制运作的结果。这一过程本质上是一场自动化拍卖，广告商通过竞价争取向特定用户展示广告的机会。整个过程通常只持续几毫秒，却可能让广告商收集海量信息，包括用户设备信息、所在位置、浏览历史等。

多年来，这一机制一直带来严重的隐私问题。一些身份和业务不透明的数据经纪商买卖个人信息，执法机构和敌对国家也会购买这些数据，以追踪或锁定特定人员。

公民实验室研究人员表示，Discover-Tech运营着一个名为Controlium的广告平台。广告一旦显示，该平台便可能被用来对设备进行“去匿名化、指纹识别和自动感染”。研究人员估计，数百万台设备曾被引导至Candiru的服务器，并可能在那里被用于用户画像分析。

公民实验室研究人员通过分析Discover-Tech网站上公开的广告竞价记录发现，今年3月至6月期间，超过7万个移动应用和超过12万个网站展示了与该公司有关的广告，其中带有攻击者脚本标签。据研究人员称，多个应用展示的Discover-Tech相关广告数量超过100万条。

研究人员强调，该公司投放的广告并非都被植入了用于传播间谍软件的恶意代码。不过，他们在全球各地与政府及国家安全相关的网络中发现了Discover-Tech广告的展示记录。这些网络包括北约、联合国、欧洲立法机构、澳大利亚关键基础设施运营商，以及挪威和瑞典的军方与政府机构。

网络广告业缺乏针对性监督

过去，通过定向广告传播间谍软件的“零点击”攻击很少被公开披露。公民实验室研究人员认为，这可能是因为网络广告基础设施已深度融入数字生活的方方面面，受到广泛信任，却缺乏有针对性的监督。

Marczak表示：“半岛电视台提供的网络日志，对我们确认此次攻击利用了广告至关重要。如果攻击目标是普通用户的个人设备，就很难获得同等程度的网络监测。例如，用户连接家庭Wi-Fi或使用移动数据时遭到攻击，就属于这种情况。因此，此前鲜有相关报道，很可能主要是因为攻击难以被发现。防御人员只有在正确的时间、正确的位置监测正确的数据，才有可能发现此类攻击。”

数字媒体行业组织Digital Content Next首席执行官Jason Kint谈到了数字广告生态系统无处不在带来的安全威胁。他表示，这类攻击既有现实可行性，也可能造成严重危害。

Kint表示：“尽管这类攻击并不常见，而且技术复杂，但如果听说有人通过广告实施‘零点击’攻击，我不会感到完全意外。任何违背用户预期或削弱人们对开放网络信任的行为，都令人深感担忧。”

参考资料：https://www.wired.com/story/nightmare-scenario-zero-click-spyware-is-infecting-phones-via-targeted-ads/

声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。