Citizen Lab findet Candiru-Spyware, die über gezielte Werbung ohne Klick ausgeliefert wird

Citizen Lab veröffentlichte diese Woche Erkenntnisse, die es als den ersten öffentlich bestätigten realen Fall von Söldner-Spyware beschreibt, die über gezielte Online-Werbung ausgeliefert wird, ohne dass ein Nutzerklick erforderlich ist. Die Recherche führt Spyware-Infektionen auf mindestens 45 Geräten beim Al Jazeera Media Network, die der Sender zwischen 2024 und 2025 protokollierte, auf Candiru zurück, einen israelischen Anbieter, der angibt, ausschließlich an Regierungen zu verkaufen.

Laut Citizen Lab kaufte eine israelische Firma namens Discover-Tech gewöhnliche Werbeplätze über große Werbenetzwerke und -börsen. Die Anzeigen enthielten eingebetteten JavaScript-Code, der einen Discover-Tech-Server, intern “NOAS“ genannt, kontaktierte, sobald die Anzeige auf einem Gerät gerendert wurde — kein Klick erforderlich. Dieser Server prüfte Signale wie die IP-Adresse des Geräts und Werbe-IDs, um zu entscheiden, ob es einem Zielprofil entsprach. Passende Geräte erhielten zusätzlichen Schadcode; nicht passende Geräte erhielten nichts, was laut Citizen Lab dazu beitrug, dass die Operation länger unentdeckt blieb. Netzwerkprotokolle zeigten Datenverkehr von der Discover-Tech-Infrastruktur zu Candiru-Validierungsservern und dann zur Command-and-Control-Infrastruktur der Spyware. Citizen Lab nennt diese Auslieferungstechnik “AdFection“.

Candirus Windows-Malware, bekannt als DevilsTongue, kann nach der Installation Dateien, Zugangsdaten und Nachrichten stehlen. Die Tools des Anbieters wurden zuvor in Angriffen gegen Journalisten, Aktivisten und Politiker unter Ausnutzung von Windows- und Chrome-Zero-Day-Exploits dokumentiert. Citizen Lab stellte eine bösartige DLL-Datei von einem kompromittierten Windows-System sicher und schrieb sie Candiru mit hoher Zuversicht zu, basierend auf Überschneidungen bei Infrastruktur und Code mit zuvor erfassten Proben. Die Firma beschreibt Discover-Techs “Controlium“-Plattform zudem als eine, die es Kunden ermöglicht, bestimmte Geräte zu zielen und Nutzer zu profilieren, zu deanonymisieren und per Fingerprinting zu identifizieren, und erklärt, dass Discover-Tech mit mehreren Spyware-, Hacking- und Werbeanbietern über Candiru hinaus zusammenarbeitet.

Der Umfang der Werbeoperation ist das, was dies von einem eng begrenzten Hack unterscheidet: Allein zwischen März und Juni 2026 platzierte sie 3,77 Milliarden Gebote und gewann 442 Millionen Werbeauktionen, wobei Skripte mit den Tags des Angreifers in über 75.000 Mobil-Apps und über 120.000 Websites auftauchten. Citizen Lab betont, dass diese Zahlen Werbe-Exposition beschreiben, keine bestätigten Infektionen, schätzt aber, dass Hunderttausende bis Millionen Nutzer irgendwann durch von Discover-Tech platzierte Anzeigen zur Angriffsinfrastruktur geleitet wurden.

Nach Citizen Labs Offenlegung entfernten Google, IAB Europe, Beeswax, Eskimi und Vungle die betreffenden Werbekonten und blockierten den Zugang zu den beteiligten Domains. Wie zuerst von BleepingComputer berichtet, erinnert dieser Fall an eine ähnliche werbebasierte Auslieferungsmethode namens “Aladdin“, die Amnesty International Ende 2025 für die Predator-Spyware dokumentierte — wobei sich jene frühere Erkenntnis auf durchgesickerte interne Dateien statt auf beobachtete Live-Angriffe stützte, was diesen Fall zum ersten Mal macht, dass die Technik durch realen Datenverkehr bestätigt wurde.