廣告本身不含惡意程式碼，被選中的裝置才會收到
據 Citizen Lab 10 月 15 日發表的報告，這種被命名為 AdFection 的手法，利用的是網上廣告的即時競價（real-time bidding）機制。網頁或 App 每次要顯示廣告，系統都會把用戶和裝置的資料發給廣告商競投，攻擊者可以藉此替目標建立檔案。以色列公司 Discover-Tech 投放的廣告表面無害，不含任何入侵程式碼，連負責派發的廣告平台也看不出問題。
一旦某部裝置被選中，它收到的就不再是普通廣告，而是一段惡意 JavaScript。瀏覽器或 App 執行這段程式碼後，裝置便被植入間諜軟件，用戶毋須點擊任何東西。報告形容，這是首次在技術上證實有人在真實環境中，透過定向廣告植入零點擊的僱傭間諜軟件。
半島電視台至少 45 部裝置成為目標
報告指，2024 至 2025 年間，國際傳媒半島電視台（Al Jazeera）至少 45 部裝置成為這類攻擊的目標。Citizen Lab 以高度信心判斷，攻擊者經 Discover-Tech 的廣告，把間諜軟件公司 Candiru 的產品植入半島電視台的裝置；研究人員取得的 Candiru 樣本是一個 Windows 程式庫檔案（DLL）。半島電視台同意配合調查，並同意公開具名。
翻查資料，Candiru 在 2021 年 11 月被美國商務部列入實體清單，原因是其間諜軟件被用來針對政府官員、記者和社運人士。報告又指，Candiru 據報現由美國公司 Integrity Labs 持有。
逾 12 萬個網站和 7.5 萬個 App 顯示過這些廣告
Citizen Lab 與廣告安全公司 Confiant 分析了數以十億計的廣告競價紀錄。據《Wired》報道，今年 3 月至 6 月約四個月間，帶有攻擊者程式標籤的廣告出現在以下範圍：
項目 | 數字 |
|---|---|
顯示過這類廣告的網站 | 120,768 個 |
顯示過這類廣告的 Android 及 iOS App | 75,373 個 |
四個月內廣告平台 MyDSP 投得的廣告曝光 | 441,954,291 次 |
今年 1 月至 6 月單一伺服器記錄的「合資格用戶」 | 3,637,213 個 |
報告解釋，「合資格用戶」是被導向準備接收攻擊程式碼的用戶，不等於已被入侵。播過這些廣告的 App 包括 Duolingo、Yahoo Mail、Viber 和 Truecaller，網站則包括 BBC、《紐約時報》、Fox News 和 AccuWeather。報告又指，這些廣告曾在數十個國家的政府網絡，以及北約、聯合國和歐盟機構的網絡上出現。
Discover-Tech 董事和股東與間諜軟件業有關連
Discover-Tech 以廣告公司自居，惟報告稱找不到它經營正當廣告業務的證據。其平台 Controlium 讓間諜軟件公司可以大規模為用戶建立檔案，再向選定目標發送零點擊攻擊廣告，客戶包括 Candiru。
報告指，2020 至 2025 年擔任 Discover-Tech 董事的 Eric Banoun，曾聯合創辦與 NSO Group 關係密切的監控公司 Circles。2020 至 2026 年間，Discover-Tech 的股東之一是一間與 Sara Hamou 有關的公司；Hamou 曾負責管理間諜軟件公司 Intellexa 的企業網絡，因希臘一宗間諜軟件醜聞被希臘法院判囚八年，案件仍在上訴。
Google 切斷合作，Discover-Tech 未有回應
Google 回覆 Citizen Lab 表示，已終止 Discover-Tech 使用其廣告交易平台，並透過 Safe Browsing 向可能接觸攻擊者網域的用戶發出警告。Comcast 旗下 FreeWheel 的廣告平台 Beeswax 在 10 月 13 號回覆指，已把 Discover-Tech 從平台移除；歐洲網絡廣告業組織 IAB Europe 亦已把它從供應商名單剔除。Discover-Tech 和 Candiru 未有在限期前回應查詢。
報告建議政府機構在公務裝置上強制封鎖廣告，並透過裝置管理停用廣告識別碼。報告結論寫道，目前「沒有一貫安全的方法」讓用戶和網絡接觸定向廣告。
No comments yet
提交留言即表示你已閱讀我們的私隱政策。