Реклама Discover-Tech доставляла шпионское ПО Candiru без действий пользователя
Citizen Lab и Confiant описали AdFection, технику доставки шпионского ПО через вредоносную рекламу без взаимодействия с пользователем. По данным исследователей, реклама Discover-Tech доставила шпионское ПО Candiru как минимум на 45 устройств Al Jazeera в период с 2024 по 2025 год.
Платформа Controlium компании Discover-Tech могла нацеливаться на пользователей по идентификатору мобильной рекламы, идентификатору cookie или IP-адресу. После победы в аукционе рекламный баннер загружал скрипт, обращавшийся к серверу NOAS компании Discover-Tech. Сервер анализировал устройство и для отобранных целей возвращал JavaScript. Тот загружал эксплойт для браузера либо перенаправлял пользователя через валидатор Candiru на сервер управления. Для заражения требовалось только отображение рекламы.
Исследователи проанализировали около четырёх миллиардов записей о ставках за период с марта по июнь 2026 года и обнаружили вредоносные теги скриптов NOAS примерно в 719 миллионах ставок. Эти ставки охватывали более 70 000 мобильных приложений и 120 000 веб-сайтов. За пятимесячный период в 2026 году исследователи выявили 3,6 миллиона подходящих пользователей и зафиксировали показы рекламы в сетях государственных, военных и критически важных инфраструктурных объектов.
Извлечённую с скомпрометированного устройства Windows DLL исследователи отнесли к группе Candiru. Она использовала перехват COM для закрепления, XOR-обфускацию и проверяла соединение с доменами Google и Microsoft. В образце обнаружили захардкоженные домены управления fearevolve.com и jobmarcher.com. Исследователи также идентифицировали 305 доменов валидаторов Candiru, связанных с 319 IP-адресами, за период с августа 2022 по июль 2026 года.
Среди задокументированных техник перечислены теневая компрометация, эксплуатация уязвимостей на стороне клиента, обфускация и управление по веб-протоколам. Авторы предупреждают, что извлечённые индикаторы компрометации могут устареть или быть переназначены, поэтому перед использованием в операционных целях их необходимо верифицировать.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
