Citizen Lab erläutert 'AdFection'-Zero-Click-Spyware, ausgeliefert über Online-Werbung

Forscher der Citizen Lab haben einen Bericht veröffentlicht, der eine Technik beschreibt, die sie „AdFection“ nennen, und die sie als die erste öffentliche Bestätigung von Zero-Click-Mercenary-Spyware darstellen, die über gezielte Online-Werbung ausgeliefert wird. Der am 15. Oktober 2026 veröffentlichte Bericht identifiziert ein israelisches Unternehmen, Discover-Tech, als den Erleichterer dieser Angriffe, die Geräte des Nachrichtennetzwerks Al Jazeera mit Spyware von Candiru infizierten.

Wie AdFection funktioniert

Laut Citizen Lab nutzt der Angriff die Echtzeit-Biet-Infrastruktur (RTB) des Online-Werbe-Ökosystems aus. Wenn ein Benutzer eine Website besucht oder eine App nutzt, findet eine Werbeauktion statt. Wenn Discover-Tech das Gebot gewinnt, wird eine Anzeige an das Gerät ausgeliefert. Die Anzeige enthält ein Skript, das eine Verbindung zu einem Discover-Tech-Server herstellt, der als „NOAS-Server“ bezeichnet wird.

Dieser Server analysiert die IP-Adresse des Benutzers und die Werbe-Identifikatoren. Wenn der Benutzer ein Ziel ist, gibt der Server JavaScript-Code zurück. „Der NOAS-Server entscheidet, offenbar basierend auf einer Kombination aus der Quell-IP-Adresse und den Werbe-Identifikatoren, ob das Ziel berechtigt ist, JavaScript zu erhalten“, heißt es in dem Bericht. Dieser Code kann weitere Skripte laden, was potenziell zu einem Browser-Exploit und der Installation von Spyware führt. Die Infektion erfolgt, ohne dass der Benutzer auf die Anzeige klickt oder eine Datei herunterlädt.

Discover-Tech und Controlium

Citizen Lab identifiziert Discover-Tech als Bindeglied zwischen der Werbeindustrie und Anbietern von Mercenary-Spyware. Das Unternehmen betreibt eine Plattform namens Controlium, die es Partnern ermöglicht, „Geräte zu de-anonymisieren, zu fingerprinten und automatisch zu infizieren, sobald eine Anzeige gerendert wird“. Der Bericht weist darauf hin, dass Discover-Tech bis Anfang Oktober 2026 auf den Listen der „zertifizierten“ und „genehmigten“ Anbieter von Google und IAB Europe geführt wurde.

Die Untersuchung ergab, dass Discover-Tech mit mehreren Überwachungsherstellern zusammenarbeitete, darunter Candiru (umbenannt in Integrity Labs), Bindecy und Intelos. Candiru stand seit 2021 auf der schwarzen Liste der US-Regierung. „Discover-Tech hat das Werbe-Ökosystem seit Jahren genutzt, um vertrauenswürdige Websites und beliebte Apps in eine Zero-Click-Spyware-Auslieferungsplattform zu verwandeln“, sagte Bill Marczak, ein leitender Forscher bei Citizen Lab.

Umfang und Ziele

Die Analyse von vier Milliarden Biet-Datensätzen von Discover-Tech zeigte, dass zwischen März und Juni 2026 die Anzeigen des Unternehmens auf fast 200.000 einzigartigen Websites und Android/iOS-Apps angezeigt wurden. Die Anzeigen erreichten Netzwerke, die mit der NATO, den Vereinten Nationen, der Europäischen Kommission und verschiedenen Regierungsbehörden verbunden sind. Während Citizen Lab Infektionen bei Al Jazeera bestätigte, wurde darauf hingewiesen, dass andere Organisationen möglicherweise profiliert, aber nicht infiziert wurden.

„Das Risiko, dass Ihr Gerät mit Spyware infiziert wird, einfach weil Sie eine Website oder App nutzen, die Anzeigen anzeigt, ist ein Albtraumszenario“, sagte Wolfie Christl, ein leitender Forscher der Citizen Lab. Der Bericht hebt hervor, dass Discover-Tech-Anzeigen auf großen Plattformen wie Yahoo, BBC und der New York Times sowie in Apps wie Duolingo und Grindr erschienen sind.

Reaktion der Branche

Nach der Untersuchung ergriffen große Werbeanbieter Maßnahmen. Google hat Discover-Tech den Zugang zu seinen Werbe-Auktionsplattformen gekündigt. „Nach einer gemeinsamen Untersuchung mit Citizen Lab und Confiant hat Google Discover-Tech von unseren Werbeplattformen blockiert, da es systematisch gegen unsere Richtlinien verstoßen hat“, sagte ein Google-Sprecher. IAB Europe hat Discover-Tech von seiner Global Vendor List ausgeschlossen, und Beeswax hat das Unternehmen von seiner Plattform entfernt.

Warum es wichtig ist

Der AdFection-Bericht zeigt eine signifikante Verschiebung in der Bedrohungslandschaft für digitale Privatsphäre und Sicherheit. Indem Spyware-Anbieter die allgegenwärtige und vertrauenswürdige Infrastruktur der Online-Werbung weaponisieren, können sie Einzelpersonen mit beispielloser Tarnung angreifen. Der Mangel an Benutzerinteraktion, der für die Infektion erforderlich ist, macht traditionelle Schulungen zur Sicherheitsbewusstseinsbildung unwirksam. Der Vorfall unterstreicht strukturelle Mängel in den Überprüfungsprozessen der Ad-Tech-Branche, da Discover-Tech jahrelang innerhalb genehmigter Anbieter-Ökosysteme operierte und dabei Spionage facilitierte. Es wirft dringende Fragen nach der Sicherheit des offenen Webs und dem Bedarf an strengerer regulatorischer Aufsicht über Ad-Tech-Vermittler auf.

Quellen (auf Englisch)

• citizenlab.ca: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware - The Citizen Lab
• wired.com: ‘Nightmare Scenario’: Zero-Click Spyware Is Infecting Phones via Targeted Ads | WIRED
• ft.com: New ‘zero-click’ spyware hacked phones using targeted ads
• shattered.io: Zero-Click Spyware Ads: Citizen Lab's AdFection Report
• finance.biggo.com: Zero-Click Spyware Delivered Through Online Ads Infected Al Jazeera Devices, Researchers Say — BigGo Finance
• gigazine.net: A zero-click attack called 'AdFection,' which infects users with spyware simply by displaying online advertisements, has been confirmed. What was the attack method used by the Israeli advertising company? - GIGAZINE

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.