Forscher verbinden israelische Werbeagentur mit Zero-Click-Spionageangriffen

Forscher des Citizen Lab haben eine neue Methode zur Bereitstellung von Söldner-Spionagesoftware identifiziert und das israelische WerbeTechnologie-Unternehmen Discover-Tech mit Zero-Click-Angriffen auf Geräte des internationalen Nachrichtennetzwerks Al Jazeera in Verbindung gebracht. Der am 15. Oktober 2026 veröffentlichte Bericht beschreibt eine Technik, die die Forscher "AdFection" nennen, bei der gezielte Werbung als Pipeline für die Installation von Spionagesoftware ohne Nutzerinteraktion dient.

Die AdFection-Technik

Laut Citizen Lab betreibt Discover-Tech eine Plattform namens Controlium, die es Kunden ermöglicht, Internetnutzer zu deanonymisieren und zu fingerprinten. Wenn einem gezielten Nutzer eine Anzeige angezeigt wird, kann der Code der Anzeige automatisch JavaScript ausführen, das Spionagesoftware installiert. Dieser Prozess erfordert keinen Klick oder keine Interaktion vom Opfer und unterscheidet sich damit von herkömmlichen Phishing- oder Malware-Verteilungsmethoden.

"Das [Online-Werbe-]Ökosystem wird in großem Maßstab weaponisiert, um Millionen von Nutzern zu profilieren und dann Ziele stillschweigend mit Zero-Click-Söldner-Spionagesoftware zu infizieren", heißt es in dem Bericht.

Die Forscher geben an, dass mindestens 45 Geräte innerhalb von Al Jazeera bei Angriffen in den Jahren 2024 und 2025 ins Visier genommen wurden. Die bei diesen Vorfällen eingesetzte Spionagesoftware wird Candiru zugeschrieben, einem Söldner-Überwachungsanbieter, der sich in "Integrity Labs" umbenannt hat. Die Angriffskette umfasst zunächst die Kontaktaufnahme des Geräts mit der Discover-Tech-Infrastruktur, gefolgt von einer Verbindung zu einem Candiru-Validierungsserver und schließlich die Einrichtung der Kommunikation mit einem Command-and-Control-(C&C)-Server.

Ausmaß und Reaktion der Branche

Eine Analyse von vier Milliarden Discover-Tech-Gebotsdatensätzen ergab, dass die Anzeigen des Unternehmens auf fast 200.000 eindeutigen Websites und Apps in Dutzenden von Ländern angezeigt wurden. Der Bericht stellt fest, dass Discover-Tech bis Anfang Oktober 2026 auf Listen von "zertifizierten" und "zugelassenen" Anbietern geführt wurde, die von Google und der Werbebranche-Vereinigung IAB Europe gepflegt werden.

Nach der Offenlegung dieser Erkenntnisse ergriffen mehrere große Werbeanbieter Maßnahmen. Google beendete den Zugang von Discover-Tech zu seinen Ad-Exchange-Plattformen, und IAB Europe entfernte das Unternehmen aus seinen Registern. Beeswax entfernte Discover-Tech von seiner Ad-Buying-Plattform, während Vungle (Liftoff) den Zugang bis zur Überprüfung pausierte. Eskimi blockierte die Konten und Domains des Unternehmens.

Wolfie Christl, ein Forscher beim Citizen Lab, erklärte: "Es ist katastrophal, dass große Werbeanbieter und Organisationen offenbar weder in der Lage waren, die bösartigen Werbeoperationen des Unternehmens zu erkennen noch zu verhindern, und das über Jahre hinweg."

Verbindungen zu anderen Überwachungsanbietern

Die Untersuchung deckte auch Verbindungen zwischen Discover-Tech und anderen Söldner-Überwachungseinheiten auf, darunter Intelos und Bindecy. Intelos wird als Söldner-Firma für Werbeintelligenz (ADINT) beschrieben, während Bindecy als Söldner-Hacking-Unternehmen identifiziert wird. Darüber hinaus identifizierten die Forscher einen separaten Bedrohungsakteur, der als DARK CARTOGRAPHER bezeichnet wird und die Infrastruktur von Discover-Tech nutzt, um Geräte-Werbe-IDs mit Telefonnummern zu verknüpfen, ein Prozess, der Internetnutzer massenhaft deanonymisiert.

Bill Marczak, ein Forscher beim Citizen Lab, wies auf die Bedeutung der Erkenntnisse hin: "Es gab viel Aufsehen darüber, dass Online-Anzeigen genutzt werden können, um Ziele mit punktgenauer Präzision zu identifizieren und automatisch zu hacken, aber nun haben wir zum ersten Mal konkrete technische Beweise, die diesen Prozess in Aktion zeigen."

Warum es wichtig ist

Der Bericht hebt strukturelle Schwachstellen im Echtzeit-Gebotssystem (RTB) hervor, das für die Online-Werbung verwendet wird. Da Anzeigen ausführbaren Code enthalten können, können böswillige Akteure das Ökosystem ausnutzen, um bestimmte Personen mit hoher Präzision ins Visier zu nehmen. Das Versagen großer Werbeanbieter und Branchenverbände, diese Operationen über Jahre hinweg zu erkennen, wirft Bedenken hinsichtlich der Sicherheit der digitalen Werbeinfrastruktur für Staaten, den Privatsektor und die Zivilgesellschaft auf. Citizen Lab hat die Regulierungsbehörden aufgefordert, zu untersuchen, ob Discover-Tech und Candiru/Integrity Labs geltende Gesetze verletzt haben.

Quellen (auf Englisch)

• citizenlab.ca: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware - The Citizen Lab
• theguardian.com: Online ads weaponised to deliver ‘zero-click’ spyware, researchers say | Hacking | The Guardian

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.