Инфраструктура таргетированной онлайн-рекламы использовалась для бескликовой доставки на устройства шпионского ПО Candiru, следует из исследования Citizen Lab. Авторы называют это первым публичным техническим подтверждением такой атаки через рекламу. В 2024–2025 годах атакам подверглись как минимум 45 устройств Al Jazeera; найденный на одном из заражённых компьютеров образец исследователи с высокой уверенностью связали с Candiru.

Для атаки было достаточно показа объявления. Встроенный в него код обращался к серверу рекламной компании Discover-Tech и передавал идентификатор устройства и IP-адрес. Если пользователь был выбран целью, сервер возвращал JavaScript, который направлял устройство дальше по цепочке Candiru. Клик не требовался, а объявление могло загрузиться в фоне.

Масштаб рекламной инфраструктуры не равен числу заражений. В четырёх миллиардах записей о рекламных торгах за четыре месяца исследователи нашли показы Discover-Tech почти на 200 тысячах сайтов и в приложениях в десятках стран. Миллионы устройств связывались с серверами Candiru, вероятно для отслеживания и разведки, однако технически подтверждённый эпизод заражения в отчёте относится к Al Jazeera.

После раскрытия Google прекратила доступ Discover-Tech к своим рекламным платформам, IAB Europe исключила компанию из реестра, Beeswax удалила её, Vungle приостановила доступ, а Eskimi заблокировала аккаунты и домены. По данным Reuters, Discover-Tech и Candiru не ответили на запросы о комментарии.

Ранее dok.news писал, как рекламные идентификаторы и геолокацию использовали для наведения на американских военных без взлома устройств. Новое исследование показывает следующий уровень риска: та же коммерческая инфраструктура может не только выдавать местоположение цели, но и доставлять ей шпионский код в момент показа рекламы.