Onlineanzeigen schleusten Candiru spyware per zero-click auf Geräte
Candiru spyware infizierte Geräte bei Al Jazeera über zielgerichtete Onlineanzeigen, ohne dass ein Klick oder eine andere Handlung des Nutzers erforderlich war, wie das Citizen Lab der University of Toronto berichtet. Der schädliche Vorgang begann, sobald eine Anzeige geladen wurde – auch dann, wenn die Platzierung außerhalb des sichtbaren Bereichs einer Seite erschien oder im Hintergrund ausgeführt wurde. Citizen Lab bezeichnet die Fälle als erste öffentliche technische Bestätigung dafür, dass mercenary spyware, also kommerzielle, an Regierungen verkaufte Hacking-Software, über zielgerichtete Werbung reale Geräte erreicht hat.
Die Forscher konnten die installierte spyware von einem Gerät sichern, erhielten jedoch nicht den exploit – den Code, der eine Softwareschwachstelle ausnutzt, um über einen Browser oder eine App ersten Zugriff zu erlangen. Daher wurde die erste Phase des Eindringens anhand der Auslieferungsstruktur und der Netzwerkaktivität rekonstruiert und nicht anhand von sichergestelltem exploit-Code. Citizen Lab schrieb die Angriffe mit hoher Sicherheit Candiru zu, stellte jedoch nicht fest, welche Regierung hinter der Operation stand.
Die Anzeigen wurden von Discover-Tech platziert, einem israelischen Unternehmen, das sich als gewöhnlicher Anbieter digitaler Werbung darstellt. Citizen Lab stellte fest, dass jede Platzierung ein kleines script enthielt, das die advertising ID des Geräts – eine Nummer, mit der ein Smartphone oder Computer zu Werbezwecken erkannt wird – sowie seine IP address, also seine Adresse im Internet, an einen Server von Discover-Tech übermittelte. Dieser Server prüfte, ob das Gerät einem ausgewählten Ziel entsprach. Bei einer Übereinstimmung erhielt der Browser oder die App auszuführenden Code; andere Geräte erhielten nichts. Die schädliche Komponente musste daher nicht in der vom Werbenetzwerk ausgelieferten Anzeige selbst gespeichert sein. Dadurch war eingeschränkt, was diese Netzwerke bei einer Untersuchung der Anzeige erkennen konnten.
Citizen Lab zufolge wurden in den Jahren 2024 und 2025 mindestens 45 Geräte von Al Jazeera ins Visier genommen. Vom Netzwerk bereitgestellte Traffic-Logs zeigten auf infizierten Geräten eine wiederkehrende Abfolge: zunächst eine Verbindung zu einem Werbeserver von Discover-Tech, anschließend ein Kontakt mit einem Candiru screening server und danach mit einem command-and-control server, also einer Infrastruktur, mit der spyware auf einem kompromittierten Gerät gesteuert wird. Al Jazeera sicherte außerdem eine Windows-Programmdatei von einem betroffenen System. Citizen Lab stellte fest, dass sie charakteristische Techniken verwendete, die mit einem Candiru-Tool übereinstimmten, das die Forschungsgruppe 2021 analysiert hatte. Dies stützte die Zuordnung mit hoher Sicherheit.
Die Nachrichtenorganisation war bereits zuvor von einem anderen spyware-Vorfall betroffen. Im Jahr 2020 wurden die iPhones Dutzender ihrer Journalisten mit Pegasus der NSO Group kompromittiert. Bei dieser Operation kam eine andere Infektionsmethode zum Einsatz. Die aktuellen Erkenntnisse betreffen Candiru und den Auslieferungsweg über Werbung und nicht die Fortsetzung dieser früheren Operation.
Discover-Tech war von 2020 bis zum Monat der Offenlegung von Google und dem Branchenverband IAB Europe als zugelassener Werbeanbieter geführt worden. Das Unternehmen wurde 2020 in Israel registriert. Nachdem Citizen Lab seine Erkenntnisse weitergegeben hatte, entfernten Google und IAB Europe das Unternehmen Anfang Oktober aus ihren Anbieterlisten. Google beendete außerdem seinen Zugang zu den Ad Exchanges des Unternehmens, Beeswax entfernte es, Vungle setzte den Zugang während einer Überprüfung aus und Eskimi sperrte seine Konten. Google erklärte gegenüber Reuters, die Entfernung sei wegen systematischer Verstöße gegen Richtlinien erfolgt. IAB Europe verwies auf Verstöße, die bei einem Audit festgestellt worden seien. Comcast, der Eigentümer von Beeswax, erklärte, seine Maßnahme sei aufgrund jüngster Aktivitäten erfolgt.
Candiru wurde 2021 wegen spyware, die gegen Regierungsbeamte, Journalisten und Aktivisten eingesetzt worden war, auf eine Handelssperrliste der Vereinigten Staaten gesetzt. Im Jahr 2025 wurden die Vermögenswerte des Unternehmens von der US-Investmentgesellschaft Integrity Partners gekauft und an ein neues Unternehmen übertragen, das Berichten zufolge Integrity Labs heißt und nicht von den Sanktionen erfasst wird. Discover-Tech, die Eigentümer von Candiru, Al Jazeera und das russische Werbenetzwerk Yandex reagierten nicht auf Anfragen von Reuters. Die Website von Discover-Tech war am Donnerstag weiterhin erreichbar, ohne auf die Untersuchung einzugehen.
Die Werbeoperation hatte eine deutlich größere Reichweite als die bestätigten Fälle. Citizen Lab zufolge gab Discover-Tech zwischen März und Juni 2026 über eine Plattform fast vier Milliarden ad bids ab, also Angebote für die Gelegenheit, eine Anzeige einzublenden. Platzierungen mit dem callback script erschienen in ungefähr 75.000 mobilen Apps und auf 120.000 Websites. Confiant, ein US-Unternehmen für Werbesicherheit, das gemeinsam mit Citizen Lab ermittelte, schätzte das Volumen von Discover-Tech auf etwa zehn Millionen Anzeigen pro Tag.
Citizen Lab beobachtete die Anzeigen in Netzwerken der NATO, der Vereinten Nationen, von Organen der Europäischen Union, von Regierungsstellen in etwa zwei Dutzend Ländern, von Halbleiterherstellern und von Nachrichtenorganisationen. Dies belegt nicht, dass Geräte in diesen Netzwerken infiziert wurden. Es zeigt jedoch die mögliche Reichweite des Systems. Confiant stellte fest, dass die kleine Gruppe von Anzeigen, die das Unternehmen direkt mit Candiru in Verbindung bringen konnte, nur in geringer Zahl geschaltet wurde und überwiegend private und mobile Internetverbindungen erreichte, nicht die sensiblen institutionellen Netzwerke selbst.
Citizen Lab und Confiant veröffentlichten Domains und Dateien, die mit der Kampagne in Verbindung stehen, damit Sicherheitsteams bekannte Infrastruktur blockieren und historische Aufzeichnungen durchsuchen können. Zu den Indicators gehören die Server-Domain mtrtb[.]com von Discover-Tech und der SHA-256-Wert 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8 für die sichergestellte spyware. SHA-256 ist ein digitaler Fingerabdruck, mit dem eine bestimmte Datei eindeutig erkannt werden kann. Der Bericht von Confiant enthält die umfangreichere Liste, einschließlich der command-and-control server. Sicherheitsteams können außerdem nach der gemeldeten Verbindungsabfolge suchen, sollten dabei jedoch berücksichtigen, dass das Erscheinen einer Anzeige auf einer Website oder in einem Netzwerk allein noch keine Kompromittierung beweist.
Die Erkenntnisse sind für Websitebetreiber relevant, weil legitime Werbeplatzierungen zu einem ersten Auslieferungsweg werden können, ohne dass die Website selbst zwangsläufig kompromittiert wurde. Sicherheitsforscher hatten bereits zuvor davor gewarnt, dass der automatisierte Einkauf von Werbung auf diese Weise missbraucht werden könnte. Im Dezember stellten geleakte Dokumente eine Verbindung zwischen dem spyware-Hersteller Intellexa und einem ähnlichen, werbebasierten Tool namens Aladdin her. Eine tatsächliche Infektion über dieses System war jedoch nicht nachgewiesen worden. Organisationen, die ihre allgemeine Sicherheitslage neu bewerten, können AEU-I für sicherheitsorientierte IT, Infrastruktur und Beratung nutzen.
Für Unternehmen und IT-Teams besteht das zentrale Problem darin, dass gewöhnlich wirkender Werbe-Traffic bei der Untersuchung von Sicherheitsvorfällen möglicherweise berücksichtigt werden muss, insbesondere beim Schutz von Journalisten oder anderen Personen mit erhöhtem Risiko. Updates und eine geringere Belastung durch Werbung von Drittanbietern bleiben sinnvolle Vorsichtsmaßnahmen. Der Bericht nennt jedoch weder den nicht sichergestellten exploit noch belegt er, dass jedes Gerät angegriffen wurde, auf dem diese Anzeigen erschienen.