Citizen Lab 追踪到半岛电视台的零点击 Candiru 间谍软件感染源于定向在线广告

多伦多大学研究机构 Citizen Lab 周四表示，向政府出售间谍软件的以色列厂商 Candiru，通过普通在线广告感染了半岛电视台新闻网络的设备，此类攻击无需用户点击或进行任何其他操作。

隐藏的攻击代码在广告加载到屏幕上的瞬间运行，在某些情况下，广告在屏幕外、后台加载。

Citizen Lab 表示，这是首次公开的技术确认，证明雇佣间谍软件（即出售给政府的黑客工具）已通过定向广告到达真实设备。该方法此前曾从泄露的公司文件中被描述过，但从未在实时攻击中展示。

研究人员从一台设备中恢复了间谍软件本身，但未能恢复用于侵入浏览器或应用以安装它的漏洞利用代码。第一步入侵步骤是根据攻击的设置方式描述的，而非来自捕获的代码。

攻击如何运作

这些广告由 Discover-Tech 投放，这是一家将自己呈现为普通数字广告公司的以色列公司。研究人员发现，每个广告都携带一小段代码，当广告加载时，会悄悄将设备的广告 ID 和互联网地址发送回 Discover-Tech 服务器。

该服务器决定该设备是否属于目标。如果是，服务器会发回供浏览器或应用运行的攻击代码。如果不是，服务器则不发送任何内容。由于广告本身不携带攻击代码，投放它的广告网络没有任何有害内容可供检测。

Citizen Lab 表示，在半岛电视台，2024 年和 2025 年至少有 45 台设备成为目标，并以高置信度将这些攻击与 Candiru 关联起来。研究人员未说明是哪个政府幕后操纵了此次行动。

该网络向研究人员提供了其流量日志。在被感染的设备上，日志每次都显示相同的顺序：首先联系 Discover-Tech 广告服务器，然后是一个筛查设备的 Candiru 服务器，最后是一个运行间谍软件的命令与控制服务器。

半岛电视台还从一台被入侵的设备中提取了一个 Windows 程序文件。其代码使用了与 Citizen Lab 在 2021 年拆解的 Candiru 工具相同的独特技术，这是高置信度关联的依据。

半岛电视台员工此前曾遭到过一次攻击。2020 年，其数十名记者的 iPhone 被 NSO Group 的 Pegasus 间谍软件入侵，那是一次使用不同方法的不同行动。

Discover-Tech 和 Candiru 是谁

从 2020 年到本月，Google 和广告行业组织 IAB Europe 都将 Discover-Tech 列为获批的广告供应商。该公司于 2020 年在以色列注册，由其首席执行官 Dekel Boni 领导。

Candiru 是间谍软件行业中较为知名的名字之一。美国于 2021 年因其间谍软件被用于针对政府官员、记者和活动人士而将其列入贸易黑名单。2025 年，其资产被美国投资公司 Integrity Partners 收购，并转移至一家新公司（据报道为 Integrity Labs），该制裁并不涵盖这家新公司。

平台采取了什么行动

Citizen Lab 表示，在研究人员分享其发现后，Google 和 IAB Europe 于 10 月初将 Discover-Tech 从其供应商名单中移除。Google 切断了该公司对其广告交易平台的访问，Beeswax 将其移除，Vungle 暂停其访问以进行审查，Eskimi 封锁了其账户。

Google 向路透社表示，它与研究人员合作，并"因系统性违反我们的政策"而移除了 Discover-Tech。IAB Europe 表示，在一次审计发现政策违规后暂停了该公司。拥有 Beeswax 的 Comcast 表示，它是"在近期活动之后"采取行动的。

Discover-Tech、Candiru 的所有者、半岛电视台以及俄罗斯广告网络 Yandex 均未回应路透社。Discover-Tech 的网站周四仍在线，且未提及这些发现。

广告的覆盖范围有多广

Discover-Tech 的触角远远超出半岛电视台。Citizen Lab 表示，在其一个平台上，该公司在 2026 年 3 月至 6 月期间投放了近 40 亿次广告竞价，携带隐藏回调代码的广告出现在约 75,000 个手机应用和 120,000 个网站中。

与 Citizen Lab 一同调查的美国广告安全公司 Confiant 估计，Discover-Tech 的流量约为每天 1000 万条广告。

Citizen Lab 表示，这些广告出现在政府和大型机构的网络上，包括北约、联合国、欧盟机构、约两打国家的政府办公室、芯片制造商和新闻机构。广告出现在某个网络上并不证明该处有人被感染，它只表明该系统能触及的范围有多广。

Confiant 发现，它能够直接关联到 Candiru 的少数广告数量很少，且大多触及家庭和移动互联网连接，而非敏感网络本身。

防御者可检查什么

两家机构都公布了与该行动相关的网址和文件，以便防御者封锁它们并搜索自己的记录。员工可能看过这些广告的组织，尤其是在报告中所列网络上的组织，可以查找攻击的连接顺序：设备先到达 Discover-Tech 广告服务器，然后到达 Candiru 筛查服务器，最后到达命令与控制服务器。

已公布的指标包括：

SHA-256（恢复的间谍软件样本）：255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
域名（Discover-Tech 广告服务器）：mtrtb[.]com
完整列表：Confiant 报告中的指标，包括命令与控制服务器。

安全研究人员多年来一直警告，广告购买系统可能被转用于此用途。去年 12 月，泄露的文件将间谍软件厂商 Intellexa 与一个名为 Aladdin 的类似基于广告的工具关联起来，尽管尚未展示通过它的实时感染。