Представьте, что вы просто открыли новостной сайт, а ваш смартфон уже незаметно сливает геолокацию, историю браузера и приватные переписки. Пока мы привыкли раздражаться на баннеры и бороться за скорость загрузки страниц, индустрия кибершпионажа нашла куда более изощренный способ монетизации трафика. Встречайте AdFection — кампанию, которая превратила привычную интернет-рекламу в бесшумный вектор заражения.
Кампания, получившая в отчетах исследователей кодовое название AdFection, перевернула наши представления о цифровой безопасности. Если раньше для заражения устройства вредоносным кодом требовалось заставить пользователя совершить хотя бы минимальное действие — кликнуть по сомнительной ссылке, открыть вложение в письме или установить приложение из недоверенного источника, — то теперь экосистема онлайн-рекламы позволяет обойти этот этап. Давайте разберем этот инцидент подробно, опираясь на факты из недавнего расследования.
Анатомия атаки AdFection: когда реклама убивает без клика
Главный кошмар любого инженера по безопасности заключается в уязвимостях, не требующих взаимодействия с пользователем. В кибербезопасности такие эксплойты называют zero-click. До недавнего времени этот термин ассоциировался преимущественно с уязвимостями в приложениях для обмена сообщениями, когда вредоносный пакет данных доставлялся в фоновом режиме. Но кампания AdFection применила этот принцип к классическому веб-серфингу.
Суть атаки заключалась в использовании легитимных или скомпрометированных каналов цифровой рекламной сети. Когда пользователь открывал зараженную страницу в браузере, рекламный модуль подгружал баннер. В этот момент происходило скрытое выполнение эксплойта через уязвимости в браузере или связанных компонентах рендеринга.
Пользователю не нужно было кликать по картинке, переходить по редиректам или совершать любые другие действия. Сам факт загрузки рекламного контента в DOM-дерево страницы приводил к заражению устройства. Подобная незаметность делает AdFection одним из самых изощренных инструментов кибершпионажа последних лет. Для разработчиков сайтов это становится серьезным звоночком: даже подключение проверенных рекламных сетей теперь потенциально несет угрозу безопасности посетителей.
Сценарий прост и оттого пугающий: фронтенд-разработчик подключает стандартную биржу монетизации, чтобы окупить хостинг проекта, а через пару минут браузеры посетителей отрабатывают скрытый payload (совсем как в старом добром меме «работает на моей машине, а всё остальное — проблемы продакшна»).
Кто стал мишенью: расследование Citizen Lab и Al Jazeera
Любая масштабная кибероперация оставляет следы, но в данном случае злоумышленникам противостояли профессионалы высочайшего уровня. Инцидент начал раскручиваться в 2024 году, когда сотрудники известного телеканала Al Jazeera обратили внимание на странное, аномальное поведение своих рабочих устройств. Смартфоны и ноутбуки демонстрировали признаки скрытой активности, быстро разряжались и передавали большие объемы данных в неизвестном направлении.
Поняв, что своими силами справиться не удастся, журналисты обратились за помощью к специалистам из канадской исследовательской организации Citizen Lab, которая специализируется на выявлении цифровых угроз против гражданского общества, активистов и работников СМИ.
Проведенный анализ подтвердил худшие опасения. Журналисты Al Jazeera стали объектом целенаправленной слежки. При этом злоумышленники не использовали традиционные методы фишинга, ориентированные на человеческий фактор (например, убедительные письма с вредоносными вложениями). Вместо этого была задействована инфраструктура AdFection, которая атаковала конкретные IP-адреса и устройства, находящиеся в поле зрения организаторов кампании. Тот факт, что мишенью стали именно журналисты, подчеркивает политический и заказной характер операции, где на кону стояла конфиденциальность источников и секретная информация.
Но как именно малварь забирает под контроль рабочий контур, пробив изоляцию песочницы?
Анатомия шпионажа: что умеет малварь стоимостью в миллионы долларов
Инструменты, задействованные в кампании AdFection, представляют собой вершину современного коммерческого шпионского ПО (commercial spyware). По оценкам экспертов, разработка, поддержка и доставка этого infostealer обошлись заказчику в «несколько миллионов долларов». Такие бюджеты явно указывают на то, что за атакой стояли не просто группировки киберпреступников-вымогателей, а игроки с серьезным финансированием.
Получив доступ к устройству через рекламный блок zero-click, вредоносное ПО разворачивало в системе полный арсенал для тотального контроля:
- Кража данных: Малварь скачивала локальные файлы, документы, базы данных, файлы cookie и сохраненные учетные данные из браузеров.
- Перехват коммуникаций: Осуществлялся мониторинг сетевого трафика и перехват нажатий клавиш (keylogging).
- Визуальный контроль: Программа регулярно делала скриншоты экрана, а также получала скрытый доступ к микрофону и камере зараженного устройства для записи владельца в реальном времени.
- Сбор закладок и истории: Полный дамп цифрового следа пользователя для понимания его интересов и связей.
Ниже приведен концептуальный пример того, как современный скрипт может собирать базовую системную информацию в браузере при обращении к скомпрометированному ресурсу (упрощенная демонстрация сбора телеметрии):
// Концептуальный пример сбора базовой телеметрии клиентской среды
function collectEnvironmentData() {
const telemetry = {
userAgent: navigator.userAgent,
screenResolution: `${window.innerWidth}x${window.innerHeight}`,
language: navigator.language,
platform: navigator.platform,
cookiesEnabled: navigator.cookieEnabled,
pluginsCount: navigator.plugins.length
};
// В реальных сценариях AdFection здесь происходила доставка эксплойта
console.log("Environment profiled successfully:", telemetry);
return telemetry;
}
// Запуск сбора при загрузке страницы
window.addEventListener('DOMContentLoaded', collectEnvironmentData);
Конечно, реальный код эксплойта был скрыт за многоуровневой обфускацией и загружался динамически, используя динамическое выделение памяти и уязвимости нулевого дня в движках браузеров.
За кулисами этой сложной архитектуры скрываются вполне конкретные разработчики на рынке кибероружия.
Израильский след: Candiru (Integrity Labs) и Discover-Tech
В ходе расследования Citizen Lab удалось не просто зафиксировать факт заражения, но и выстроить технологическую цепочку, ведущую к созданию и обслуживанию вредоносной инфраструктуры. Расследование вывело исследователей на две израильские компании, сыгравшие ключевые роли в этой операции.
Первым ключевым игроком оказалась компания Candiru, которая в последние годы сменила вывеску и теперь известна как Integrity Labs. Candiru давно находится в поле зрения экспертов по кибербезопасности как разработчик коммерческого шпионского ПО высочайшего уровня сложности. Показательно, что еще в ноябре 2021 года министерство торговли США внесло Candiru в свой официальный черный список за деятельность, противоречащую национальной безопасности и внешней политике США. Однако смена названия на Integrity Labs позволила компании продолжить деятельность, маскируясь под легитимных вендоров ИБ.
Второй важной структурой стала компания Discover-Tech, которая обеспечивала техническую поддержку, связанную с рекламной инфраструктурой и механизмами доставки эксплойтов. Именно синергия разработчиков шпионского софта и специалистов по цифровой рекламе позволила реализовать столь масштабный проект по доставке вредоносного кода через рекламные сети.
«Использование рекламных бирж в качестве точек распространения сложных шпионских инструментов стирает грань между традиционной веб-безопасностью и геополитическим кибершпионажем», — отмечают эксперты в отчетах по безопасности.
Главные вызовы для IT-сообщества и разработчиков
Кампания AdFection обнажила системные проблемы, которые вызывают серьезную тревогу у разработчиков, архитекторов безопасности и специалистов по Ad-tech индустрии:
- Тотальная уязвимость рекламных сетей (Ad-tech): Современные сайты зависят от сторонних рекламных скриптов (Third-party scripts), которые загружаются динамически из сотен различных источников. Убедиться в безопасности каждого рекламного баннера на стороне издателя сайта сегодня практически невозможно.
- Проблема zero-click в браузере: Если раньше пользователи могли защитить себя критическим мышлением («не кликай куда попало»), то теперь сама архитектура веб-серфинга делает пользователя беспомощным перед лицом скрытых эксплойтов.
- Анонимность заказчиков: Несмотря на то, что исследователям удалось точно установить технический стек, разработчиков из Candiru/Integrity Labs и инфраструктуру Discover-Tech, имена конечных покупателей этого шпионского ПО остались в тени. Кто именно заказал слежку за журналистами Al Jazeera, до сих пор доподлинно неизвестно. Это демонстрирует несовершенство международно-правовых механизмов в сфере контроля за распространением кибероружия.
Для веб-разработчиков и специалистов по информационной безопасности это означает необходимость пересмотра политик безопасности. Внедрение строгих заголовков Content Security Policy (CSP), ограничение выполнения сторонних скриптов в песочницах (iframes с атрибутами sandbox) и тщательный аудит рекламных партнеров становятся не просто рекомендациями, а вопросом выживания платформ.
Заключение
История с кампанией AdFection ставит жирную точку в эпохе, когда интернет-рекламу воспринимали исключительно как раздражающий фактор с точки зрения UX. Сегодня таргетированная реклама может служить полноценным инструментом кибервойны и тотального шпионажа.
Тот факт, что для заражения устройств журналистов Al Jazeera была задействована рекламная сеть, а разработка обошлась в миллионы долларов силами таких структур, как Candiru (Integrity Labs) и Discover-Tech, доказывает: ландшафт угроз стремительно эволюционирует. Индустрии разработки и кибербезопасности предстоит найти эффективные ответы на вызовы zero-click атак через рекламные сети, иначе доверие к базовым механизмам функционирования Всемирной паутины окажется под угрозой.
Обязательно проверьте конфигурации CSP на ваших проектах и ограничьте права сторонних скриптов уже сегодня, чтобы ваш сайт не стал невольным соучастником цифровой слежки. А с какими странностями в поведении рекламных трекеров сталкивались вы? Поделитесь в комментариях!