1. Устройства, принадлежащие международной новостной сети «Аль-Джазира» (Al Jazeera), были заражены шпионским программным обеспечением от компании Candiru (прошедшей ребрендинг под названием «Integrity Labs») через таргетированную интернет-рекламу. Мы впервые представляем публичное техническое подтверждение атаки с использованием шпионского ПО, не требующей участия пользователя (так называемая «zero-click» атака), которая осуществляется посредством таргетированной рекламы; мы дали ей название «AdFection».

2. Вредоносные рекламные объявления были приобретены израильской компанией Discover-Tech. Она позиционирует себя как легитимное рекламное агентство, однако, как выяснилось, на деле выступает посредником для ряда разработчиков шпионского ПО.

3. Discover-Tech управляет платформой под названием Controlium, которая позволяет ее партнерам — поставщикам шпионского ПО — деанонимизировать пользователей, собирать уникальные идентификаторы устройств («отпечатки») и автоматически заражать устройства в момент отображения рекламы. Это разновидность атаки, не требующей никаких действий со стороны пользователя (zero-click).

4. Анализ четырех миллиардов записей о торгах за рекламные показы (bidding records) компании Discover-Tech показал, что за четыре месяца ее объявления демонстрировались почти на 200 000 различных веб-сайтов, а также в приложениях для Android и iOS в десятках стран мира.

5. Кроме того, рекламные объявления Discover-Tech скрытно направляли миллионы устройств на серверы Candiru — по всей видимости, в целях масштабного отслеживания и сбора разведывательных данных. Помимо Candiru, компания Discover-Tech связана и с другими субъектами, занимающимися шпионским ПО и разведывательной деятельностью, в частности с Intelos и Bindecy.

6. Еще одна группа злоумышленников, которую мы называем «DARK CARTOGRAPHER», использует инфраструктуру Discover-Tech для эксплуатации уязвимостей у различных операторов мобильной связи. Это позволяет сопоставлять рекламные идентификаторы устройств с номерами телефонов, что ведет к массовой деанонимизации интернет-пользователей. Подробности об этой группе мы представим в отдельном отчете, который будет опубликован в ближайшее время.

7. Компания Discover-Tech фигурировала в списках «сертифицированных» и «одобренных» поставщиков, которые ведут Google и отраслевая ассоциация IAB Europe; через нее размещалась реклама в таких крупных сетях, как Google, «Яндекс» и Beeswax. Более того, Discover-Tech использовала механизмы получения согласия, предусмотренные Общим регламентом по защите данных (GDPR) Европейского союза, для таргетинга пользователей на территории ЕС.

8. Масштабные злоупотребления со стороны Discover-Tech, нарушение конфиденциальности и содействие атакам с применением шпионского ПО обнажают структурные недостатки системы интернет-рекламы, которая не смогла ни выявить, ни предотвратить описанные в данном отчете нарушения. Мы призываем регулирующие органы провести расследование того, нарушали ли компании Discover-Tech и Candiru/Integrity Labs действующее законодательство, а также выработать рекомендации для законодателей, правозащитников и представителей рекламной индустрии относительно того, как положить конец атакам и шпионской деятельности, подобным тем, что связаны с AdFection.

9. Мы предоставили информацию о наших выводах рекламным компаниям и отраслевым организациям. Google, IAB Europe, Beeswax, Vungle (Liftoff) и Eskimi приняли меры, чтобы ограничить для Discover-Tech доступ к экосистеме цифровой рекламы. Другие рекламные компании, которые, по нашим данным, были вовлечены в деятельность Discover-Tech, не ответили на наш запрос о комментариях в установленный срок. Мы также активно сотрудничаем с участниками рынка, чтобы нейтрализовать последствия масштабной атаки по деанонимизации пользователей, получившей название DARK CARTOGRAPHER.