Citizen Lab 發布報告指出，國際新聞網路半島電視台（Al Jazeera）的裝置透過定向線上廣告，感染了由 Candiru（現更名為 Integrity Labs）提供的僱傭間諜軟體（mercenary spyware）。這是首次公開技術確認透過定向廣告傳遞零點擊間諜軟體攻擊的案例，該攻擊被命名為 AdFection。

報告指出，這些惡意廣告由以色列公司 Discover-Tech 購買。該公司自稱是合法的廣告公司，但 Citizen Lab 發現其實際運作是作為多個僱傭間諜軟體合作夥伴的促進者。Discover-Tech 營運一個名為 Controlium 的平台，使其僱傭合作夥伴能夠在廣告渲染的瞬間對裝置進行去匿名化、指紋識別及自動感染，這構成了一種零點擊攻擊。

對 Discover-Tech 四十億筆競價記錄的分析顯示，在四個月的期間內，該公司的廣告在數十個國家中近 20 萬個獨立網站和 Android/iOS 應用程式上展示。Discover-Tech 的廣告還隱蔽地引導數百萬台裝置聯絡 Candiru 的伺服器，可能用於大規模追蹤和偵察。Discover-Tech 與 Candiru 之外的其他僱傭間諜軟體和情報威脅行為者有關聯，包括 Intelos 和 Bindecy。

報告提到一個被稱為 DARK CARTOGRAPHER 的獨立威脅行為者，正利用 Discover-Tech 的基礎設施利用多家行動電信業者的漏洞，將裝置廣告 ID 與電話號碼連結，從而大規模去匿名化網路用戶。Citizen Lab 將在後續報告中詳細說明關於此威脅行為者的發現。

Discover-Tech 曾出現在 Google 和廣告產業協會 IAB Europe 維護的「認證」及「核准」供應商名單上，並透過 Google、Yandex 和 Beeswax 等主要網路投放廣告。該公司還利用歐盟通用資料保護規範（GDPR）的同意框架來鎖定歐盟用戶。Discover-Tech 的大規模濫用、隱私侵犯以及對僱傭間諜軟體攻擊的促進，說明了線上廣告系統的結構性缺陷，該系統未能檢測或防止本報告中記錄的濫用行為。

Citizen Lab 呼籲監管機構調查 Discover-Tech 和 Candiru/Integrity Labs 是否違反了適用法律，並向立法者、防禦者和廣告產業提出建議，以阻止 AdFection 式攻擊和間諜活動。Citizen Lab 已向廣告供應商和產業組織披露了發現。Google、IAB Europe、Beeswax、Vungle (Liftoff) 和 Eskimi 已採取行動切斷 Discover-Tech 進入數位廣告生態系統的權限。其他被發現參與 Discover-Tech 營運的廣告供應商未在提供的时间範圍內回應置評請求。Citizen Lab 也在積極與供應商合作，以減輕 DARK CARTOGRAPHER 的大規模去匿名化攻擊。

事件背景

線上廣告生態系統依賴即時競價（Real-Time Bidding, RTB）拍賣，廣告主透過需求方平台（DSP）購買廣告，供應方平台（SSP）則銷售網站和應用程式的廣告庫存。當用戶看到廣告時，裝置會發起競價請求，廣告主提交競價，廣告交易所決定贏家並將廣告推送給用戶。廣告本身可能包含來自廣告主、DSP 和其他方的程式碼（如 tags、pixels、SDKs），這些程式碼在應用程式或瀏覽器中執行，用於追蹤用戶、廣告曝光和點擊。

廣告生態系統收集大量資料並允許個人級別的鎖定，包括裝置識別碼、特徵、精確位置和 IP 位址資料。擁有競價資料存取權的公司可以追蹤用戶在物理空間中的移動或在不同網路間切換，因為與特定識別碼相關的競價請求會隨時間改變位置或 IP 位址。監控產業銷售利用這類資料的廣告情報（ADINT）平台，這些平台常與第三方追蹤資料結合，並出售給國防、情報和執法機構。

除了被動資料收集，惡意方也可以利用此基礎設施，根據廣告競價中包含的用戶資料鎖定特定個人，然後在他們的裝置上執行惡意程式碼。當廣告展示時，廣告主或 DSP 可以執行 HTML 和 JavaScript 程式碼，這些程式碼可以檢索額外的 JavaScript，進而載入更多程式碼，例如瀏覽器漏洞利用程式以安裝間諜軟體。由於程式碼可以包含用戶或裝置的識別碼，任意 JavaScript 程式碼可以精確地發送到單一用戶的裝置。

社群觀察

社群成員對廣告供應商的問責機制表達強烈不滿，認為廣告供應商應對傳遞惡意軟體負責，並批評追蹤行為（包括對拒絕追蹤用戶的指紋識別）應屬非法。部分用戶對技術機制提出疑問，例如行動廣告鎖定如何導致 DLL 劫持。另有用戶推測相關公司之間的地緣政治關聯，指出涉及以色列和阿根廷的公司，並提到這些國家在特定政治週期後關係緊密，以及 CTO 曾為 Radware 工作等細節。整體情緒顯示公眾對隱私侵犯的焦慮以及對監管不力的失望。