公民实验室证实间谍软件可借广告零点击入侵

网络广告承载的不只是图片，也可以藏着代码。多伦多大学的 Citizen Lab 研究人员如今证实，攻击者能利用这些代码，在目标人物毫无点击操作的情况下，将间谍软件植入其设备。该实验室将这种技术称为 AdFection。Citizen Lab 高级研究员比尔·马尔扎克（Bill Marczak）告诉 Wired，通过这种方式遭到攻击的人“不会察觉任何异常”，“事实上，他们甚至可能根本看不到任何广告”。

这对手机里装满免费应用的人来说尤其重要。过去，零点击攻击大多利用即时通讯应用中的漏洞，而企业可以修补这些漏洞。这次的攻击却借助了日常广告投放机制：每当应用或网页加载时，一场在不到一秒内完成的竞价便会决定你看到哪条广告；在这个过程中，设备的广告 ID、IP 地址以及手机相关信息早已被传递出去。

事件的核心是一家在以色列注册、对外宣称从事广告业务的公司 Discover-Tech。报告称，该公司的平台 Controlium 允许客户通过广告 ID、浏览器 Cookie 或 IP 地址锁定某个目标，并在广告呈现的瞬间向那台设备推送代码；其他人看到的则是普通广告。Citizen Lab 高度确信，半岛电视台新闻网络遭遇的一系列攻击与间谍软件开发商 Candiru 有关，该公司如今自称 Integrity Labs。至少有 45 台广播机构内部设备成为目标；一台感染恶意软件的 Windows 电脑留下了一个文件，指向 Candiru 的服务器。

研究人员是如何进入系统的，听起来几乎有些滑稽。Controlium 的登录页面直接附带了控制面板的完整源代码，于是研究团队保存了该页面，切断它与外部服务器的连接，然后打开每一个界面。Discover-Tech 的一台服务器还将近 40 亿条广告竞价记录暴露在外。这些记录显示，带有攻击者脚本标签的广告曾出现在 75,373 款 Android 和 iOS 应用，以及 120,768 个网站上。一些熟悉的名字也在其中：即时通讯应用 Viber 在 Android 上展示过 70 多万条此类广告；Yahoo Mail、Opera Mini 和 Duolingo 中也出现过这些广告。

这些数字需要谨慎解读。Citizen Lab 强调，在屏幕上看到 Discover-Tech 的广告，并不意味着手机遭到入侵。多数情况下，该公司的服务器根本没有返回任何代码；而这些竞价数据只涵盖该公司某个广告平台为期四个月的记录。Citizen Lab 没有透露哪些政府为针对半岛电视台的行动付费；研究发现，这些广告曾触达北约、联合国和多个欧洲机构的网络，这只能说明广告覆盖范围广，并不能证实这些网络已遭感染。在挪威，广告触达了议会和警方的网络；在瑞典，则触达了武装部队和国家电网运营商的网络。普通人能采取的防护措施并不复杂，但也相当直接。对于任何“可能因为自己的身份或所做的事而成为目标”的人，马尔扎克的建议是关闭广告跟踪，或者干脆屏蔽广告。

广告行业已经开始采取行动。Google 表示，在与 Citizen Lab 和安全公司 Confiant 联合调查后，已将 Discover-Tech 从其广告平台中封禁，并为与该组织有关联的网站添加了 Safe Browsing 警告。IAB Europe 将该公司从获批广告供应商名单中除名；Comcast 旗下的 Beeswax 也将其从平台中移除。Discover-Tech 没有回应 Wired 或 TechCrunch 的置评请求。

Citizen Lab 于 2026 年 10 月 15 日发布这份报告，内容涉及 2024 年和 2025 年针对半岛电视台的攻击，以及 2026 年 3 月至 6 月的竞价数据。该实验室还将发布另一份报告，介绍一个独立团体 DARK CARTOGRAPHER。报告称，该团体利用相同的基础设施，通过移动运营商的漏洞，在 30 多个国家将手机的广告 ID 与电话号码对应起来。

马尔扎克称，Discover-Tech“肯定只是冰山一角”。他的团队几乎没费什么工夫就发现了这些广告：研究人员浏览 CBC 和 Yahoo 网站、在 Android 手机上玩数独游戏时，广告都出现在他们自己的屏幕上。

标签: 网络安全, AdFection, Candiru, Citizen Lab, Discover-Tech, 网络广告