周四，多伦多大学公民实验室的研究人员揭示了一个在野外发现的最糟糕的情况: 间谍软件在目标浏览日常数字生活中的广告时悄然感染他们。研究人员将这些攻击称为“AdFection”，记录了一场运动，其中一家与间谍软件公司相关的以色列注册广告公司涉嫌连接到相关服务器，并用其侵入性的恶意软件感染了数十台设备。公民实验室认为这是有关复杂间谍软件通过数字广告感染设备的详细技术证据首次公开披露。零点击攻击是攻击者的圣杯，对受害者而言却是灾难，因为它们可以在不需要目标任何互动或失误的情况下自动在设备上安装恶意软件。近年来，当复杂的黑客实施罕见的零点击攻击时，他们常常利用移动消息和通信应用中的漏洞来感染受害者。但攻击者也利用了在线广告生态系统的庞大基础设施来传播恶意软件，有时甚至对受害者几乎不需要任何互动。公民实验室研究人员发现的零点击间谍软件运动的证据显示了这两种威胁的结合，突显了风险的广度和紧迫性。“AdFection使操作员能够在特定个人使用应用程序或浏览互联网时自动黑客攻击他们，”公民实验室的高级研究员比尔·马尔扎克表示。“像这样的黑客受害者不会看到任何异常。事实上，他们可能根本不会看到任何广告。”他指出，这种情况令人极为担忧，因为人们几乎无能为力来保护自己免受零点击广告攻击，除了在所有网站和平台上尽可能彻底地屏蔽广告——这一事实似乎被诸如NSA和CIA等情报机构所深知。“仅仅通过使用显示广告的网站或应用程序而感染间谍软件的风险是一场噩梦场景，”公民实验室的高级研究员沃尔夫·克里斯特尔表示。公民实验室在2024年和2025年间得出结论认为，阿尔及利亚新闻媒体Al Jazeera的45台设备受到通过广告发布的零点击攻击的瞄准。研究人员表示，这些定向广告是由以色列成立的市场公司Discover-Tech发布，并传播归因于以色列开发者Candiru的间谍软件。根据公民实验室的分析，受感染设备曾与Discover-Tech相关的域名进行过联系，并随后连接到与Candiru相关的基础设施。(参与调查并与公民实验室研究人员分享设备日志的阿尔及利亚新闻媒体并未回应评论请求。) “将个性化、任意的内容推送给特定用户是现代在线广告生态系统的标志，极其适合雇佣间谍软件行业，”马尔扎克说。“在这种架构未改变之前，或者广告公司未认真对待客户审核之前，我们将继续看到这种滥用现象。”在出版前，WIRED向Discover-Tech及其首席执行官发送的电子邮件和信息未收到回应。被认为拥有Candiru资产的Integrity Partners在2021年受到美国政府制裁后也未对评论请求作出回应。谷歌，作为全球最大的广告业务之一，在与公民实验室及网络安全公司Confiant的研究人员合作确认间谍软件链接后，终止了Discover-Tech的注册。一位谷歌发言人表示：“在与公民实验室和Confiant的联合调查后，谷歌因系统性违反我们的政策，将Discover-Tech从我们的广告平台中屏蔽。”他补充道：“我们还设置了安全浏览警告，以帮助保护人们在导航到与该组织相关的网站时。”广告行业机构互动广告局(IAB)的欧洲分支向WIRED确认，已将Discover-Tech从其全球供应商列表(GVL)中暂停。该公司在对其政策进行审核后被IAB Europe暂停。“对间谍软件相关发现的进一步确认也可能为从GVL中作出决定性驱逐提供理由，”IAB Europe的一位发言人表示。在线广告行业公司Beeswax的发言人在一份声明中表示：“在最近的活动和第三方安全专家的独立验证后，Beeswax已将Discovery-Tech从我们的平台上移除。我们对恶意广告保持零容忍政策。”通常，当您在网上或应用程序中看到广告时，它们是根据一种称为实时竞价的复杂过程显示的——本质上是一种自动化拍卖，广告商出价向您展示特定广告。这个持续几毫秒的过程可能导致广告商收集关于您的设备、位置和浏览历史的大量数据，以及其他一系列信息。