AdFection: Wie können Online-Werbung Spyware verbreiten?
Online-Werbung wurde entwickelt, um Werbetreibende mit Nutzern zu verbinden, die an bestimmten Produkten und Dienstleistungen interessiert sind. Eine Untersuchung von Citizen Lab, dem digitalen Sicherheitsforschungslabor der University of Toronto, zeigt jedoch, dass dieselbe Infrastruktur für Überwachung und ausgeklügelte Spyware-Angriffe ausgenutzt werden kann.
Im offiziellen Bericht, veröffentlicht von Citizen Lab, dokumentieren die Forscher eine Technik namens AdFection, bei der gezielte Anzeigen zur Bereitstellung von Spyware verwendet werden können, ohne dass das Opfer auf einen Link klicken oder eine Datei öffnen muss.
Die Untersuchung identifiziert eine Infrastruktur, die mit dem israelischen Unternehmen Discover-Tech und seiner Plattform Controlium in Verbindung steht. Laut den Autoren soll diese sowohl die Identifizierung und Profilierung von Nutzern als auch die Verbreitung kommerzieller Spyware, entwickelt von Candiru (später bekannt als Integrity Labs), ermöglicht haben. Ein besonders wichtiges Element ist die technische Bestätigung von Citizen Lab: Die Forscher geben an, Geräte der Medienorganisation Al Jazeera identifiziert zu haben, die über gezielte Online-Anzeigen mit Spyware infiziert wurden.
Der Bericht beschränkt sich nicht auf einen Einzelfall. Die Autoren analysieren Milliarden von Werbedatensätzen, Software-Infrastrukturen, Verbindungen zwischen Anbietern und technische Daten, um zu erklären, wie für Werbung entwickelte Systeme in einen Spionagekanal umgewandelt werden können.
Wie funktioniert ein Zero-Click-Spyware-Angriff über Werbung?
Um die AdFection-Technik zu verstehen, muss man analysieren, wie Anzeigen auf Websites und in Apps ausgeliefert werden. Die meisten Nutzer sehen Anzeigen als Bilder, Videos oder Banner. In Wirklichkeit umfasst programmatische digitale Werbung eine komplexe Infrastruktur, bestehend aus Gebotsplattformen, Vermittlern, Werbetreibenden und Anbietern von Werbetechnologie.
Echtzeit-Werbegebote
Wenn ein Nutzer eine Webseite oder Anwendung öffnet, die Anzeigen anzeigt, kann ein Prozess namens Real-Time Bidding (RTB) stattfinden. Innerhalb kürzester Zeit bewerten Werbeplattformen die Möglichkeit, eine bestimmte Anzeige zu schalten. Gebotsanfragen können Informationen wie IP-Adresse, Werbe-Identifikatoren, Geräteeigenschaften und Daten über die aufgerufene Anwendung oder Seite enthalten.
Diese Informationen können die Ausrichtung von Anzeigen auf bestimmte Nutzerkategorien oder sogar auf einzelne Geräte ermöglichen, je nach den verfügbaren Identifikatoren. Das System ist auf die Personalisierung von Werbung ausgelegt, aber die Fähigkeit, Nutzer zu identifizieren und Code an Geräte zu senden, schafft auch Möglichkeiten für Missbrauch.
Ausführung des der Anzeige zugeordneten Codes
Eine digitale Anzeige enthält nicht immer nur ein Bild oder ein Video. Sie kann Skripte und Komponenten enthalten, die von verschiedenen Vermittlern bereitgestellt und im Browser oder in der Anzeigeumgebung der Anwendung ausgeführt werden.
Laut der Analyse von Citizen Lab konnte die mit Discover-Tech verbundene Infrastruktur Java-Skripte verwenden, um zusätzlichen Code von den vom Unternehmen kontrollierten Servern anzufordern. In einem Angriffsszenario kann der zusätzliche Code an einen bestimmten Nutzer gerichtet werden, anstatt an alle Personen, die die Anzeige sehen.
Zielidentifizierung und Spyware-Bereitstellung
Laut den Forschern ermöglichte die Controlium-Plattform die Verwaltung von Benutzer-Identifikatoren, die Konfiguration von Kampagnen und die Beobachtung von Daten im Zusammenhang mit Werbeanfragen. Diese Fähigkeit konnte genutzt werden, um Zielgeräte zu identifizieren und Code zum Zeitpunkt der Anzeigenanzeige zu liefern. Wenn das Gerät die notwendigen Bedingungen erfüllte und die ausgenutzten Schwachstellen vorhanden waren, konnte der Angriff mit der Installation der Spyware fortgesetzt werden.
Dies ist die Bedeutung des Begriffs Zero-Click: Das Opfer muss nicht explizit mit der Anzeige interagieren, damit der Angriff stattfindet. Es ist wichtig zu betonen, dass die Anzeige einer Werbung nicht automatisch zur Infektion jedes Geräts führt. Der beschriebene Angriff setzt eine speziell entwickelte Infrastruktur, die Auswahl des Ziels und das Vorhandensein technischer Bedingungen voraus, die die Kompromittierung des Systems ermöglichen.
Was haben die Forscher über Discover-Tech und die Controlium-Plattform herausgefunden?
Citizen Lab beschreibt Discover-Tech als ein Unternehmen, das sich als legitimer Anbieter von digitaler Werbung präsentierte, aber eine Rolle als Vermittler zwischen dem Werbe-Ökosystem und mehreren Anbietern von Überwachungstools gehabt haben soll. Seine Plattform, Controlium, ist eines der zentralen Elemente der Untersuchung.
Laut dem Bericht hat die Analyse der Schnittstelle und des Codes der Plattform Funktionen zur Kampagnenkonfiguration, zur Verwaltung von Benutzer-Identifikatoren, zur Abfrage von Werbeanfragen und zur Überprüfung von Anzeigenaufrufen gezeigt. Die Forscher identifizierten auch Mechanismen, durch die Code bedingt an bestimmte Geräte übertragen werden konnte.
Der Bericht präsentiert auch Beweise für Verbindungen zwischen Discover-Tech und mehreren Unternehmen in der kommerziationsüberwachungsbranche, darunter Candiru/Integrity Labs, Intelos und Bindecy. Art und Umfang der Beziehungen unterscheiden sich je nach Unternehmen und den analysierten Beweisen; es sollte nicht angenommen werden, dass alle diese Unternehmen in jedem Angriff dieselbe Rolle gespielt haben.
Ein weiterer wichtiger Aspekt ist die Serverinfrastruktur, die zur Bereitstellung der Skripte verwendet wird. Citizen Lab beschreibt Server, die entscheiden konnten, ob ein bestimmter Identifikator berechtigt war, zusätzlichen Code zu erhalten. In bestimmten Situationen gaben die Server keinen Inhalt zurück, was die Beobachtung des Mechanismus durch Personen, die nicht Teil der Zielgruppe waren, erschweren konnte.
Diese Erkenntnisse zeigen, warum die technische Analyse digitaler Werbung mehr als nur die visuelle Untersuchung eines Banners erfordern kann. Um einen Angriff zu verstehen, müssen Forscher Gebotsdaten, Code, Netzwerkinfrastruktur und technische Identifikatoren korrelieren.
Fast vier Milliarden Werbeaufzeichnungen analysiert
Einer der relevantesten Beiträge des Citizen Lab-Berichts ist die Analyse des Volumens der Werbeaktivität, die mit der von Discover-Tech betriebenen MyDSP-Plattform verbunden ist. Die Forscher analysierten fast vier Milliarden Werbegebotsaufzeichnungen für den Zeitraum März bis Juni 2026. Die Daten deuten darauf hin, dass die mit dem Unternehmen verbundenen Anzeigen auf über 120.000 Websites und in über 75.000 Android- und iOS-Anwendungen geschaltet wurden.
Der Bericht unterscheidet zwischen der Anzahl der Gebotsanfragen, der Anzahl der gewonnenen Gebote und den tatsächlich angezeigten Anzeigen. Diese Kategorien sind nicht gleichwertig und sollten nicht als Anzahl der Opfer oder infizierten Geräte interpretiert werden. Für denselben Zeitraum zeigten die von den Forschern analysierten MyDSP-Daten etwa 3,77 Milliarden Gebote und etwa 442 Millionen gewonnene Anzeigen an. Die Autoren identifizierten auch ein erhebliches Volumen an Geboten, die mit Anzeigen verbunden waren, die Skripte zu enthalten schienen, die auf NOAS-Server hinwiesen, die im untersuchten Mechanismus verwendet wurden.
Dem Bericht zufolge wurden solche Anzeigen Nutzern in zahlreichen Ländern und über eine Vielzahl von Anwendungen und Websites angezeigt. Die geografischen Daten basieren teilweise auf IP-Adressen, und Citizen Lab warnt, dass die IP-Geolokalisierung ungenau sein kann, auch aufgrund von VPNs oder der Netzwerkinfrastruktur.
Diese Zahlen zeigen das Ausmaß der analysierten Werbeinfrastruktur, nicht die Tatsache, dass Hunderte Millionen von Menschen infiziert wurden. Die Exposition gegenüber einer Anzeige, die Identifizierung eines Nutzers und die Kompromittierung eines Geräts sind unterschiedliche Ereignisse. Dieser Unterschied ist wesentlich für die korrekte Interpretation des Berichts und zur Vermeidung einer Übertreibung des Risikos.
Der Fall Al Jazeera: technische Beweise für Spyware-Infektion
Citizen Lab gibt an, Geräte innerhalb des Al Jazeera-Netzwerks identifiziert zu haben, die mit kommerzieller Spyware infiziert waren, die der Firma Candiru (später bekannt als Integrity Labs) zugeschrieben wird. Der Bericht präsentiert technische Beweise, die die Vorfälle von 2024 und 2025 mit der untersuchten Werbeinfrastruktur in Verbindung bringen. Die Forscher analysierten unter anderem Infektionsketten, technische Parameter und Daten, die mit den für die Angriffe verwendeten Systemen verbunden sind.
Die Bedeutung dieses Falls liegt darin, dass die Untersuchung nicht nur die theoretische Möglichkeit beschreibt, Werbung für Cyberangriffe zu nutzen; die Autoren geben zudem an, den technischen Einsatz dieses Mechanismus zur Kompromittierung tatsächlicher Geräte dokumentiert zu haben. Für Medienorganisationen können solche Angriffe schwerwiegende Folgen haben. Der unbefugte Zugriff auf die Geräte von Journalisten kann Quellen, vertrauliche Kommunikation und Informationen über laufende Ermittlungen gefährden.
Der Fall sollte jedoch nicht als Beweis dafür interpretiert werden, dass jeder Journalist oder Nutzer einer im Bericht genannten Anwendung infiziert wurde. Das Vorhandensein einer Anzeige in einer Anwendung ist nicht gleichbedeutend mit der Infektion aller ihrer Nutzer.
Welche Daten können gesammelt werden und welche Risiken bestehen für die Privatsphäre?
Der Citizen Lab-Bericht analysiert zwei unterschiedliche Bedrohungskategorien: Überwachung durch Daten des Werbe-Ökosystems und Kompromittierung von Geräten durch Spyware. Ersteres kann auch ohne die Installation eines bösartigen Programms auftreten. Die durch Werbegebote generierten Daten können die Korrelation von Identifikatoren mit IP-Adressen, ungefähren Standorten, verwendeten Anwendungen und Aktivitätsmustern ermöglichen. Diese Praxis ist relevant für das, was die Branche als Advertising Intelligence oder ADINT bezeichnet: die Nutzung von Werbedaten für Analyse- und Überwachungszwecke.
Die zweite Kategorie birgt ein schwerwiegenderes Risiko. Wenn es einem Angreifer gelingt, Spyware auf einem Gerät zu installieren, hängen die zugänglichen Informationen vom Programm, den ausgenutzten Schwachstellen und dem erlangten Zugriffslevel ab. Je nach den Fähigkeiten des Tools können Kommunikationen, Dateien, Fotos und andere persönliche Daten offengelegt werden.
Citizen Lab beschreibt auch eine separate Operation, von den Forschern DARK CARTOGRAPHER genannt, die Schwachstellen in mobilen Netzwerken ausnutzen soll, um Werbe-Identifikatoren mit Telefonnummern zu verknüpfen. Die Autoren geben an, dass die Untersuchung dieses Akteurs noch läuft und dass weitere Analysen veröffentlicht werden sollen.
Das Risiko beschränkt sich daher nicht auf bösartige Werbung. Es umfasst auch die Möglichkeit, die für die Personalisierung von Anzeigen gesammelten Daten in ein Instrument zur Identifizierung und Verfolgung von Personen umzuwandeln.
Wie kann man sich vor über Werbung verbreiteter Spyware schützen?
Ein Zero-Click-Angriff erfordert keine offensichtliche Aktion des Benutzers. Aus diesem Grund reicht das bloße Vermeiden verdächtiger Links nicht aus, um alle Risiken zu eliminieren. Es gibt jedoch Maßnahmen, die die Exposition reduzieren und die Gerätesicherheit verbessern können.
Betriebssystem und Anwendungen aktualisieren
Installieren Sie Sicherheitsupdates für Android, iOS, Windows, macOS und die verwendeten Browser. Diese können Schwachstellen beheben, die zur Kompromittierung von Geräten ausgenutzt werden könnten. Updates bieten keinen absoluten Schutz vor fortschrittlichen Überwachungstools, sind aber ein wesentlicher Bestandteil der Verteidigung.
Reduzieren Sie die Exposition gegenüber Werbe-Tracking
Überprüfen Sie die Datenschutzeinstellungen Ihres Telefons und Browsers. Beschränken Sie Werbe-Identifikatoren und Berechtigungen für Anwendungen, die keinen Zugriff auf den Standort oder andere sensible Informationen benötigen.
Anti-Tracking-Schutz und Werbeblocker können bestimmte Formen der Datenerfassung reduzieren und die Exposition gegenüber einigen bösartigen Anzeigen begrenzen. Diese Tools garantieren jedoch nicht die Verhinderung von Zero-Click-Angriffen.
Erweiterte Sicherheitsfunktionen nutzen
Benutzer mit hohem Risiko, wie Journalisten, Aktivisten und Personen, die vertrauliche Informationen verwalten, sollten die erweiterten Schutzfunktionen ihrer Betriebssysteme bewerten. In organisatorischen Umgebungen können Maßnahmen die Geräteüberwachung, strenge Aktualisierungsrichtlinien, zentralisiertes Sicherheitsmanagement und Verfahren zur Reaktion auf Vorfälle umfassen.
Interpretieren Sie gewöhnliche Symptome nicht als Beweis für Spyware-Infektion
Ein schnell entladender Akku, ein sich erwärmendes Telefon oder ein ungewöhnlicher Datenverbrauch beweisen an sich nicht die Existenz von Spyware. Wenn es konkrete Hinweise auf einen ausgeklügelten Angriff gibt, wird empfohlen, das Gerät von einem Cybersicherheitsexperten bewerten zu lassen.
In solchen Situationen sollte das Zurücksetzen des Telefons nicht automatisch als ausreichende Lösung betrachtet werden, insbesondere wenn Beweise für eine Untersuchung aufbewahrt werden müssen.
Welche Maßnahmen wurden nach der Untersuchung von Citizen Lab ergriffen?
Der Bericht zeigt, dass die Forscher ihre Ergebnisse an Anbieter von Werbetechnologie und Branchenorganisationen weitergeleitet haben. Laut Citizen Lab haben Google und IAB Europe Discover-Tech aus ihren Listen der zugelassenen Anbieter entfernt, und Beeswax hat dem Unternehmen den Zugang zu seiner Plattform entzogen. Vungle (Liftoff) und Eskimi haben ebenfalls Maßnahmen zur Aussetzung oder Blockierung des Zugangs ergriffen.
Diese Interventionen sind wichtig, da sie zeigen, dass die Verhinderung von Missbrauch nicht ausschließlich den Nutzern überlassen werden kann. Werbeanbieter spielen eine direkte Rolle bei der Überprüfung von Partnern, der Überwachung ihres Verhaltens und der Unterbrechung des Zugangs, wenn glaubwürdige Beweise für Missbrauch vorliegen.
Citizen Lab fordert auch die Untersuchung möglicher Verstöße gegen geltende Gesetze durch Discover-Tech und Candiru/Integrity Labs. Dieser Aufruf ist von einem Gerichtsurteil zu unterscheiden: Der Bericht präsentiert Forschungsergebnisse und Empfehlungen, stellt aber nicht die endgültige rechtliche Verantwortung der Unternehmen fest.
Warum stellt diese Art von Spyware ein Problem für die gesamte Werbebranche dar?
Die Untersuchung beleuchtet ein strukturelles Problem: Die Werbeinfrastruktur ermöglicht den Umlauf sehr großer Datenmengen und involviert zahlreiche Vermittler, ohne dass der Nutzer alle technischen Komponenten sehen oder kontrollieren kann, die an der Anzeige einer Werbung beteiligt sind. Ein Anbieter, der Zugriff auf Werbe-Identifikatoren und Mechanismen zur Code-Bereitstellung hat, kann die Möglichkeit haben, diese Funktionen über den deklarierten kommerziellen Zweck hinaus zu nutzen.
Im Fall von AdFection behauptet Citizen Lab, dass diese Infrastruktur für Überwachung, Profilierung und die Bereitstellung von Spyware ausgenutzt wurde. Die Forscher sind der Ansicht, dass die Situation systemische Mängel in der Art und Weise aufzeigt, wie die Werbebranche die an Geboten teilnehmenden Akteure überprüft und überwacht.
Zur Risikoreduzierung sind strengere Anbieterüberprüfungen, unabhängige technische Audits, die Beschränkung des Datenzugriffs, effiziente Melde- und Interventionsmechanismen sowie eine sorgfältige Bewertung der Art und Weise erforderlich, wie Drittanbietercode in Anwendungen und Browsern ausgeführt werden kann. Diese Maßnahmen sind nicht nur für Werbeunternehmen relevant, sondern auch für Anwendungsentwickler, Website-Administratoren, öffentliche Institutionen und Organisationen, die sensible Daten verwalten.
Digitale Werbung muss als Cybersicherheitsrisiko behandelt werden
Der Citizen Lab-Bericht über AdFection dokumentiert, wie die Infrastruktur der Online-Werbung für Überwachung und die Verbreitung von Zero-Click-Spyware ausgenutzt werden kann. Die Analyse von Discover-Tech, der Controlium-Plattform und der Verbindungen zu Anbietern kommerzieller Spyware zeigt, dass die Risiken des Werbe-Ökosystems über den Bereich des Datenschutzes und des Trackings zu Marketingzwecken hinausgehen.
Für Nutzer sind die Aktualisierung von Geräten, die Begrenzung des Werbe-Trackings und die Nutzung geeigneter Sicherheitsfunktionen wichtige Maßnahmen, auch wenn sie nicht alle Risiken eliminieren können. Für die Branche ist die Hauptlehre, dass die Überprüfung von Anbietern, die Überprüfung der Infrastruktur und schnelles Eingreifen bei Missbrauch zentrale Bestandteile der Sicherheit digitaler Werbung werden müssen.
Wenn eine Anzeige in ein Spionagetool umgewandelt werden kann, hängt die Online-Sicherheit nicht mehr nur davon ab, was der Nutzer tut, sondern wird zur Verantwortung des gesamten technologischen Ökosystems.
Quelle: citizenlab.ca
Hinweis: Bild generiert von KI
