Исследователи утверждают, что израильская рекламная компания помогла производителю шпионского ПО нацелиться на «Аль-Джазиру» с помощью онлайн-рекламы

По данным исследователей из Citizen Lab, израильская рекламная компания DiscoverTech на протяжении многих лет тайно помогала разработчикам шпионского ПО размещать свои хакерские программы на популярных веб-сайтах, что привело к кибератаке, целью которой стали как минимум 45 устройств сотрудников новостного агентства «Аль-Джазира». Эти выводы, изложенные в отчете, опубликованном в четверг Citizen Lab, стали первым случаем, когда эксперты по кибербезопасности продемонстрировали, как онлайн-рекламные платформы — столь распространенные в интернете, что от них невозможно уйти, — могут использоваться в качестве канала для взлома устройств посетителей без их ведома. «Каждый раз, когда мы просматриваем интернет или открываем приложение, все данные на нашем устройстве могут быть взломаны злоумышленниками, и мы даже не будем об этом знать», — сказала Наталья Крапива, эксперт по шпионскому ПО из некоммерческой организации по защите цифровых прав Access Now, которая ознакомилась с отчетом, но не участвовала в его подготовке. «Государства и технологические компании, инфраструктура которых используется для проведения этих атак, должны принять срочные технические, правовые и регуляторные меры». Отчет является результатом совместной работы американской компании Confiant, специализирующейся на безопасности рекламы, и Citizen Lab — подразделения Университета Торонто, занимающегося исследованием компьютерных программ-шпионских средств, создаваемых по заказу. Шпионское ПО часто сдается в аренду правительствам по всему миру, чтобы помочь им взломать устройства людей, за которыми они хотят следить. Хотя компании, разрабатывающие шпионское ПО, часто рекламируют свои продукты как важнейшие инструменты, необходимые правительствам для обеспечения национальной безопасности, эта технология неоднократно использовалась по всему миру для преследования журналистов, правозащитников и политической оппозиции. Как отмечается в отчете, DiscoverTech — это компания из Тель-Авива, занимающаяся продажей услуг в сфере онлайн-рекламы. «Мы гордимся тем, что предоставляем нашим клиентам доступ к глобальному трафику, свободному от мошенничества, связывая ваш бренд с реальными пользователями», — говорится на ее сайте. DiscoverTech входит в число компаний, помогающих брендам размещать свою рекламу на сайтах, которые могут посещать потенциальные клиенты. Однако, как отмечается в отчете, компания тайно запускала отдельную программу, позволявшую производителям шпионского ПО внедрять вредоносное ПО на устройства посетителей. По словам исследователей, вредоносный код, использованный для взлома компьютеров «Аль-Джазиры», был особенно эффективен, поскольку представлял собой шпионское ПО типа «no-click» — то есть жертве не нужно было скачивать файл или даже нажимать на ссылку, чтобы заразиться: достаточно было просто зайти на сайт с уязвимым компьютером и увидеть рекламу. Взломы, о которых до публикации отчета Citizen Lab не сообщалось, произошли в 2024 и 2025 годах. Как указано в отчете Citizen Lab, телеканал «Аль-Джазира» предоставил лаборатории сетевые журналы за период атак, которые исследователи использовали для реконструкции хода событий. Ранее сообщалось, что телефоны 36 журналистов и сотрудников «Аль-Джазиры» были взломаны с помощью, как утверждалось, шпионского ПО «Pegasus», разработанного другой израильской компанией — NSO Group, — скорее всего, операторами, связанными с Саудовской Аравией и Объединёнными Арабскими Эмиратами. Компания NSO тогда заявила, что изучит эти выводы. «Аль-Джазира» не ответила на запрос о комментарии. Не ответили также DiscoverTech и ее генеральный директор. Как и многие рекламные платформы, DiscoverTech имеет широкий охват: в отчете говорится, что она размещает рекламу почти на 200 000 веб-сайтах, в приложениях для Android и iOS, включая ресурсы крупных медиаорганизаций, поисковых систем, государственных учреждений и сервисов знакомств. В отчете говорится, что компания Confiant обнаружила рекламу DiscoverTech, размещенную в сетях крупных государственных структур, таких как Министерство обороны США и Министерство экономики Нидерландов, хотя при этом подчеркивается, что наличие рекламы не означает, что эти организации стали целью вредоносных кампаний. Пять рекламных агентств и отраслевых организаций отреагировали на выводы Citizen Lab, отключив DiscoverTech от своих платформ. Представитель Google сообщил NBC News, что Google оказал содействие Citizen Lab и Confiant в их расследовании и подтвердил их выводы, заявив, что DiscoverTech теперь заблокирован в Google Ads. Представитель IAB Europe, крупнейшей в Европе отраслевой организации рекламной индустрии, заявил, что она приостановила доступ DiscoverTech к своим платформам. В отчете отмечается, что рекламные платформы Beeswax, Vungle и Eskimi предприняли аналогичные действия. Индустрия онлайн-рекламы представляет собой обширную, запутанную и в значительной степени нерегулируемую систему, которая опирается на хранение значительного объема технической информации о людях. Веб-сайты редко напрямую контролируют, какие компании размещают рекламу на их страницах. Вместо этого рекламодатели заранее программируют «ставки» для каждого посетителя и часто предпочитают показывать рекламу людям, соответствующим определенным характеристикам, чтобы их реклама была более целенаправленной. Отрасль обычно воздерживается от сбора конкретной личной информации о людях, но присваивает им отраслевые «рекламные идентификаторы» и связывает с ними такие данные, как возраст, пол, местоположение и предпочтения. Исследователи утверждают, что DiscoverTech подключается к этой системе, чтобы предлагать секретную программу под названием Controlium, которая позволяет компаниям, разрабатывающим шпионское ПО, использовать рекламную сеть DiscoverTech для выявления людей, чьи устройства можно взломать, и помогает им доставлять вредоносный код для захвата контроля над этими устройствами. Controlium не упоминается на сайте DiscoverTech, но исследователи утверждают, что обнаружили исходный код на страницах входа в систему и смогли проанализировать некоторые аспекты работы программы. Она позволяла пользователям выбирать конкретных людей для заражения или профилирования с помощью рекламных идентификаторов их телефонов, идентификаторов браузеров или IP-адресов — номеров, присваиваемых интернет-соединениям, которые помогают связать людей с такими местоположениями, как их дома. Исследователи обнаружили, что израильская компания Candiru, занимающаяся разработкой шпионского ПО и ныне действующая под названием Integrity Labs, использовала рекламные объявления DiscoverTech для распространения своего шпионского ПО. В 2021 году Министерство торговли США внесло Candiru в свой «Список юридических лиц», заявив, что иностранные правительства использовали её программное обеспечение для преследования журналистов, активистов и государственных чиновников. Вольфи Кристл, один из исследователей Citizen Lab, подготовивших этот отчет, заявил, что он иллюстрирует то, о чем эксперты по кибербезопасности давно предупреждали: непрозрачная индустрия онлайн-рекламы может служить каналом, по которому хакеры находят своих жертв, и что большинству людей следует рассматривать программы для блокировки рекламы как важнейший инструмент кибербезопасности. Однако даже это не является стопроцентной гарантией, добавил он. «Я считаю, что наши выводы еще раз подтверждают: блокировка рекламы должна рассматриваться как передовая практика в области кибербезопасности. Однако, поскольку блокировщики рекламы часто пытаются найти баланс между защитой и удобством использования, они все же могут не обеспечивать постоянную защиту от вредоносной рекламы и другого вредоносного кода», — сказал Кристл. «Мы рекомендуем сбросить или отключить так называемый рекламный идентификатор на мобильных устройствах и использовать функции отказа от рекламы в приложениях. В целом, постоянно защищаться от вредоносной рекламы сложно, если не сказать практически невозможно», — добавил он.