Citizen Lab вскрыла заражение шпионским ПО через таргетированную рекламу Израильская Discover-Tech с 2020 года числилась проверенным рекламным поставщиком в реестрах Google и IAB Europe. Показы закупала на биржах Google, Яндекса и других. По данным Citizen Lab, главная её работа - связывать рекламные биржи с производителями коммерческого шпионского ПО и их государственными заказчиками. Схема простая. Каждый показ баннера - аукцион за доли секунды, и приложение отдаёт на биржу рекламный идентификатор устройства, IP-адрес, модель, иногда точное местоположение. Заказчик вбивает в панель Discover-Tech идентификатор или IP цели. В выигранном баннере сидит скрипт, который обращается к серверу компании: цели тот возвращает код с переходом на сервер атакующего, остальным - пустой ответ. Нажимать ничего не надо, хватает того, что реклама отрисовалась, порой в фоне. Проверки бирж такое не ловят, код получает только цель. Подтверждённый случай - Al Jazeera. В 2024-2025 гг. так атаковали не менее 45 устройств в сети телеканала, заражали шпионским ПО израильской Candiru (теперь Integrity Labs). С одного компьютера сняли образец под Windows. Какая уязвимость использовалась, в отчёте не раскрыто. Только по собственной закупочной платформе компании за март-июнь 2026 г. - около 3,8 млрд ставок, из них примерно каждая пятая на баннер с таким скриптом. Их показали в 75 тыс. приложений и 120 тыс. сайтов, от Viber и MX Player до погоды, игр и yandex.ru. Показы Discover-Tech попали в сети минобороны Израиля и Италии, вооружённых сил Швеции, НАТО, Saab, Raytheon, Elbit. Сам показ ещё не заражение, авторы это оговаривают. Но данные с устройства уходят Discover-Tech и без него. Две трети ставок (67,4%) этой платформы шли через биржу Яндекса, в панели был отдельный канал «MyDSP Yandex RU». Идентификаторы пользователей Discover-Tech синхронизировала с яндексовыми, фоновые запросы к её домену для этого замечены в основном на российских сайтах. Россия есть и в списке стран, где показы попали в государственные сети. Google, IAB Europe и ещё три площадки после расследования Discover-Tech отключили или приостановили. Яндекса среди них нет, комментария Яндекса в отчёте тоже нет. Те же баннеры пытались через утечку WebRTC вытащить настоящий IP у пользователей VPN. У абонентов мобильного интернета - номер телефона, через сервисы операторов, которые сами подставляют номер в незашифрованный HTTP-запрос. По оценке Citizen Lab, этим минимум с 2019 года занимается отдельный участник в сетях операторов более 30 стран, разбор выйдет отдельно. А без всякого заражения поток аукционных данных по одному идентификатору показывает, как телефон перемещается и через что выходит в сеть: сотовую связь, Wi-Fi, VPN. Что советует отчёт: ⚙️ резать рекламу и следящие скрипты на шлюзе и на самих устройствах. Авторы считают это самой реальной защитой, пока биржи не научатся надёжно отсекать такие баннеры ⚙️ удалить или регулярно сбрасывать рекламный идентификатор, отключить рекламное отслеживание; на служебных телефонах - принудительно, через централизованное управление ⚙️ браузер со встроенной блокировкой рекламы и слежки, дома - блокировка рекламы на роутере ⚙️ администраторам - смотреть трафик рекламных показов и закрыть на шлюзе известную инфраструктуру: mtrtb[.]com, mydsp[.]io, myweb3id[.]io, tracookiepixel[.]xyz, powerium[.]net, controlium[.]net, myipinfo[.]io, dtech.adtimizer[.]co Список закрывает одну компанию, а сам способ, как подозревают авторы, шире. Так что на служебном и фронтовом телефоне бесплатным плеерам, погоде и играм с рекламой не место. 🟢Подписаться на канал 🟢Подписаться в MAX Citizen Lab вскрыла заражение шпионским ПО через таргетированную рекламу Израильская Discover-Tech с 2020 года числилась проверенным рекламным поставщиком в реестрах Google и IAB Europe. Показы закупала на биржах Google, Яндекса и других. По данным Citizen Lab, главная её работа - связывать рекламные биржи с производителями коммерческого шпионского ПО и их государственными заказчиками. Схема простая. Каждый показ баннера - аукцион за доли секунды, и приложение отдаёт на биржу рекламный идентификатор устройства, IP-адрес, модель, иногда точное местоположение. Заказчик вбивает в панель Discover-Tech идентификатор или IP цели. В выигранном баннере сидит скрипт, который обращается к серверу компании: цели тот возвращает код с переходом на сервер атакующего, остальным - пустой ответ. Нажимать ничего не надо, хватает того, что реклама отрисовалась, порой в фоне. Проверки бирж такое не ловят, код получает только цель. Подтверждённый случай - Al Jazeera. В 2024-2025 гг. так атаковали не менее 45 устройств в сети телеканала, заражали шпионским ПО израильской Candiru (теперь Integrity Labs). С одного компьютера сняли образец под Windows. Какая уязвимость использовалась, в отчёте не раскрыто. Только по собственной закупочной платформе компании за март-июнь 2026 г. - около 3,8 млрд ставок, из них примерно каждая пятая на баннер с таким скриптом. Их показали в 75 тыс. приложений и 120 тыс. сайтов, от Viber и MX Player до погоды, игр и yandex.ru. Показы Discover-Tech попали в сети минобороны Израиля и Италии, вооружённых сил Швеции, НАТО, Saab, Raytheon, Elbit. Сам показ ещё не заражение, авторы это оговаривают. Но данные с устройства уходят Discover-Tech и без него. Две трети ставок (67,4%) этой платформы шли через биржу Яндекса, в панели был отдельный канал «MyDSP Yandex RU». Идентификаторы пользователей Discover-Tech синхронизировала с яндексовыми, фоновые запросы к её домену для этого замечены в основном на российских сайтах. Россия есть и в списке стран, где показы попали в государственные сети. Google, IAB Europe и ещё три площадки после расследования Discover-Tech отключили или приостановили. Яндекса среди них нет, комментария Яндекса в отчёте тоже нет. Те же баннеры пытались через утечку WebRTC вытащить настоящий IP у пользователей VPN. У абонентов мобильного интернета - номер телефона, через сервисы операторов, которые сами подставляют номер в незашифрованный HTTP-запрос. По оценке Citizen Lab, этим минимум с 2019 года занимается отдельный участник в сетях операторов более 30 стран, разбор выйдет отдельно. А без всякого заражения поток аукционных данных по одному идентификатору показывает, как телефон перемещается и через что выходит в сеть: сотовую связь, Wi-Fi, VPN. Что советует отчёт: ⚙️ резать рекламу и следящие скрипты на шлюзе и на самих устройствах. Авторы считают это самой реальной защитой, пока биржи не научатся надёжно отсекать такие баннеры ⚙️ удалить или регулярно сбрасывать рекламный идентификатор, отключить рекламное отслеживание; на служебных телефонах - принудительно, через централизованное управление ⚙️ браузер со встроенной блокировкой рекламы и слежки, дома - блокировка рекламы на роутере ⚙️ администраторам - смотреть трафик рекламных показов и закрыть на шлюзе известную инфраструктуру: mtrtb[.]com, mydsp[.]io, myweb3id[.]io, tracookiepixel[.]xyz, powerium[.]net, controlium[.]net, myipinfo[.]io, dtech.adtimizer[.]co Список закрывает одну компанию, а сам способ, как подозревают авторы, шире. Так что на служебном и фронтовом телефоне бесплатным плеерам, погоде и играм с рекламой не место. 🟢Подписаться на канал 🟢Подписаться в MAX
- 3
- 2
- 1
- 1