Een deel van de spywarecampagnes waar we de laatste tijd over lezen, speelt zich niet alleen af in e-mail of via downloads. Volgens Citizen Lab is gecompromitteerde Candiru (via het leveringskanaal rondom de Candiru-spyware) in staat om slachtoffers te raken via advertenties, zonder dat gebruikers actief hoeven te klikken. Dat maakt het scenario bijzonder lastig te verdedigen met alleen klassieke maatregelen zoals “klik niet op links”.
In dit artikel zetten we uiteen hoe de advertentie-infrastructuur kan worden misbruikt, waarom real-time bidding (RTB) daarbij een rol speelt en welke praktische stappen organisaties kunnen nemen om dit soort gerichte advertentie-aanvallen te beperken.
Zero-click spyware via de advertentie-keten
Citizen Lab meldt dat apparaten bij een internationaal nieuwsplatform zijn geïnfecteerd via zogenoemde zero-click aanvallen. De aanvallen zouden lopen via gerichte advertenties die op doelwebsites werden getoond. In plaats van een traditionele exploit-link draait het hier om misbruik van het advertentie-ecosysteem zelf.
De campagne kreeg de naam AdFection. Binnen die operatie zouden gekochte advertenties worden gebruikt om gebruikers te de-anonimiseren, te fingerprinten en vervolgens te infecteren. Daarnaast is het doel om aanvallers de mogelijkheid te geven om slachtoffers te volgen op schaal.
Waarom real-time bidding (RTB) nuttig is voor aanvallers
Het advertentieproces dat we dagelijks zien, werkt vaak via veilingen. In RTB bieden ad exchanges en partijen die aan die keten deelnemen realtime om kans te maken een advertentie aan een specifieke gebruiker te tonen. Daarbij worden doorgaans veel gegevens verzameld over apparaat en gebruiker.
Citizen Lab beschrijft dat ad exchanges uitgebreide device- en userdata verwerken, waardoor tracking mogelijk is. Advertenties kunnen bovendien code bevatten die niet alleen meet, maar ook kan leiden tot uitvoering in de browser of in toepassingen. Normaliter is die code bedoeld voor tracking van impressies en kliks, maar dezelfde route kan ook worden misbruikt voor schadelijke payloads.
De rol van Discover-Tech: van ogenschijnlijk legitiem naar spionagekanaal
Een centrale schakel in het verhaal is een bedrijf dat advertenties levert. Citizen Lab noemt Discover-Tech een ogenschijnlijk legitieme aanbieder, maar wijst erop dat dit bedrijf (mogelijk als front) kan optreden voor een grotere campagne. Die campagne zou spyware-infecties en spionage kunnen faciliteren door een brug te vormen tussen ad-vendors en “mercenary spyware vendors”.
Volgens de onderzoekers biedt het bij Discover-Tech horende platform (Controlium) functionaliteit om miljoenen gebruikers te de-anonimiseren en te fingerprinten. Daarnaast zou het platform zero-click hacking mogelijk maken zodra een advertentie op het apparaat van het slachtoffer wordt geladen.
Hoe advertenties gebruikers kunnen identificeren en infecteren
Veel advertenties van Discover-Tech zouden een script bevatten dat automatisch verbinding maakt met de infrastructuur van het bedrijf. Vervolgens zou het systeem een advertentie-identificatie (ad ID) indienen en daarna JavaScript uitvoeren dat wordt aangestuurd op basis van combinaties van onder andere IP-adressen en identifiers.
Door die combinatie kunnen aanvallers vermoedelijk gericht spelers selecteren en de timing/inhoud van de aanval afstemmen op de kenmerken van de bezoeker. Daardoor ontstaat een traject waarbij het laden van de advertentie zelf voldoende kan zijn voor het inzetten van de besmetting.
Schaling en impact: brede plaatsing op websites en apps
Citizen Lab stelt dat aanvallen uit AdFection zich richtten op minstens 45 apparaten binnen de context van het nieuwsplatform, gedurende de periode tussen 2024 en 2025. In dat kader zouden doelapparaten zijn geraakt met Candiru-spyware.
Daarnaast onderzochten de onderzoekers een Discover-Tech-server die volgens hen 4 miljard ad bid records blootlegde. Die dataset suggereert dat Discover-Tech-advertenties verschenen op bijna 200.000 unieke websites en bovendien op Android- en iOS-applicaties wereldwijd. Met zo’n schaal is de drempel voor gerichte selectie lager, omdat veel distributiekanalen beschikbaar zijn.
Extra schakel: koppelingen met andere surveillance-aanvallen
Citizen Lab koppelt de activiteiten van Discover-Tech ook aan interacties met andere surveillance-actoren. Eén genoemde actor is Dark Cartographer, die volgens de onderzoekers databases zou opbouwen die mobiele advertising identifiers koppelen aan telefoonnummers. Dat zou kunnen gebeuren door kwetsbaarheden in verschillende mobiele netwerken uit te buiten.
Het relevante punt voor defenders is de ketenlogica: als advertising identifiers eenmaal gelinkt worden aan echte persoonlijke gegevens, neemt de effectiviteit van gerichte spywarelevering toe.
Wat betekent dit voor organisaties?
Het scenario rond gecompromitteerde Candiru laat zien dat het risico niet stopt bij “zorg dat je geen verdachte bestanden opent”. Als aanvallen via advertenties plaatsvinden, kan het laden van content op een legitiem kanaal al genoeg zijn.
Daarom ligt de nadruk op het beperken van de blootstelling aan gerichte advertenties die kunnen dienen als drager voor aanvallogica. Citizen Lab noemt als haalbare bescherming voor verdedigers het blokkeren van deze gerichte advertenties aan de “gateway”-kant.
Met andere woorden: je wilt voorkomen dat verdachte advertentieverkeer überhaupt je interne gebruikersnetwerk bereikt, en je wil voorkomen dat scripts/acties vanuit het advertentiepad uitgevoerd kunnen worden op eindapparaten.
Concreet: verdedigingsstappen die je vandaag kunt testen
Omdat dit soort aanvallen via de advertentie-infrastructuur lopen, zijn dit geen maatregelen die je met één instelling “oplossend” maakt. Zie het als een combinatie van verkleining van aanvalsoppervlak en snellere detectie.
1) Beperk advertentie-afhandeling bij gevoelige doelgroepen
Voor omgevingen waar veel waarde ligt (bijvoorbeeld newsroom- of persomgevingen, managementwerkplekken of teams met hoge datawaarde) kan het beperken van risicovolle advertentiekanalen helpen. Dat kan via gateway-controls, beleid rond contentcategorieën en segmentatie.
2) Gebruik een web/gateway-filteringstrategie die advertentie-gerichte dreigingen kan tegenhouden
Citizen Lab stelt dat blokkeren van “AdFection-style” vectors via de gateway het meest haalbare pad is zolang de industrie nog niet betrouwbaar alle varianten kan blokkeren. Onderzoek daarom of je gateway of secure web gateway in staat is om verdachte advertentiedomeinen, tracking-achtige gedragspatronen en scriptketens te onderbreken.
3) Monitor op ongebruikelijke script- en verbindingspatronen
Advertentieaanvallen kunnen leiden tot netwerkverbindingen en het ophalen/uitvoeren van JavaScript. Zet monitoring in die let op afwijkende patronen rondom webview-laadmomenten, onverwachte outbound verbindingen naar ad-infrastructuur en nieuwe of zelden geziene domeinen.
4) Werk je browser- en endpointverdediging bij
Hoewel het leveringsmechanisme via advertenties loopt, blijft de eindpuntlaag belangrijk. Zorg dat browsers, extensies en endpointbeveiliging actueel zijn en dat je beleid hebt om risico’s van scriptuitvoering en verdachte redirects te beperken.
Als je wilt leren van verwante patronen (waar ook RCE’s en actief misbruik een rol spelen), bekijk dan ook Cisco Secure Email Gateway: actief misbruik van kritieke bug. Dat artikel gaat weliswaar over een ander leveringspad, maar het onderliggende verdedigingsprincipe—snel patchen en actief misbruik doorbreken—komt overeen.
Advertentiebedrijven verwijderen het risico niet automatisch: wat er al is gebeurd
Volgens Citizen Lab hebben Google en IAB Europe Discover-Tech in oktober verwijderd uit hun vendorregistries. Google blokkeerde daarnaast toegang tot ad exchange-platforms. Ook Beeswax en Eskimi namen vergelijkbare maatregelen.
Dit is positief, maar het benadrukt ook waarom organisaties niet enkel kunnen leunen op platformbeslissingen. Als distributiekanalen veranderen of als soortgelijke aanbieders opduiken, blijft het nodig om eigen gateway- en endpointbeheersing door te voeren.
Conclusie
Gecompromitteerde Candiru laat zien hoe geavanceerde spywarelevering kan profiteren van de normale advertentie-keten. Door RTB-gedreven targeting, fingerprinting en scriptgedreven afhandeling kunnen aanvallers zero-click infecties uitvoeren zodra een advertentie wordt geladen.
De beste verdediging is daarom niet alleen “waak voor links”, maar een combinatie van gateway-bescherming, beperking van risicovolle advertentiekanalen, en monitoring op afwijkend webgedrag. Totdat de industrie advertentievarianten aantoonbaar betrouwbaar kan blokkeren, blijft het toepassen van gecontroleerde blokkering op gateway-niveau een belangrijk uitgangspunt.
