研究人员揭露通过定向广告投放商业间谍软件的攻击方式 半岛电视台成为以色列攻击目标
内容提要
多伦多大学公民实验室报告披露，以色列公司Discover-Tech利用广告竞价系统筛选目标设备，通过广告脚本零点击植入间谍软件，实施“AdFection”攻击。2024至2025年，半岛电视台至少45台设备遭攻击，恶意样本被归因于以色列商业间谍软件公司Candiru。
延伸解读
广告竞价系统如何成为攻击跳板
文章指出，广告竞价系统在传递设备和展示信息时，可能包含广告标识符、Cookie、IP地址等数据。Discover-Tech运营的Controlium平台可利用这些信息筛选目标设备，再通过广告脚本下发后续JavaScript，配合浏览器漏洞发起攻击。这意味着原本用于精准营销的实时竞价机制，可能被滥用为定向投毒通道，且攻击链在广告加载时即触发，无需用户点击。
零点击攻击的隐蔽性与触发条件
这种被称为AdFection的攻击属于零点击类型，用户只需打开网站或应用让广告加载完成，就可能触发攻击链。但文章强调，并非每次广告展示都会下发恶意代码，服务器会根据设备标识符等信息决定是否向特定目标返回脚本。这种选择性投毒增加了检测难度，也说明攻击者具备较强的目标筛选能力。
半岛电视台遇袭事件的关键事实
根据公民实验室报告，2024至2025年间，半岛电视台至少45台设备被列为攻击目标。研究团队从一台被感染设备上提取到恶意软件样本，通过服务器信息和代码特征，以较高置信度将攻击归因于以色列商业间谍软件公司Candiru，并关联到Discover-Tech的广告平台。这些事实表明，商业间谍软件正与广告技术结合，形成新的攻击模式。
Q&A
什么是AdFection攻击？
AdFection是一种利用定向广告投放商业间谍软件的攻击方式，攻击者通过广告竞价系统筛选特定设备，在广告展示时加载恶意代码，全程无需用户点击广告或下载文件。
AdFection攻击是如何实现的？
攻击者利用广告竞价系统传递的设备信息（如广告标识符、Cookie、IP地址等）筛选目标设备，然后通过广告中的脚本向特定设备发送后续JavaScript脚本，配合浏览器漏洞展开攻击。用户只需打开网站或应用让广告加载完成即可触发攻击链。
半岛电视台是如何成为攻击目标的？
公民实验室根据半岛电视台提供的网络日志，追踪到2024至2025年针对半岛电视台的攻击，至少45台设备被列为攻击目标。攻击与Discover-Tech广告和商业间谍软件Candiru以较高置信度关联。
AdFection攻击涉及哪些公司？
攻击涉及以色列广告技术公司Discover-Tech（运营Controlium平台）和以色列商业间谍软件公司Candiru（被称为牙签鱼）。
AdFection攻击需要用户点击广告吗？
不需要。这种攻击被称为零点击，用户只需打开网站或应用让广告加载完成即可触发攻击链，无需主动点击广告或下载恶意软件。
研究人员是如何将攻击归因到Candiru的？
研究团队从某台被感染的设备上提取到恶意软件样本，通过样本中的服务器信息和代码特征，将间谍软件归因到以色列特拉维夫商业间谍软件公司Candiru。
