Citizen Lab afslører spionprogram, der kom ind via reklamer uden et klik

En onlineannonce kan rumme mere end et billede. Den kan også indeholde kode, og forskere ved Citizen Lab på University of Toronto har nu vist, hvordan sådan kode bruges til at installere spyware på en udvalgt persons enhed uden et eneste tryk. Forskerne kalder metoden AdFection. En person, der blev hacket på denne måde, ville »ikke opdage noget usædvanligt«, fortalte seniorforsker Bill Marczak til Wired. »Faktisk ville vedkommende måske slet ikke se nogen annonce.«

Det er vigtigt for alle, der har en telefon fyldt med gratis apps. Hidtil er zero-click-angreb for det meste blevet udført gennem sårbarheder i beskedapps, som virksomhederne kan lukke. Denne metode udnyttede i stedet den almindelige mekanisme, der afgør, hvilken annonce du ser: en auktion, som afvikles på en brøkdel af et sekund, hver gang en app eller webside indlæses, og som allerede videregiver din enheds annonce-id, din IP-adresse og oplysninger om din telefon.

Omdrejningspunktet er Discover-Tech, et Israel-registreret firma, der præsenterede sig som en annoncevirksomhed. Ifølge rapporten gav firmaets platform, Controlium, kunderne mulighed for at udpege et enkelt mål ved hjælp af annonce-id, browsercookie eller IP-adresse og sende kode til enheden, i det øjeblik en annonce blev vist. Alle andre fik en almindelig annonce. Citizen Lab knytter med stor sikkerhed en række angreb mod nyhedsnetværket Al Jazeera til Candiru, en spywareproducent, der nu kalder sig Integrity Labs. Mindst 45 enheder hos mediehuset blev målrettet, og en inficeret Windows-computer afslørede en fil, der pegede på Candirus servere.

Historien om, hvordan forskerne fik adgang, er næsten komisk. Controliums login-side indeholdt hele kildekoden til firmaets eget kontrolpanel, så holdet gemte siden, fjernede dens forbindelser til eksterne servere og aktiverede alle skærmbillederne. En Discover-Tech-server havde også efterladt næsten fire milliarder buddata fra annoncer frit tilgængelige. De viser annoncer med angriberens script-tag i 75.373 Android- og iOS-apps og på 120.768 websites. Her dukker velkendte navne op: Beskedappen Viber viste mere end 700.000 af annoncerne på Android, og de optrådte også i Yahoo Mail, Opera Mini og Duolingo.

De tal skal læses med omtanke. At en Discover-Tech-annonce vises på din skærm, betyder ikke, at din telefon er blevet hacket, understreger Citizen Lab. I de fleste tilfælde sendte firmaets server slet ingen kode tilbage, og buddataene dækker kun én af firmaets annonceplatforme over fire måneder. Citizen Lab har ikke oplyst, hvilke regeringer der betalte for operationen mod Al Jazeera, og konstateringen af, at annoncerne nåede netværk hos NATO, FN og flere europæiske institutioner, viser rækkevidde, ikke bekræftede infektioner. I Norge nåede annoncerne parlamentets og politiets netværk; i Sverige nåede de de væbnede styrkers og den nationale netoperatørs netværk. De muligheder, almindelige mennesker har for at beskytte sig, er begrænsede. Marczaks råd til alle, der kan blive målrettet »på grund af, hvem du er, eller hvad du gør«, er at slå annoncesporing fra eller helt blokere annoncer.

Annoncebranchen er begyndt at reagere. Google oplyser, at selskabet blokerede Discover-Tech fra sine annonceplatforme efter en fælles undersøgelse med Citizen Lab og sikkerhedsfirmaet Confiant, og at det tilføjede advarsler i Safe Browsing for websites med forbindelse til gruppen. IAB Europe suspenderede firmaet fra sin liste over godkendte annonceleverandører, og Comcast-ejede Beeswax fjernede det fra sin platform. Discover-Tech svarede ikke Wired eller TechCrunch.

Citizen Lab offentliggjorde rapporten den 15. oktober 2026. Den omhandler angrebene mod Al Jazeera i 2024 og 2025 samt buddata fra marts til juni 2026. En anden rapport om en separat gruppe, som laboratoriet kalder DARK CARTOGRAPHER, er på vej. Ifølge Citizen Lab brugte gruppen den samme infrastruktur til at koble telefoners annonce-id’er sammen med deres telefonnumre ved at udnytte sårbarheder hos mobiloperatører i mere end 30 lande.

Marczak kalder Discover-Tech »med al sikkerhed kun toppen af isbjerget«. Hans hold skulle ikke lede længe efter firmaets annoncer. De dukkede op på forskernes egne skærme, mens de læste CBC’s og Yahoo’s websites og spillede Sudoku på Android.

Tags: AdFection, Candiru, Citizen Lab, Discover-Tech, it-sikkerhed, onlinereklame