噩梦成真：零点击间谍软件借定向广告感染手机
周四，多伦多大学公民实验室（Citizen Lab）的研究人员揭示了一个现实中最糟糕的情况：间谍软件 正在悄无声息地感染目标，只需在日常数字生活中浏览广告即可中招。
研究人员将此类攻击命名为“AdFection”，并记录了一场行动：一家据称隶属于以色列的广告公司，其服务器与某间谍软件公司的服务器相连，通过其侵入性恶意软件感染了几十台设备。Citizen Lab认为，这是首次公开披露详细技术证据，证明精密间谍软件可通过数字广告感染设备。
零点击漏洞对攻击者而言是圣杯，对受害者则是灾难，因为无需目标进行任何交互或犯错，恶意软件就能自动安装在设备上。近年来，精密黑客在部署罕见的零点击攻击时，通常利用移动消息和通信应用中的漏洞来感染受害者。但攻击者还利用了庞大的在线广告生态系统基础设施来分发恶意软件，有时甚至无需受害者进行任何交互。Citizen Lab研究人员发现的零点击间谍软件行动证据表明，这两种威胁正在合并，凸显了风险的广度与紧迫性。
“AdFection允许操作者使用雇佣兵间谍软件，在目标使用应用或浏览互联网时自动对其发起攻击，”Citizen Lab的高级研究员Bill Marczak说道。“以这种方式被黑掉的人不会察觉到任何异常。事实上，他们甚至可能根本看不到任何广告。”
他指出，当前形势令人深感忧虑，因为除了尽可能全面地屏蔽所有网站和平台上的广告外，人们几乎没有其他手段来防范零点击广告攻击。NSA、CIA 等情报机构显然深谙此道——他们甚至在使用广告拦截器。
Citizen Lab 高级研究员 Wolfie Christl 表示：“仅通过访问显示广告的网站或使用相关应用，设备就面临被植入间谍软件的风险，这简直是一场噩梦。”
2024 年至 2025 年间，Citizen Lab 得出结论：媒体机构 Al Jazeera 名下的 45 台设备遭遇了通过广告投放的零点击攻击。研究人员称，这些定向广告由以色列背景的营销公司 Discover-Tech 发布，并投递了归因于以色列开发者 Candiru 的间谍软件。据 Citizen Lab 分析，受感染设备先访问了与 Discover-Tech 关联的域名，随后连接至与 Candiru 相关的网络基础设施。（Al Jazeera 参与了此次调查并向 Citizen Lab 研究人员共享了设备日志，但未回应媒体的置评请求。）
Marczak 表示：“能够向特定用户推送个性化的任意内容，是现代在线广告生态系统的典型特征，这也完美契合了职业间谍软件行业的运作模式。除非改变这种架构，或者广告公司真正重视客户审核，否则这类滥用行为将持续发生。”
WIRED 发送给 Discover-Tech 及其 CEO 的邮件和信息在文章发布前均未获得回应。Integrity Partners 被普遍认为持有 Candiru 的资产，该公司此前已因 2021 年美国政府的制裁被列入实体清单，但同样未回应置评请求。
Google 拥有全球最大的广告业务之一。在与 Citizen Lab 以及网络安全公司 Confiant 的研究人员合作并确认了 spyware 关联后，Google 终止了 Discover-Tech 的注册。Google 发言人表示：“在与 Citizen Lab 和 Confiant 开展联合调查后，我们已在广告平台上封禁了系统性违反我们政策的 Discover-Tech。我们还设置了 Safe Browsing 警告，在用户访问与该团伙相关的网站时提供保护。” 广告行业组织互动广告局（IAB）欧洲分部向 WIRED 证实，已将 Discover-Tech 从其全球供应商名单 GVL 中停用。IAB Europe 表示，此举是在对其政策进行审计后作出的。IAB Europe 一位发言人说：“如果 spyware 相关结论得到进一步证实，也可能成为将其从 GVL 永久除名的依据。” 隶属于 Comcast 的在线广告行业公司 Beeswax 的发言人发表声明称：“在近期发现相关活动并经第三方安全专家独立核实后，Beeswax 已将 Discover-Tech 从我们的平台移除。我们对恶意广告实行零容忍政策。” 你在网上或应用里看到的广告，通常是通过一个称为实时竞价的复杂流程展示的——本质上是一场自动化拍卖，广告主竞相出价，争取向你展示特定广告。这个只需几毫秒的过程，会让广告主收集到关于你设备、位置和浏览历史的海量数据，以及更多的信息。多年来，这一流程一直是隐私领域的噩梦：阴暗的数据经纪人贩卖个人信息，执法机构和敌对国家则购买这些数据来追踪或定位目标人物。Citizen Lab 研究人员指出，Discover-Tech 运营着一个名为 Controlium 的广告平台，该平台允许用户在广告展示后“去匿名化、识别指纹并自动感染设备”。研究人员估计，数百万台设备被重定向至 Candiru 的服务器，从而被进行画像分析。通过分析 Discover-Tech 网站公开展示的广告竞价记录，Citizen Lab 研究人员发现，今年 3 月至 6 月期间，涉及攻击脚本标签的广告展示了在超过 7 万个移动应用和 12 万个网站上。研究人员称，多个应用展示了超过一百万条与 Discover-Tech 相关的广告。
该公司的广告并非全都武器化用于分发间谍软件，但研究人员表示，总体而言，他们已在全球范围发现 Discover-Tech 广告出现在政府及国家安防相关网络中。这些网络包括北约、联合国，以及欧洲立法机构、澳大利亚关键基础设施提供商，还有挪威和瑞典的军队和政府机构。
此前分发间谍软件的零点击定向广告投放活动 很少在公众视野中曝光，但 Citizen Lab 研究人员表示，这可能是因为广告基础设施被广泛信任和嵌入数字生活的方方面面，却缺乏具体的监管。
“半岛电视台的网络日志是理解该攻击基于广告性质的关键，”Marczak 说道。“如果用户个人设备成为目标，例如当他们连接家庭 Wi-Fi 或移动数据时，那里的网络监控程度不会那么高。因此，我认为之前缺乏报道主要是因为可见性问题：防御者必须在正确的时间出现在正确的地方，关注正确数据。”
就数字广告生态系统的普遍性可能带来的威胁而言，数字媒体行业组织 Digital Content Next 的首席执行官 Jason Kint（WIRED 的母公司 Condé Nast 是该组织成员）表示，此类攻击既合理可行，又危害巨大。
“虽然罕见且手段高明，但我对通过广告实施零点击攻击并不感到完全意外，”Kint说道。“任何直接违背用户预期或降低对开放网络信任的行为，都令人深感担忧。”