บริษัทโฆษณาอิสราเอลถูกใช้เป็นช่องทางส่ง Spyware ของ Candiru

Spyware ของ Candiru ได้แพร่ระบาดเข้าสู่เครื่องมือสื่อสารของเครือข่ายข่าวระดับโลกอย่าง Al Jazeera ผ่านการโจมตีแบบ zero-click โดยใช้โฆษณาที่กำหนดเป้าหมายเป็นสื่อกลาง ตามรายงานล่าสุดจาก Citizen Lab กลุ่มเฝ้าระวังอินเทอร์เน็ตสัญชาติแคนาดา

ในปฏิบัติการที่ชื่อว่า AdFection โฆษณาที่จัดซื้อโดยบริษัท Discover-Tech ของอิสราเอล ถูกใช้เป็นช่องทางเปิดเผยตัวตน (de-anonymize) ระบุเอกลักษณ์อุปกรณ์ (fingerprint) และแพร่เชื้อสู่ผู้ใช้งาน ซึ่งช่วยให้ผู้ไม่หวังดีสามารถติดตามอุปกรณ์ได้หลายล้านเครื่อง โดยปกติในระบบโฆษณาออนไลน์ บริษัทต่างๆ จะร่วมประมูลแบบ Real-Time Bidding (RTB) นับพันล้านครั้งต่อวันบน ad exchanges เพื่อสิทธิ์ในการแสดงโฆษณา ซึ่งกระบวนการนี้จะมีการเก็บรวบรวมข้อมูลผู้ใช้จำนวนมหาศาล และตัวโฆษณาเองอาจมีโค้ดที่รันในแอปพลิเคชันหรือเบราว์เซอร์เพื่อติดตามยอดการมองเห็นหรือการคลิก

อย่างไรก็ตาม Citizen Lab ระบุว่าโฆษณาเหล่านี้อาจถูกฝังโค้ดอันตรายที่นำไปสู่การติดเชื้อ malware และสามารถใช้ตัวระบุ (identifiers) ในระบบเพื่อมุ่งเป้าโจมตีบุคคลที่เจาะจงด้วย spyware ได้

Discover-Tech ซึ่งดูเหมือนเป็นบริษัทโฆษณาทั่วไป ถูกตั้งข้อสังเกตว่าเป็นฉากหน้าของแคมเปญจารกรรมขนาดใหญ่ โดยทำหน้าที่เป็นสะพานเชื่อมระหว่างผู้ให้บริการโฆษณาและผู้ขาย mercenary spyware ผ่านแพลตฟอร์ม Controlium ของบริษัทที่สามารถระบุตัวตนผู้ใช้และแฮกข้อมูลแบบ zero-click ได้ทันทีที่โฆษณาปรากฏบนเครื่องเหยื่อ

แม้บริษัทจะทำงานร่วมกับพันธมิตรหลายราย แต่ Citizen Lab ยืนยันว่ามีการใช้ช่องทางนี้เพื่อทำประวัติผู้ใช้และแพร่เชื้อในนามของ Candiru ผู้ขาย spyware ในอิสราเอล โดยพบว่าโฆษณาของ Discover-Tech มีสคริปต์ที่เชื่อมต่อกับโครงสร้างพื้นฐานของตนเองเพื่อส่ง advertising ID และรัน JavaScript code ตามชุดข้อมูล IP addresses และตัวระบุต่างๆ

ในช่วงปี 2024 ถึง 2025 พบอุปกรณ์อย่างน้อย 45 เครื่องในเครือข่าย Al Jazeera ถูกกำหนดเป้าหมายในปฏิบัติการ AdFection จนนำไปสู่การติด spyware ของ Candiru นอกจากนี้ยังตรวจพบเซิร์ฟเวอร์ของ Discover-Tech ที่บันทึกข้อมูลการประมูลโฆษณากว่าสี่พันล้านรายการ ซึ่งเผยให้เห็นว่าโฆษณาเหล่านี้กระจายอยู่ในเว็บไซต์เกือบ 200,000 แห่ง รวมถึงแอปพลิเคชัน Android และ iOS ทั่วโลก

Citizen Lab ยังวิเคราะห์การเชื่อมโยงกับผู้ไม่หวังดีรายอื่น เช่น Dark Cartographer ที่กำลังสร้างฐานข้อมูลเชื่อมโยงตัวระบุโฆษณาบนมือถือเข้ากับหมายเลขโทรศัพท์ โดยอาศัยช่องโหว่ของผู้ให้บริการมือถือเพื่อเปิดเผยตัวตนผู้ใช้อินเทอร์เน็ตจำนวนมาก

ล่าสุดเมื่อต้นเดือนตุลาคม Google และ IAB Europe ได้ลบบริษัทนี้ออกจากทะเบียนผู้ให้บริการโฆษณาแล้ว พร้อมทั้งบล็อกการเข้าถึงแพลตฟอร์ม ad exchange เช่นเดียวกับ Beeswax และ Eskimi ที่ดำเนินการในลักษณะเดียวกัน

สำหรับแนวทางการป้องกัน Citizen Lab ประเมินว่าผู้ดูแลระบบควรบล็อกโฆษณาที่กำหนดเป้าหมาย (targeted ads) ที่ระดับเกตเวย์ ซึ่งเป็นวิธีที่มีประสิทธิภาพที่สุดในปัจจุบัน จนกว่าอุตสาหกรรมโฆษณาจะสามารถพิสูจน์ได้ว่ามีวิธีการบล็อกช่องทางลักษณะเดียวกับ AdFection ได้อย่างน่าเชื่อถือ