零点击间谍软件借道广告网络：Citizen Lab 揭露“AdFection”攻击链
Citizen Lab 研究人员近日披露了一起新型网络攻击案例，指控一家名为 Discover-Tech 的以色列 adtech（广告技术）公司充当中间人，协助间谍软件供应商通过定向在线广告投放“零点击”恶意代码。这是首例公开确认的、利用合法广告基础设施分发雇佣兵间谍软件的攻击事件。
这种被命名为“AdFection”的技术将常规的广告网络转变为间谍软件的分发渠道。受害者无需点击可疑链接或下载文件，仅需在加载网站或应用时即可触发感染。据调查，半岛电视台（Al Jazeera）的设备是主要受害目标之一。
Discover-Tech 的角色与争议
研究人员指出，总部位于以色列的 Discover-Tech 涉嫌主导了这一行动。该公司表面上是一家合法的广告代理商，实则充当在线广告行业与多家间谍软件及黑客供应商之间的桥梁。
“我们提供了技术证据，表明这家自称合法广告公司的企业，似乎是一个大规模广告间谍活动的幌子，”Citizen Lab 在报告中写道，“事实上，充当这一桥梁似乎是 Discover-Tech 的主要目的。”
Discover-Tech 旗下的 Controlium 平台利用了实时竞价（RTB）系统来决定哪些广告展示在网站和应用上。每当用户加载页面，广告商便会争夺广告位，并在此过程中接收有关用户设备和位置的数据。据称，Discover-Tech 利用这些数据识别特定高价值目标，并向其投放恶意广告。
与 Candiru 的关联及攻击规模
与该行动有关联的间谍软件供应商包括 Candiru（现已更名为 Integrity Labs）。Citizen Lab 追踪发现，在 2024 年和 2025 年期间，针对半岛电视台至少 45 台设备的攻击均源于通过 Discover-Tech 分发的 Candiru 间谍软件。
值得注意的是，Discover-Tech 并非非法潜入广告系统。自 2020 年起，谷歌和 IAB Europe 将其列为获批供应商，这意味着其在合规审查体系内运营多年却未被察觉滥用权限。
通过对近四十亿条广告竞价记录的筛选，研究人员发现在 2026 年 3 月至 6 月期间，Discover-Tech 的广告出现在超过 70,000 个移动应用和 120,000 个网站上。部分广告甚至触达了政府机构、国防组织以及北约的网络环境。
虽然研究人员未直接证实这些敏感组织设备被成功感染，但指出这些广告可能被用于对网络中的设备进行画像分析。此外，该行动还秘密地将数百万设备引导至与 Candiru 相关的服务器，尽管此类连接并不必然等同于间谍软件感染。
行业反应与结构性缺陷
事件曝光后，谷歌已终止 Discover-Tech 对其广告交易的访问权限，并将其从获批供应商名单中移除。IAB Europe 也采取了相同措施。其他合作伙伴如 Beeswax、Vungle 和 Eskimi 亦已切断与该公司的联系。截至发稿前，Discover-Tech 和 Candiru 均未回应置评请求。
Citizen Lab 认为，此次调查结果暴露出在线广告行业的严重结构性缺陷。一个与商业监控运营商有关联的公司，竟能在声称经过严格审查的生态系统中长期运营。
“Discover-Tech 的大规模滥用、侵犯隐私以及协助雇佣兵间谍软件攻击的行为，揭示了在线广告系统的结构性缺陷，该系统未能检测或阻止本报告中记录的滥用行为，”Citizen Lab 表示。
