零点击间谍软件藏进网络广告：半岛电视台45台设备被植入

零点击间谍软件藏进网络广告：半岛电视台45台设备被植入

看一眼广告 设备就被悄悄植入

Citizen Lab 10月15日发布第195号报告《Exposing AdFection》，首次公开技术证据：雇佣间谍软件能搭着定向网络广告进到目标设备，不用点击、不用下载，受害者毫无察觉。研究员 Bill Marczak 对《连线》说，被这样入侵的人"甚至可能根本没看到过任何广告"。

广告竞价平台被改造成入侵管道

被点名的是以色列数字广告代理 Discover-Tech，2020年成立，对外自称专业广告公司。Citizen Lab 认定它是"广告供应商与雇佣间谍软件生态之间的桥梁"：客户上传手机广告 ID、cookie ID、IP 地址清单，勾选"去匿名化"投放，按国家限定范围，持续竞价直到广告出现在指定设备上。

45台半岛设备确认中招

受害的是半岛电视台。Citizen Lab 称，2024 至 2025 年间这家卡塔尔广播机构至少 45 台设备在被展示定向广告后遭植入，以高置信度关联到以色列间谍软件厂商坎迪鲁（Candiru）。半岛电视台交出了自家网络日志：固定序列是 Discover-Tech 广告曝光、几秒内坎迪鲁校验请求、攻击服务器介入，1 到 3 分钟内出现命令控制流量。

广告也投进军事与核机构网络

波及远超一家新闻机构。Ars Technica 转述报告称，这些广告出现在北约、联合国网络、欧盟立法机构、澳大利亚关键基础设施，以及挪威、瑞典的军队和政府机构网络上。Confiant 称部分广告还落在五角大楼、国际原子能机构和国际刑事法院所用的关键网络里。

至少24国政府网络出现广告

半岛电视台10月16日报道，政府网络至少在 24 个国家被波及，包括美国、意大利、丹麦、挪威、澳大利亚、俄罗斯、墨西哥和以色列本身；媒体机构网络集中在澳大利亚、丹麦和瑞典，另有 18 家新闻机构出现潜在恶意广告迹象。

谷歌与欧洲广告协会切断合作

谷歌在与 Citizen Lab、Confiant 联合调查后，因"系统性违反政策"把 Discover-Tech 踢出广告平台。欧洲广告行业协会 IAB Europe 经审计后将其从全球供应商名单暂停，称若间谍软件问题确认可支持永久除名。Beeswax、Vungle、Eskimi 也已下架或暂停。两家公司均未回应。

间谍软件来自已被制裁的坎迪鲁

坎迪鲁2021年被美国商务部列入实体清单，理由是涉嫌提供用于攻击政府官员、记者和活动人士的技术；报告称其已被收购并改名 Integrity Labs。它不是第一次盯上半岛：Citizen Lab 2020 年查实，NSO 集团的 Pegasus 曾感染该机构 36 名记者和制片人的手机。

只对目标回代码 让风控扫描扑空

这套设计刻意避开广告行业审查：恶意广告内嵌脚本，把用户 cookie ID 或手机广告 ID 回传给 Discover-Tech，只有符合预设条件的目标才收到可执行代码，其他人收到零字节空响应。Citizen Lab 还发现 Controlium 鉴权有缺陷：一个无需认证的接口泄露了 128 天登录日志、120 个用户名，含坎迪鲁等监视厂商的关联账号。

另一班人马把广告ID换成手机号

报告还披露代号 DARK CARTOGRAPHER 的独立攻击方，借用 Discover-Tech 的基础设施，利用运营商漏洞把设备广告 ID 与真实手机号对应起来，涉及 30 多个国家，等于大规模"去匿名化"网民。Citizen Lab 称其基础设施同时关联一家雇佣广告技术商和一个美国政府承包商，号码泄露至少可追溯到 2019 年。

半岛要求追责 研究者呼吁监管

半岛电视台谴责针对其多名员工设备的间谍软件攻击，称瞄准记者是对新闻自由的侵犯，要求追究责任方。Citizen Lab 把矛头指向行业本身：这类滥用持续多年，主要广告平台既没发现也没拦截。研究员 Wolfie Christl 说，今天的在线广告生态"对国家、私营部门、公民社会和所有人都构成安全威胁"。报告建议机构在网关层面屏蔽广告，个人可装拦截工具、重置手机广告 ID。