// HEISE ONLINE — MONDO
AdFection: Wie Online-Werbung zum Einfallstor für Staatstrojaner wird
Eine Studie des Citizen Lab enthüllt, dass globale Werbenetzwerke für gezielte Zero-Click-Spionageangriffe missbraucht werden. Auch Medienhäuser sind im Visier.
Die digitale Werbeindustrie steht vor einem neuen schwarzen Kapitel. Forschende des renommierten Citizen Lab der Universität Toronto haben in einer großangelegten Untersuchung nachgewiesen, dass die Infrastruktur für personalisierte Online-Werbung systematisch für Angriffe mit hochentwickelter Spionagesoftware ausgenutzt worden ist. Die unter dem Namen AdFection dokumentierte Methode bricht mit gängigen Mustern von Cyberangriffen: Opfer müssen keine Links anklicken oder Anhänge öffnen, um ihre Geräte zu infizieren („Zero Click“). Allein das Laden einer manipulierten Werbeanzeige in einer App oder auf einer Webseite reicht aus, um im Hintergrund verheerenden Schaden anzurichten.
Als wichtiges Bindeglied zwischen der Werbeindustrie und den Anbietern von Staatstrojanern fungierte dem Bericht zufolge ein israelisches Unternehmen namens Discover-Tech. Die Recherchen ergeben ein detailliertes Bild der technischen Verflechtungen. Discover-Tech trat demnach jahrelang als unauffälliger Teilnehmer im komplexen System der programmatischen Online-Werbung auf. Das Unternehmen war bei Branchenverbänden wie IAB Europe und Tech-Riesen wie Google offiziell als Werbepartner gelistet und versorgte im Frühjahr Hunderttausende Webseiten und Apps mit Anzeigen. Darunter befanden sich populäre Anwendungen wie die deutsche App Wetter Online, Duolingo, Viber sowie diverse Dating-Plattformen.
Das Forschungsteam legt Wert auf die Feststellung, dass nicht jede Anzeige automatisch schädlich war. Vielmehr nutzte Discover-Tech das umfangreiche Tracking-Ökosystem generell zunächst, um detaillierte Profile von Millionen potenzieller Opfer anzulegen und Werbebanner gezielt auf deren Endgeräten auszuspielen.
Kern der technischen Infrastruktur war der Analyse zufolge die von Discover-Tech betriebene Plattform Controlium. Sie fungierte als zentrale Steuereinheit für Söldner-Spionagesoftwarefirmen wie Candiru, Bindecy und Intelos. Wenn einem Nutzer eine scheinbar harmlose, zielgerichtete Werbung angezeigt wurde, die von Discover-Tech platziert war, wurden die Werbe-ID des Geräts sowie dessen IP-Adresse an Server des Unternehmens übermittelt.
Sollten Geräte einer Zielperson gehackt werden, schickte das System schädlichen JavaScript-Code dorthin. Dieser wurde vom Browser oder der jeweiligen App im Hintergrund ausgeführt, nutzte Schwachstellen aus und infizierte das Zielgerät, ohne dass die betroffenen Personen einen Klick ausführen mussten. Der Clou für die Angreifer bestand darin, dass die ausgespielten Werbeanzeigen selbst keinen Exploit-Code enthielten. Dadurch konnten sie den schädlichen Zweck vor den werbeproduzierenden Plattformen und deren automatisierten Schutzmechanismen erfolgreich verschleiern.
Im Zentrum der Angriffe stand die berüchtigte Spionagesoftware der israelischen Firma Candiru, die bereits mehrfach wegen des Verkaufs von Überwachungswerkzeugen an autoritäre Regierungen in die Schlagzeilen geraten und von den USA mit Exportbeschränkungen belegt worden ist. Den Forschern gelang es erstmals, technische Belege für diese Attacken zu sichern.
Besonders schwer traf es laut dem Citizen Lab den katarischen Nachrichtensender Al Jazeera. Interne Logdaten der Mediengesellschaft belegten, dass dort zwischen 2024 und 2025 mindestens 45 Geräte – vor allem Windows-Rechner – über manipulierte Werbeanzeigen mit der Candiru-Spyware infiziert worden seien. Auch das Außenministerium Saudi-Arabiens geriet offenbar ins Visier der Angreifer. Ferner analysierten die Experten Daten, wonach manipulierte Anzeigen auf Geräten angezeigt worden sein sollen, die mit internationalen Organisationen wie der NATO, der UN und der EU verbunden sind. Auch bei globalen Tech-Konzernen und Chip-Herstellern wurden sie fündig.
Die Tragweite des Angriffsvektors ruft nationale Sicherheitsbehörden auf den Plan. Das Bundesamt f