AdFection: Citizen Lab entdeckt Spyware, die über Werbung ausgeliefert wird

Citizen Lab, eine Forschungsgruppe an der University of Toronto, sagt, ein israelisches Unternehmen habe gezielte Online-Werbung genutzt, um ausgewählten Personen Spyware zuzuspielen, ohne dass ein einziger Klick nötig war. Der Bericht der Gruppe, veröffentlicht am 15. Oktober 2026, nennt die Technik AdFection. Es ist die erste öffentliche technische Demonstration von Söldner-Spyware, die über Werbung ausgeliefert wird, berichtet CyberScoop. Söldner-Spyware bedeutet kommerzielle Hacking-Werkzeuge, die an zahlende Kunden verkauft werden. Der Fund macht gewöhnliche Werbeplätze auf Websites und in Apps zu einem Angriffsweg.

Wie AdFection funktioniert

Das Unternehmen, Discover-Tech, kaufte Werbeflächen über normale Werbeauktionen, heißt es im Bericht von Citizen Lab. Seine Anzeigen enthielten ein kleines Skript, das in vier Schritten arbeitete:

1. Die Person vor dem Bildschirm identifizieren. Das Skript schickte die Werbe-ID und die IP-Adresse des Geräts an einen Server von Discover-Tech. Eine Werbe-ID ist der Tracking-Code, den ein Browser oder ein Telefon mit Werbefirmen teilt.
2. Ziele auswählen. Der Server prüfte jede ID und jede Adresse. Wer nicht auf der Liste stand, bekam eine leere Antwort.
3. Code ausführen. Ausgewählte Ziele erhielten JavaScript, das automatisch lief. Ein Klick war nicht nötig.
4. Übergeben. Infizierte Geräte kontaktierten danach Server, die mit Candiru in Verbindung stehen, einem Spyware-Hersteller, der heute unter dem Namen Integrity Labs auftritt.

Discover-Tech hielt den Schadcode von den Werbefirmen fern, bei denen es einkaufte, so der Bericht. Das Unternehmen verkaufte den Dienst über eine Plattform namens Controlium. Laut CyberScoop können Partner mit Controlium Geräte „de-anonymisieren, per Fingerprinting erfassen und automatisch infizieren“, sobald eine Anzeige erscheint.

Wer ins Visier genommen wurde

Citizen Lab bringt mindestens 45 Geräte beim Nachrichtensender Al Jazeera mit Candiru-Spyware in Verbindung, die 2024 und 2025 auf diesem Weg ausgeliefert wurde. Die Quellen unterscheiden sich im Detail. TechCrunch berichtet, dass 45 Windows-Computer gehackt wurden. Citizen Lab sagt, die Geräte seien ins Visier genommen worden, und die Gruppe habe eine Windows-Datei von einem kompromittierten Gerät analysiert.

Citizen Lab kann laut CyberScoop noch nicht sagen, wer die Angriffe in Auftrag gegeben hat.

Confiant, ein Unternehmen für Werbesicherheit, führte parallel zu Citizen Lab eine eigene Untersuchung durch. Es fand Hinweise auf Anzeigen von Discover-Tech in sensiblen Netzwerken, darunter denen des US-Verteidigungsministeriums, der Internationalen Atomenergiebehörde und des Internationalen Strafgerichtshofs. Dass eine Anzeige zu sehen war, bedeutet nicht, dass ein Gerät infiziert wurde, merkt Citizen Lab an.

Wie weit die Anzeigen reichten

Die Forschenden erhielten Gebotsdaten von MyDSP, einer der Plattformen für den Werbeeinkauf, die Discover-Tech nutzte. Zwischen März und Juni 2026 zeigen die Daten:

Kennzahl	Wert
Abgegebene Werbegebote	3.770.286.576
Gewonnene Gebote	441.954.291 (11,7 %)
Erreichte Websites	120.768
Erreichte mobile Apps	75.373
Anteil der Gebote innerhalb von Apps	76,7 %
Ungefähre Ausgaben	109.091 US-Dollar

Der Traffic von MyDSP kam laut dem Bericht überwiegend von der Werbebörse von Yandex (67,4 %), von Google Ad Manager (24,74 %) und von Vungle (7,24 %).

Ein Teil des eigenen Systems von Discover-Tech war offen zugänglich, berichtet TechCrunch. Forschende konnten ohne Passwort Login-Protokolle der Nutzerkonten herunterladen, darunter Einträge zu einigen Mitarbeitenden von Candiru und Bindecy. Bindecy ist ein Hacking-Unternehmen, das der Bericht mit Discover-Tech in Verbindung bringt.

Wie die Werbebranche reagierte

Mehrere Unternehmen handelten, bevor der Bericht erschien, sagt Citizen Lab:

• Google kappte den Zugang von Discover-Tech zu seiner Werbebörse und ergänzte Schutzmaßnahmen in Safe Browsing.
• IAB Europe, ein Branchenverband der Werbewirtschaft, entfernte Discover-Tech von seiner Anbieterliste.
• Vungle, das zu Liftoff gehört, setzte während einer Prüfung jeden Zugang von Discover-Tech aus.
• Beeswax entfernte Discover-Tech von seiner Plattform, und Eskimi sperrte dessen Konten dauerhaft.

Discover-Tech, Candiru und Bindecy antworteten CyberScoop nicht.

Bill Marczak, Senior Researcher bei Citizen Lab, sagte gegenüber TechCrunch: „Jetzt haben wir zum ersten Mal konkrete technische Belege, die diesen Prozess in Aktion zeigen.“ Marczak nannte Discover-Tech „mit Sicherheit nur die Spitze des Eisbergs“.

„Die digitale Werbung ist kaputt“, sagte Wolfie Christl, Senior Researcher bei Citizen Lab, gegenüber CyberScoop.

Was das für Entwickler bedeutet

Für Teams, die Apps entwickeln, werbefinanzierte Websites betreiben oder Firmengeräte verwalten:

• Werbeskripte als nicht vertrauenswürdigen Code behandeln. Jeder Werbeplatz kann das JavaScript eines Käufers ausführen. Isolieren Sie Werbe-Frames und begrenzen Sie, worauf Skripte von Drittanbietern auf Ihren Seiten zugreifen können.
• Werbung auf Arbeitsgeräten blockieren. Citizen Lab rät Organisationen, Werbung und Tracking am Netzwerk-Gateway und auf Arbeitsgeräten zu blockieren. Nutzen Sie Gerätemanagement, um die Telefone der Belegschaft von Werbe-Targeting auszunehmen.
• Werbe-IDs einschränken. Citizen Lab rät Nutzern, die Werbe-ID ihres Telefons regelmäßig zurückzusetzen und das Werbe-Tracking abzuschalten. „Es ist Zeit, das Werbe-Tracking auf Ihren Geräten zu deaktivieren“, sagte Marczak gegenüber TechCrunch.
• Werbepartner prüfen. Citizen Lab fordert Werbefirmen auf, zu prüfen, an wen sie verkaufen, und ihre Anbieter im Lauf der Zeit erneut zu überprüfen. Betreiber von Websites und Apps sollten ihre Werbenetzwerke fragen, wie sie Käufer überprüfen.
• Den Traffic nach dem Laden von Anzeigen beobachten. Citizen Lab empfiehlt, Netzwerkverkehr zu überwachen, der mit Werbeeinblendungen zusammenhängt. Eine unerwartete Verbindung direkt nach dem Erscheinen einer Anzeige ist ein Warnsignal.