15. Oktober 2026Citizen Lab · SicherheitKuratiert

AdFection: Wenn eine Werbeanzeige reicht, um Spionagesoftware zu installieren

Zusammenfassung

Citizen Lab und Confiant haben erstmals technisch belegt, dass gezielte Online-Werbung genutzt wird, um Spionagesoftware ohne jeden Klick auf Geräte zu bringen, und nennen das Verfahren AdFection. Die israelische Firma Discover-Tech kaufte dafür Anzeigen über Google, Yandex und andere Werbebörsen und reichte ausgewählte Zielpersonen an Spyware-Anbieter wie Candiru weiter, bei Al Jazeera wurden so mindestens 45 Geräte angegriffen. Die Untersuchung zeigt, wie Echtzeit-Auktionen, Werbe-IDs und fremder Code in Anzeigen zusammen eine Angriffsfläche bilden, gegen die bisher vor allem Werbeblocker helfen.

Was passiert ist

Das Citizen Lab der Universität Toronto und das Sicherheitsunternehmen Confiant veröffentlichten am 15. Oktober 2026 abgestimmte Berichte über Discover-Tech. Die 2020 gegründete Firma trat als gewöhnlicher Werbedienstleister auf, war bei Google und IAB Europe als „zertifizierter“ Anbieter gelistet und kaufte Anzeigen über Google, Yandex, Vungle, Sunteng, Eskimi und Comcasts Beeswax. Laut Citizen Lab war ihr eigentlicher Zweck, Spyware-Firmen den Zugang zum Werbesystem zu verschaffen.

Den Nachweis lieferte Al Jazeera: Der Sender stellte Netzwerkprotokolle aus 2024 und 2025 zur Verfügung. Bei mindestens 45 Geräten zeigt sich immer dieselbe Abfolge: erst Kontakt zu Servern von Discover-Tech, also eine Anzeige, dann zu einem Prüfserver von Candiru und schließlich zu einem Steuerserver. Von einem infizierten Windows-Rechner konnte eine DLL gesichert werden, die Citizen Lab mit hoher Sicherheit als neuere Version der Candiru-Software einordnet, die das Labor schon 2021 analysiert hatte. Eine weitere Spur führt zum Außenministerium Saudi-Arabiens.

Wie Online-Werbung technisch funktioniert

Hinter fast jeder Anzeige steht eine Echtzeit-Auktion (Real-Time Bidding), die weniger als eine Sekunde dauert und weltweit hunderte Milliarden Mal am Tag stattfindet. Die App oder Webseite schickt über eine Supply-Side-Platform (SSP) eine Gebotsanfrage an Werbebörsen, Werbekunden bieten über eine Demand-Side-Platform (DSP), der Gewinner liefert die Anzeige aus. Die Gebotsanfrage enthält oft die Werbe-ID des Handys, Cookie-IDs, IP-Adresse, Standort, Gerätemodell und die genutzte App.

Zwei Eigenschaften machen das System für Angreifer interessant: Es erlaubt gezieltes Bieten auf einzelne Personen anhand solcher Kennungen, und eine Anzeige ist nicht nur ein Bild, sondern darf HTML und JavaScript mitbringen, das im Browser oder in der App läuft. Wer auf die richtige Werbe-ID bietet, kann also eigenen Code auf genau ein bestimmtes Gerät bringen.

Der Angriffsweg Schritt für Schritt

Viele Anzeigen von Discover-Tech enthielten einen Script-Tag, der beim Anzeigen einen eigenen Server (intern „NOAS“ genannt) mit Werbe-ID und IP-Adresse abfragt. Für fast alle Nutzer antwortet dieser Server mit 0 Byte, die Anzeige wirkt harmlos. Nur für ausgewählte Ziele liefert er einmalig JavaScript, etwa ein unsichtbares 1×1-iframe zu einer Adresse des Spyware-Kunden. Weil der Schadcode nie in der Anzeige selbst steckt, sahen die Prüfwerkzeuge der Werbebörsen nichts Auffälliges.

An die weitergeleitete Adresse hängte Discover-Tech die IP-Adresse des Opfers verschlüsselt an. So kann der Angreifer prüfen, dass wirklich das ausgewählte Gerät ankommt und nicht ein Sicherheitsforscher, der den Link abgefangen hat. Confiant analysierte ein rund 90 KB großes, verschleiertes „SDK“: Es handelt mit dem Server per ECDH einen Schlüssel aus, fragt einmal pro Sekunde nach Befehlen, sammelt Geräte- und Verhaltensmerkmale und führt beliebigen nachgeladenen Code mit new Function() aus. Ein Hilfsbefehl löst Domains über DNS-over-HTTPS auf und verbindet sich direkt per IP, damit DNS-Filter nichts sehen.

Eine vollständige Exploit-Kette konnte keiner der beiden Berichte öffentlich sichern. Candiru nutzte in der Vergangenheit aber Zero-Day-Lücken in Chrome, etwa CVE-2021-21166 und die WebRTC-Lücke CVE-2022-2294.

Controlium: Die Steuerzentrale mit erstaunlichen Lücken

Über die Plattform Controlium wählten Kunden Ziele anhand von Werbe-IDs für Android und iOS, Cookie-IDs oder IP-Adressen aus, sahen Gebotsanfragen und Anzeigen ihrer Ziele der letzten 30 Minuten und konnten Länder freigeben oder sperren. Der Werbebetreiber selbst war nachlässig: Der gesamte Frontend-Code lag auf der Login-Seite, das Anmeldetoken ließ sich wohl mit einem im Code veröffentlichten Schlüssel fälschen, und ein Endpunkt ohne Anmeldung lieferte Login-Protokolle von 120 Nutzern über 128 Tage.

Zwei offen erreichbare Apache-Druid-Datenbanken enthielten fast vier Milliarden Gebotsdatensätze. Aus den Login-Daten ließen sich Kunden zuordnen: Nutzer mit Bezug zu Candiru (inzwischen „Integrity Labs“), zur Spyware-Firma Bindecy und zum ADINT-Anbieter Intelos, der Werbedaten zur Ortung verkauft.

Das Ausmaß

Von März bis Juni 2026 bot die Plattform MyDSP von Discover-Tech auf rund 3,77 Milliarden Anzeigenplätze und gewann etwa 442 Millionen davon, drei Viertel in Apps. Die Anzeigen erschienen in über 70.000 Apps und über 120.000 Webseiten. Etwa 19 Prozent der Gebote betrafen Anzeigen mit dem Script-Tag zum Steuerserver, ausgegeben wurden dafür nur rund 109.000 US-Dollar. Echte Werbekunden fanden die Forscher nicht: Die Anzeigen warben für eigene Dienste wie MyIPInfo oder zeigten ein allgemeines AliExpress-Motiv ohne Umsatz und ohne Konversionen.

Laut BR und netzpolitik.org liefen die Anzeigen auch in WetterOnline, Duolingo, Viber, Grindr und Badoo; bei WetterOnline stand Discover-Tech bis Februar 2025 unter mehr als 800 Datenpartnern in der Datenschutzerklärung. Anzeigen wurden außerdem in Netzen von NATO, UN, EU-Parlament und EU-Kommission sowie, nach Confiant, des US-Verteidigungsministeriums, der IAEA und des Internationalen Strafgerichtshofs ausgespielt. Eine Anzeige bedeutet dort keine Infektion, wohl aber, dass das Gerät erfasst wurde.

Confiant beobachtete zudem auf über 1.000 Webseiten, dass Anzeigen den kompletten Cookie-Bestand der Seite auslasen, wenn sie nicht in einem abgeschotteten iframe liefen, teils mit Sitzungs-IDs angemeldeter Nutzer, auch ohne DSGVO-Einwilligung.

DARK CARTOGRAPHER: Telefonnummern aus der Werbung

Ein weiterer Akteur nutzte dieselbe Infrastruktur, um Werbe-IDs mit Telefonnummern zu verknüpfen. Dazu nutzen die Anzeigen Lücken beim „Zero-Click-Login“ von Mobilfunkanbietern, bei dem das Netz unverschlüsselten HTTP-Anfragen die Rufnummer als Header anhängt, sowie das WebRTC-Leck, das bei VPN-Nutzern die echte IP-Adresse verraten kann. Betroffen sind Anbieter in mehr als 30 Ländern, wohl seit mindestens 2019; ein eigener Bericht soll nach Abschluss der Meldungen an die Anbieter folgen.

Warum die Werbebranche versagt hat

Discover-Tech stand von 2020 bis Oktober 2026 auf den Anbieterlisten von Google und IAB Europe, obwohl Verbindungen zur Spyware-Branche in Firmenregistern nachlesbar waren. Die Aufnahme beruht laut Citizen Lab vor allem auf Selbstauskünften. Eskimi erklärte, die Tags hätten je nach Gerät, IP-Adresse und Ort unterschiedlichen Code geladen und so die Prüfung durch Drittanbieter bestanden.

Nach Hinweisen der Forscher sperrten Google, IAB Europe, Beeswax, Vungle und Eskimi Anfang Oktober den Zugang. Discover-Tech, Candiru, Bindecy und Intelos antworteten nicht. Das Bundesamt für Verfassungsschutz sieht laut BR ein „erhebliches Gefährdungspotenzial“, weil staatlich gesteuerte Angreifer so Ziele erreichen, ohne auf einen Fehler der Opfer angewiesen zu sein.

Was Admins und Nutzer tun können

NSA und CISA empfehlen Behörden schon seit Jahren, Werbung zu blockieren; Citizen Lab hält das Filtern am Netzübergang derzeit für den praktikabelsten Schutz. Für Organisationen heißt das: Werbung und Tracking zentral per DNS- oder Proxy-Filter sperren, auf Dienstgeräten die Werbe-ID per MDM abschalten und Browser mit Tracking-Schutz einsetzen. Weil das SDK DNS-over-HTTPS nutzen kann, sollte ein DNS-Filter durch eine Sperre fremder DoH-Server ergänzt werden.

Wer eine Webseite mit Werbung betreibt, sollte Anzeigen nur in abgeschotteten iframes (SafeFrame) ausliefern und Sitzungs-Cookies als HttpOnly markieren. Privat helfen ein Werbeblocker im Browser, ein Filter auf dem Router, das Zurücksetzen oder Abschalten der Werbe-ID und zügige Browser-Updates, denn am Ende braucht der Angriff eine Lücke im Browser oder in der App.

Ideen

Gezielte Werbung erlaubt es, eigenen Code auf genau ein ausgewähltes Gerät zu bringen.
Der Schadcode steckt nicht in der Anzeige, sondern kommt nur für Ziele vom Server.
Die IP-Adresse des Opfers wird verschlüsselt mitgegeben, um Forscher auszusperren.
Werbe-ID, Cookie-ID und IP-Adresse dienen als Zielkoordinaten.
Offene Datenbanken und Endpunkte ohne Anmeldung verrieten das Ausmaß und die Kunden.
Rufnummern lassen sich über Header-Anreicherung im Mobilfunknetz mit Werbe-IDs verknüpfen.
Werbeblocker am Netzübergang wirken als Sicherheitsmaßnahme, nicht nur als Komfort.

Einsichten

Wo jede Anzeige fremden Code ausführen darf, ist Werbung ein Verteilweg für Schadsoftware.
Zertifizierungen, die auf Selbstauskunft beruhen, schaffen Vertrauen, ohne es zu prüfen.
Datenhandel für Werbung und staatliche Überwachung nutzen dieselbe Infrastruktur.
Wer Anzeigen nur automatisch prüft, übersieht Angriffe, die sich je nach Betrachter anders verhalten.

Fakten

Bei Al Jazeera wurden 2024 und 2025 mindestens 45 Geräte über Anzeigen von Discover-Tech angegriffen.
Von März bis Juni 2026 gewann Discover-Tech rund 442 Millionen von 3,77 Milliarden Geboten.
Die Anzeigen liefen in über 70.000 Apps und über 120.000 Webseiten.
Discover-Tech war von 2020 bis Oktober 2026 bei Google und IAB Europe als Anbieter gelistet.
Von Januar bis Juni 2026 zählte ein Server von Discover-Tech 3.637.213 für Zusatzcode vorgesehene Nutzer.

Referenzen

Kritik

Welche Browser- oder Systemlücke die Geräte bei Al Jazeera tatsächlich infizierte, zeigen beide Berichte nicht; die Zuordnung stützt sich auf die zeitliche Abfolge in Protokollen und eine gesicherte Schadsoftware.
Viele Schlagzeilen nennen NATO, UN und EU als Ziele; belegt ist dort nur, dass Anzeigen ausgespielt wurden, nicht dass Geräte infiziert wurden.

Bemerkungen

Die Forscher werteten nur öffentlich erreichbare Daten aus und nutzten die vermutete Lücke im Anmeldesystem von Controlium bewusst nicht aus.
Die Anzeigedaten stammen nur aus der Plattform MyDSP; Käufe über Beeswax und Eskimi sind darin nicht enthalten.

Empfehlungen

Werbung und Tracking im Firmennetz zentral blockieren und fremde DNS-over-HTTPS-Server sperren.
Auf Dienst-Smartphones die Werbe-ID per MDM abschalten, privat zumindest regelmäßig zurücksetzen.
Als Webseitenbetreiber Anzeigen nur in SafeFrames ausliefern und Sitzungs-Cookies als HttpOnly setzen.
Browser und Apps schnell aktualisieren, weil die Infektion am Ende eine Sicherheitslücke braucht.

Bericht lesen

Im Webarchiv suchen