Spionage-Trojaner kamen gezielt über personalisierte Werbeanzeigen

Angreifer haben personalisierte Werbeanzeigen genutzt, um unbemerkt Spionage-Software auf Smartphones zu installieren. Dafür genügte es, wenn Nutzer der gewünschten Zielgruppe eine Website aufriefen oder eine App öffneten.

Mitarbeiter von Al Jazeera infiziert

Eine Untersuchung des Citizen Lab an der Universität Toronto dokumentiert nun einen solchen Angriff, bei dem 45 Geräte von Mitarbeitern des arabischen Nachrichtensenders Al Jazeera in den Jahren 2024 und 2025 infiziert wurden. Nach Angaben der Forscher handelt es sich wahrscheinlich um den ersten bestätigten Fall, in dem kommerzielle Spionage-Software über gezielte Werbung ohne Zutun der Opfer verbreitet wurde.

Die Forscher bezeichneten die Kampagne als "AdFection". Sie funktionierte sowohl auf iPhones als auch auf Android-Geräten. Besonders gefährlich sind sogenannte Zero-Click-Angriffe, weil Betroffene weder auf einen Link klicken noch eine Datei öffnen müssen. Die Schadsoftware kann bereits beim Laden einer Website oder beim Anzeigen einer Werbeanzeige auf das Gerät gelangen. Ohne spezielle forensische Werkzeuge bleibt eine Infektion in der Regel unbemerkt.


Im Fokus der Untersuchung steht das israelische Unternehmen Discover-Tech. Es präsentiert sich als regulärer Werbedienstleister, soll laut Citizen Lab jedoch als Vermittler zwischen Werbekunden und mehreren Anbietern kommerzieller Spionage-Software fungiert haben. Die eingesetzte Schadsoftware stammt demnach von Candiru, einem Unternehmen, das inzwischen unter dem Namen Integrity Labs auftritt.

Discover-Tech vermittelt Werbeplätze, indem Anzeigenanbieter in einem automatisierten Verfahren Gebote abgeben. Über mobile Werbe-IDs, Standortdaten, IP-Adressen und weitere Informationen lassen sich bestimmte Personengruppen gezielt ansprechen. Citizen Lab wertete mehr als vier Milliarden Gebotsdatensätze aus. Demnach wurden Anzeigen von Discover-Tech zwischen März und Juni 2026 in mehr als 70.000 Apps und auf über 120.000 Websites ausgespielt.

Genaue Zielgruppenbestimmung

Die Angriffe sollen funktioniert haben, indem Anzeigen JavaScript oder anderen Code enthielten, der von Zielgeräten eine Verbindung zu den Kontrollservern von Candiru herstellte. Diese lieferten anschließend den Exploit für die Infektion aus. Welche Sicherheitslücken dabei konkret ausgenutzt wurden und welche Schadsoftware letztlich auf den Geräten landete, teilte Citizen Lab nicht mit.

Discover-Tech war unter anderem bei Google und dem europäischen Werbeindustrieverband IAB Europe als zertifizierter beziehungsweise verifizierter Anbieter gelistet. Das Unternehmen nutzte zudem Einwilligungsmechanismen nach der Datenschutz-Grundverordnung, um Nutzer in der EU anzusprechen.

Nach Bekanntwerden der Untersuchung entfernten Google und IAB Europe den Anbieter aus ihren Verzeichnissen. Google sperrte außerdem den Zugang zu seinen Werbebörsen. Weitere Plattformen schränkten die Zusammenarbeit ebenfalls ein oder blockierten Discover-Tech. Laut Citizen Lab wurden entsprechende Werbeeinblendungen auch in Netzwerken mit Verbindungen zu NATO, den Vereinten Nationen, europäischen Gesetzgebungsorganen sowie staatlichen Stellen und Streitkräften registriert.

Siehe auch: