Gezielte Angriffe auf Regimekritiker, Journalisten und Menschenrechtler sind in der Vergangenheit bereits dokumentiert worden. In der Vergangenheit lief dies über eine persönliche E-Mail oder Nachricht an Zielpersonen. Undokumentierte Sicherheitslücken führten dazu, dass ein Betriebssystem unbemerkt und ohne Nutzerinteraktion („zero-click“) aus der Ferne steuer- und auslesbar gemacht wurde. Kanadischen Forschern des Citizen Lab konnten nun einen Fall nachweisen, bei dem eine vergleichbare Übernahme mittels Browser-Werbung gelang. Das für die Werbung verantwortliche Unternehmen spielte Werbung in verschiedensten Apps aus, auch unter iOS.


„AdFection“ nennen die IT-Forscher des Citizen Lab diese Methode. Das Opfer, welches nachweislich über ein Werbebanner infiziert wurde, ist ein Journalist bei dem katarischen Nachrichtensender „Al Jazeera“. In einem umfangreichen Bericht vollzieht Citizen Lab nach, welche Akteure an den gezielten Angriffen beteiligt sind. Die eigentliche söldnerische Software namens Candiru gehört mittlerweile einem Unternehmen namens Integrity Partners. Die wichtigste Rolle spielt allerdings der Werbevermarkter Discover-Tech.

Infektion via JavaScript
Discover-Tech ist ein 2020 in Israel gegründetes Unternehmen. Bis ins Jahr 2026 war das Unternehmen ein von Google, IAB Europe, Beeswax, Vungle und Eskimi zertifizierter Anbieter von Online-Werbung. Erst nachdem Citizen Lab die Plattformen über ihre Erkenntnisse informiert hatte, sperrten sie deren Zugang zu Werbeplätzen.


Nachweis unter Windows
Die Infektion lief über JavaScript; der minutiös nachgewiesene Fall betraf den Windows-Rechner eines Al-Jazeera-Journalisten. Es ist jedoch wahrscheinlich, dass auch andere Systeme infiziert werden können; Discover-Tech buchte ebenfalls Werbung in verschiedensten iOS- und Android-Apps. Allein von März bis Juni 2026 spielte das Unternehmen knapp 4 Mrd. Impressionen aus, unter anderem an Wetter Online, Duolingo sowie verschiedene Dating-Apps. Mittels verschiedenster Identifikatoren lassen sich Anwender identifizieren, orten und über mehrere Geräte hinweg tracken (Fingerprinting).

Abwehr herausfordernd
Das News-Portal netzpolitik.org berichtet, dass es Hinweise auf Akteure in der EU gibt, welche Candiru-Trojaner einsetzen. Ein deutscher EU-Abgeordneter legte 2024 einen (gescheiterten) Versuch offen, seine IT mit dem Candiru-Trojaner zu infizieren. Citizen Lab sieht klare Schwächen im System der Werbevermarkter, da Discover-Tech über viele Jahre hinweg unbemerkt agieren konnte. Behörden und Administratoren rät Citizen Lab deshalb zu besonderer Vorsicht. Apple empfiehlt für Politiker, Prominente und Menschenrechtler den in iOS, iPadOS sowie macOS integrierten Blockierungsmodus, um die Gefahr einer Infektion über unbekannte Sicherheitslücken zu reduzieren.