Hot Tracking 022｜Werbung erstmals als Spyware-Pipeline bestätigt: Zertifizierungsliste trug es sechs Jahre

Zuerst fixieren wir die Zeit. Am 15. Oktober veröffentlichte das Citizen Lab der University of Toronto den Bericht Nr. 195 mit dem Titel „Exposing AdFection“. Die Autoren sind unter anderem Bill Marczak, John Scott-Railton und Ron Deibert. Der Bericht besagt, dass dies der erste durch offene Technik bestätigte Angriff auf einen kommerziellen Spionagesoftware-Attacken mit gezielter Online-Werbung ohne jeglichen Klicks ist. Das Citizen Lab nannte diese Technik AdFection. Am selben Tag veröffentlichte die Werbe-Sicherheitsfirma Confiant eine Zusammenfassung der Untersuchungen. Im Bereich der Verbreitung erreichten die entsprechenden Beiträge in derselben Nacht die Spitze auf Hacker News. Bis zum Morgen des 16. Oktober hatte der Bericht über 340 Unterstützungsstimmen und mehr als 500 Kommentare, die weiter zunehmen. Die 48-Stunden-Frist läuft vom 15. Oktober bis zum 17. Oktober – dieser Artikel liegt innerhalb dieser Frist. Die Aussage „erster Bestätigung“ ist eine Selbstbezeichnung des Citizen Lab; dieser Artikel übernimmt diese Aussage ohne Veränderung. Alle folgenden Fakten sind quellenverlinkt, und die Meinungen im Kommentarbereich werden einzeln zugeordnet.

Was geschah

Faktum Nummer eins: Die Ausrüstung von Nachrichtenorganisationen wurde mit Spionagesoftware infiziert. Der Bericht bestätigt, dass die Ausrüstung des internationalen Nachrichtensenders Al Jazeera von der israelischen Firma Candiru mit kommerzieller Spionagesoftware infiziert wurde, wobei die Verbreitungsmethode gezielte Online-Werbung war. Candiru heißt jetzt „Integrity Labs“. Es sind mehrere Geräte betroffen, und der Bericht gibt keine Details darüber, wann dies geschah; diese Details werden hier nicht ergänzt.

Faktum Nummer zwei: Die Werbekäufer waren Helfer der Spionagesoftware. Die böswilligen Werbung wurde von der israelischen Firma Discover-Tech gekauft. Diese Firma gibt sich als reguläre Werbeagentur aus, wurde jedoch vom Citizen Lab entdeckt, dass sie als Helfer mehrerer Hersteller von kommerzieller Spionagesoftware fungiert. Zu den Partnern gehören nicht nur Candiru, sondern auch Intelos und Bindecy. Sie betreiben eine Plattform namens Controlium, mit der ihre Partner die Ausrüstung anonymisieren, mit Fingerabdrücken versehen und automatisch infizieren können – also einen Angriff ohne jeglichen Klicks: Der Nutzer muss nichts anklicken, die Werbung wird angezeigt, und der Angriff hat bereits stattgefunden.

Faktum Nummer drei: Die Größe des Problems ist ökologisch. Das Citizen Lab analysierte 4 Milliarden Werbe-Einträge von Discover-Tech und stellte fest, dass in vier Monaten ihre Werbung auf fast 200.000 unabhängigen Webseiten sowie Android- und iOS-Apps in Dutzenden von Ländern zu sehen war. Der Bericht fand auch heraus, dass die Werbe-Methoden von Discover-Tech Millionen von Geräten dazu brachten, sich mit den Servern von Candiru zu verbinden. Der Bericht vermutet, dass dies für großflächige Überwachung und Aufklärung genutzt werden könnte. Ein weiterer Bedrohungshersteller namens DARK CARTOGRAPHER nutzt die Infrastruktur von Discover-Tech, um die Schwachstellen mehrerer Mobilfunkanbieter auszunutzen, indem er die Werbe-IDs der Geräte mit den Handynummern verknüpft. Die Details bleiben für spätere Berichte.

Das Mechanismus ist es wert, näher erläutert zu werden, denn er ist der kälteste Teil dieses Berichts. Die meisten Werbung, die Sie täglich sehen, entsteht durch Real-Time Bidding (RTB): Werbetreibende bieten Angebote für „die Anzeige dieser Werbung an diesem bestimmten Nutzer“ an, wobei die Auktionen von Werbebörsen wie Google verwaltet werden, mit täglich Milliarden von Angeboten. Werbung enthält nicht nur Bilder und Videos, sondern auch HTML- und JavaScript-Code, die einen oder mehreren Domainnamen verbinden, um Exposures und Klicks zu tracken. Werbetreibende tauschen außerdem ID-Synchronisierungen aus, geben einander Nutzeridentifikatoren weiter, um Sie zwischen verschiedenen Websites und Werbetreibenden zu identifizieren, Ihre Profile zusammenzustellen und gezielte Anzeigen zu erstellen. Discover-Tech nutzt genau diese Infrastruktur als legalen Eingang: Es hat seine eigene Werbeplattform MyDSP, die wie jeder reguläre Käufer an der Auktion teilnimmt. Die Werbung scheint harmlos zu sein, doch in den Kommentaren wird sie als Spielwerbung, E-Commerce-Aktionen oder IP-Datenbanken bezeichnet. Doch in jeder Werbung steckt ein kleiner Skript, der beim Rendering leise aufruft. Die Zielgenauigkeit ist ebenfalls vorhanden; der Bericht besagt, dass die Werbeplattform mithilfe von Geschlecht, Alter, Region und weiteren Filterbedingungen einen individuellen Nutzer fast eindeutig identifizieren kann. Um es genau zu sagen: Angreifer müssen keine Websites hacken, sie müssen nur ein Angebot machen, und der Rest wird von der Werbeökonomie erledigt. Diese Infrastruktur war ursprünglich dazu konzipiert, „die Werbung an diejenigen zu übergeben, die am wahrscheinlichsten kaufen“ – je genauer das Ziel, desto höherer der kommerzielle Wert. Jetzt wird dieselbe Genauigkeit verwendet, um Lücken an diejenigen zu übermitteln, die am meisten überwacht werden sollten. Für den Zielnutzer ist die Auswahl nicht darauf zurückzuführen, dass er etwas ausgewählt hat, sondern darauf, dass sein Profil die Angebotsbedingungen des Käufers erfüllt.

Die Zertifizierungsliste liegt seit sechs Jahren brach: Kritik an der Hauptlinie

Die erste Ironie liegt in der Zertifizierung. Laut dem Bericht war Discover-Tech von 2020 bis 2026 immer auf den „zertifizierten“ und „approbierten“ Lieferantenlisten von Google und der Branche IAB Europe zu finden, und es hat Werbung auf großen Netzwerken wie Google, Yandex und Beeswax platziert. In diesen sechs Jahren hat das Sicherheitsprüfungssystem der Branche keinen einzigen Helfer bei Spionagesoftware aufgehalten, bis unabhängige Forscher die Liste Anfang Oktober aktualisierten. Hier geht es nicht um „warum es böse Menschen gibt“, sondern um „was genau überprüft wird“.

Die zweite Ironie liegt in der Compliance-Verkleidung. Der Bericht zeigt, dass Discover-Tech auch das EU-GDPR-Einwilligungsmodell nutzt, also das TCF von IAB, um auf dem EU-Gebiet gezielte Nutzer zu erreichen und so seine Compliance zu demonstrieren. Die Einwilligungsfenster und Cookie-Werbung, die als Schutz für die Privatsphäre entwickelt wurden, werden nun als Deckmantel für gezielte Werbung verwendet. Compliance bedeutet nicht Sicherheit – das ist der scharfsinnigste Beweis dafür.

Drittens der Namewechsel. Nachdem Candiru genannt wurde, wurde es in Integrity Labs umbenannt, wie der Bericht ausdrücklich anmerkt. Ein Spionagesoftware-Hersteller, der von mehreren Forschungseinrichtungen und Medien kennt, kann mit einem neuen Namen weiterarbeiten – und dieses Mal enthält der Name auch das Wort „Integrität“.

Die strukturellen Schlussfolgerungen des Berichts sind in den Überschriften der Abschnitte beschrieben: AdFection zeigt, dass Online-Werbung eine Sicherheits- und Privatsphärenkrise darstellt. Das Werbe-System konnte die in dem Bericht dokumentierten Missbräuche nicht erkennen oder verhindern. Der Bericht weist auch darauf hin, dass im Kontext staatlicher Akteure böse Werbung über Apps und Websites verbreitet werden kann, die von Verteidigungspersonal, politischen Führern und Instandhaltern wichtiger Infrastrukturen genutzt werden, was ein nationales Sicherheitsrisiko darstellt. Der Bericht fordert die Regulierungsbehörden auf, zu untersuchen, ob Discover-Tech und Candiru rechtswidrig handeln.

Die offizielle Stellungnahme stimmt nicht überein: Wer tut so, als wäre er tot?

Citizen Lab hat 13 Unternehmen um Stellungnahmen gebeten, die vollständigen Antworten in der Sektion „Correspondence“ des Berichts aufgeführt sind. Laut dem Bericht haben nur fünf Unternehmen nach der Offenlegung tatsächlich reagiert: Google hat an den Untersuchungen teilgenommen und anschließend zusammen mit IAB Europe Discover-Tech aus dem Lieferantenverzeichnis gestrichen sowie deren Zugang zur Werbemarketingplattform unterbrochen; Beeswax hat es aus der Werbekaufsplattform entfernt; Vungle (Liftoff) hat den Zugang gestoppt und eine Überprüfung eingeleitet; Eskimi hat seine Account und Domainnamen gesperrt. Bei den übrigen betroffenen Werbemittlern wurde in dem Bericht angegeben, dass sie innerhalb der Frist keine Stellungnahmen gegeben haben. Achten Sie auf die Wortwahl: Es handelt sich um „keine Antwort“, nicht um „Ablehnung“. In diesem Artikel wird niemand bezeichnet, der so tut, als wäre er nicht beteiligt, aber der Leser kann selbst herausfinden: Von den 13 Unternehmen, die gefragt wurden, haben nur 5 reagiert.

Ein weiterer interessanter Zeitpunkt ist, dass die Entfernung durch Google und IAB Europe Anfang Oktober stattfand, nachdem Google bereits an den Untersuchungen teilgenommen hatte. Das bedeutet, dass die Aktualisierung der Zertifizierungsliste nicht das Ergebnis einer Selbstprüfung der Branche war, sondern erst geschah, nachdem das Forschungsteam die Beweise erhalten hatte.

Was wird in den Kommentaren gesagt

Mehr als 500 Kommentare auf HN teilen sich grob in verschiedene Gruppen, hier ist eine Zusammenfassung, die nicht die Position dieses Artikels widerspiegelt.

Die Mechanismen-Kommentatoren analysieren den Angriffspfad. Der Kommentar von User chunkyslink hat viel Aufmerksamkeit erhalten: Der Angriff kommt über die Haupteingangstür, Google und IAB Europe haben es sechs Jahre lang als zertifizierten Lieferanten eingestuft. Die Werbung scheint harmlos zu sein, aber jeder Teil birgt kleine Skripte, die beim Rendering leise wieder aktiviert werden. User reactordev vermutet, dass böswilliger Code in Bildern versteckt und in den Cache geladen wird, indem man nur eine Website besucht, auf der diese Werbung angezeigt wird. User oulipo ergänzt die Lokalisierungslogik: Die Werbemarketingplattformen werden genutzt, um bestimmte Objekte zu identifizieren, und anschließend eine Werbung platziert, die einen Lückenangriff ausnutzt, wie zum Beispiel einen kaputten JPEG-Decoder, um die Kontrolle über das Gerät zu erlangen. User pelagicAustral sagt: „Die Beschreibung, dass das Dateiformat mit Geheimdiensten verbunden ist“, klingt verrückt, aber andere Zugriffangriffe werden tatsächlich durch die Zerstörung der Datei-Interpretationen erreicht. Nachrichten, die nicht geöffnet werden, können ebenfalls manipuliert werden.

Die Kritiker der Branche haben auch viel Aufmerksamkeit erhalten. User Lio zitiert einen Bericht von Reuters, nach dem Meta Milliarden von Werbeeinnahmen aus Betrug, illegalen Glücksspielen und anderen verbotenen Inhalten erzielt hat. US-Behörden wie die ICE haben auch Software gekauft, die die Bewegung von Personen mit Hilfe von Werbetechnologien verfolgt. Seine Schlussfolgerung: Man weiß nicht, ob Werbeblocker Controlium abwehren können, aber es ist erlaubt, dass im Browser immer noch Werbung erscheint – man ist ein Dummkopf. Die Werbebranche ist insgesamt ziemlich schlecht. Es muss beachtet werden: Dies sind Zitate aus den Kommentaren und persönliche Schlussfolgerungen. In diesem Artikel wird dies nur als Aufzeichnung verwendet.

Die Verteidigungseffektivität ist der heftigste Diskussionsgegenstand. Der Benutzer andunie glaubt, dass die Situation schlimmer ist als gedacht: Die Gegenseite kann Maschinen vollständig durch Sicherheitslücken kontrollieren, und dann sind privatsphärenbasierte Kommunikationssysteme wie Signal nutzlos. Er macht sich auch Sorgen, dass Google die Sperrung von Android-Sideloading nicht verhindern kann und dass dies stattdessen dazu genutzt werden könnte, die Plattform weiter zu verschleiern. Der Benutzer gruez entgegnet, dass die Einschränkungen von Sideloading ursprünglich dazu dienen sollten, Social Engineering und Betrug zu verhindern, nicht die Bekämpfung von Zero-Day-Lücken. Der Benutzer Cider9986 sagt, dass „völlig nutzlos“ falsch sei – es ist viel teurer, Spionagesoftware zu engagieren als internen Mitarbeiter zu bestechen oder einen Richter zu beauftragen, eine Anordnung zu erlassen. Er vertraut auf die Privatsphäre der Informationen auf GrapheneOS-Geräten und betont, dass es entscheidend ist, den Bedrohungsmodell zu betrachten. Der Benutzer hotelsacher fügt kühl hinzu: Google will nur seine eigenen Reichtümer schützen, also die Fähigkeit, die Bewegungen der Nutzer zu überwachen. Es braucht keine schwarzen Nutzer – es hat bereits alle Daten. Andere Benutzer wie room606 und beel stellen direkt die Links zu den Originalberichten von Citizen Lab und Confiant bereit. Die gemeinsame Meinung in der Community ist klar: Bei solchen Ereignissen ist es wertvoller, den Originaltext zu lesen, als Auszüge daraus zu lesen. In den Kommentaren wird auch an die alten Fälle von Pegasus erinnert. In diesem Artikel wird nur dieser Satz übernommen, ohne parallele Argumentation.

Drei Dinge, die normale Nutzer tun können

Erstens: Werbeanzeigen blockieren. Der Bericht sagt, dass angesichts der tatsächlichen Bedrohung und der Beweise für großflächige gezielte Angriffe die wirkungsvollste Schutzmaßnahme darin besteht, dass die Verteidiger auf der Gateway-Ebene gezielte Werbeanzeigen blockieren. Dieser Vorschlag bleibt gültig, bis es in der Branche nachgewiesen werden kann, dass alle AdFection-artigen Anzeigen erfolgreich blockiert werden können. Für individuelle Nutzer: Installieren Sie einen Blockierer wie uBlock Origin im Browser, auf Router-Ebene können Lösungen wie Pi-hole verwendet werden. Lio in den Kommentaren äußert sich ebenfalls dazu.

Zweitens: Bei hochriskanten Personen sollten Geräte isoliert werden. Der Bericht erwähnt Nachrichtenorganisationen sowie Verteidigungskräfte, politische Führer und Betreiber von Schlüsselinfrastrukturen als potenzielle Ziele. Wenn Sie Journalist, Bürgerrechtler oder Mitarbeiter in sensiblen Bereichen sind, sollten Sie die „Maschinen, mit denen Webseiten geladen werden“, von den „Maschinen, mit denen sensibles Material gespeichert wird“, physisch trennen. Das ist die einfachste und effektivste Maßnahme gemäß dem Bedrohungsmodell des Berichts.

Drittens: Weniger Identifikatoren verwenden und weniger Zustimmungen geben. iOS sollte „Erlauben, dass Apps die Tracking-Funktionen nutzen“ deaktivieren, Android sollte die Werbe-ID regelmäßig neu setzen und bei Cookies sowie Zustimmungsebenen die strengsten Optionen wählen. Hinweis: Der Bericht bestätigt, dass ID-Synchronisation und TCF-Zustimmungsframeworks zur Cross-Site-Tracking verwendet werden. Doch diese Maßnahmen können nur die Genauigkeit Ihres Profils verringern und nicht den gezielten Angriff selbst verhindern. In diesem Artikel wird daher keine Übertreibung bezüglich der Wirkung vorgenommen.

Schlussfolgerung

Maßnahmenhinweise: In diesem Artikel wird keine Seite beschuldigt. „Die erste offizielle Bestätigung“ ist die Selbstbezeichnung von Citizen Lab; Discover-Tech ist eine israelische Firma, Al Jazeera ist ein qatariasisches Medienunternehmen, Candiru ist mit Israel verbunden – alles basiert auf den Originalangaben des Berichts. In diesem Artikel wird keine geopolitische Interpretation vorgenommen. Die Aussage „möglicherweise für großflächige Überwachung und Spionage“ behält die Begrenzung „likely“ bei; Die genauen Details über die Infektion der Al Jazeera-Ausrüstung sind nicht öffentlich, daher werden sie in diesem Artikel nicht erweitert. Alle Meinungen im Kommentarfeld gehören den jeweiligen Kommentatoren. Überprüfte Fakten: Der Bericht Nr. 195 von Citizen Lab wurde am 15. Oktober veröffentlicht, enthält 4 Milliarden Preisvergleichsdaten, fast 200.000 Websites und Anwendungen, die Namen von vier Herstellern von Spionagesoftware, eine Liste der Zertifizierungen von 2020 bis 2026 sowie Maßnahmen gegen fünf Unternehmen – alles basiert auf den Originalangaben des Berichts. Zwei wichtige Punkte: Erstens, ob Discover-Tech oder Candiru (Integrity Labs) eine offizielle Antwort gegeben haben; der Bericht besagt, dass keine Antwort innerhalb der Frist erfolgte. Zweitens, ob die Behörden eine Untersuchung einleiten; der Bericht fordert explizit eine Einmischung der Regulierungsbehörden. Falls eines dieser Ereignisse eintritt, wird eine v2-Version veröffentlicht.

Referenzquellen

• Citizen Lab Report 195 „Exposing AdFection“: Veröffentlicht am 15.10.2026 auf citizenlab.ca, vollständiger Text zur Verfügung gestellt, alle wesentlichen Fakten stammen aus diesem Bericht.
• HN Story 50101813: Daten von Algolia, eingereicht am 10-15T18:43, Snapshot vom 10.16 Uhr 349▲/506💬, der Text beschreibt „über 340▲, mehr als 500 Kommentare”.
• Confiant kooperiert mit der Untersuchung (blog.confiant.com): Veröffentlicht am selben Tag wie der Bericht, HN-Kommentare wurden zitiert, der vollständige Text wurde nicht abgerufen, nur „veröffentlicht am selben Tag“ angegeben.
• Reuters Bericht über die Werbeeinnahmen von Meta: Zitiert von dem Kommentator Lio, zweitmehrspurige Quelle, der Text ist mit „Kommentarfeld-Zitat“ gekennzeichnet.
• HN-Kommentarspool: chunkyslink/reactordev/oulipo/pelagicAustral/Lio/andonie/gruez/Cider9986/hotelsacher/room606/beel sind alle von den Kommentatoren selbst angegeben, der Text gehört jeweils dem jeweiligen Kommentator.