Citizen Lab entlarvt Spähsoftware, die per Werbeanzeige ohne Klick kam

Eine Online-Anzeige kann mehr enthalten als ein Bild. Sie kann auch Code übertragen. Forschende des Citizen Lab an der University of Toronto haben nun gezeigt, wie solcher Code genutzt wird, um Spyware auf dem Gerät einer gezielt ausgewählten Person zu installieren – ganz ohne einen einzigen Fingertipp. Das Labor nennt die Technik AdFection. Wer auf diese Weise gehackt werde, „würde nichts Verdächtiges bemerken“, sagte der leitende Forscher Bill Marczak gegenüber Wired. „Tatsächlich sieht die Person womöglich nicht einmal eine Anzeige.“

Das ist für alle relevant, deren Smartphone mit kostenlosen Apps vollgepackt ist. Zero-Click-Angriffe nutzten bislang meist Sicherheitslücken in Messenger-Apps, die von den Unternehmen geschlossen werden können. Bei dieser Methode kommt dagegen die ganz gewöhnliche Technik zum Einsatz, die bestimmt, welche Anzeige man zu sehen bekommt: eine Auktion, die bei jedem Laden einer App oder Webseite in Sekundenbruchteilen abläuft und dabei bereits die Werbe-ID des Geräts, die IP-Adresse und Angaben zum Smartphone weitergibt.

Im Zentrum steht Discover-Tech, ein in Israel registriertes Unternehmen, das sich als Werbefirma präsentierte. Dem Bericht zufolge ermöglichte die Plattform Controlium ihren Kunden, ein einzelnes Ziel anhand seiner Werbe-ID, eines Browser-Cookies oder der IP-Adresse auszuwählen und in dem Moment Code an das Gerät zu senden, in dem eine Anzeige geladen wurde. Alle anderen bekamen eine gewöhnliche Anzeige zu sehen. Citizen Lab bringt eine Reihe von Angriffen auf den Nachrichtensender Al Jazeera mit hoher Sicherheit mit Candiru in Verbindung, einem Spyware-Hersteller, der inzwischen unter dem Namen Integrity Labs firmiert. Mindestens 45 Geräte innerhalb des Senders wurden ins Visier genommen. Ein infizierter Windows-Computer gab eine Datei preis, die auf die Server von Candiru verwies.

Wie die Forschenden Zugang erhielten, ist beinahe komisch. Die Anmeldeseite von Controlium lieferte den vollständigen Quellcode des eigenen Dashboards gleich mit. Das Team speicherte die Seite, kappte ihre Verbindungen zu externen Servern und aktivierte jeden einzelnen Bildschirm. Außerdem ließ ein Server von Discover-Tech fast vier Milliarden Werbeauktionsdatensätze ungeschützt offenliegen. Daraus geht hervor, dass Anzeigen mit dem Skript-Tag der Angreifer in 75.373 Android- und iOS-Apps sowie auf 120.768 Webseiten auftauchten. Auch bekannte Namen finden sich darunter: Der Messenger Viber zeigte auf Android mehr als 700.000 solcher Anzeigen. Sie erschienen außerdem in Yahoo Mail, Opera Mini und Duolingo.

Diese Zahlen müssen mit Vorsicht gelesen werden. Eine Discover-Tech-Anzeige auf dem eigenen Bildschirm bedeutet nicht, dass das Smartphone gehackt wurde, betont das Labor. In den meisten Fällen schickte der Server überhaupt keinen Code zurück. Zudem decken die Auktionsdaten lediglich eine der Werbeplattformen des Unternehmens und einen Zeitraum von vier Monaten ab. Citizen Lab hat nicht mitgeteilt, welche Regierungen für die Operation gegen Al Jazeera bezahlt haben. Dass die Anzeigen Netzwerke der NATO, der Vereinten Nationen und mehrerer europäischer Institutionen erreichten, belegt ihre Reichweite, aber keine bestätigten Infektionen. In Norwegen tauchten die Anzeigen in den Netzwerken des Parlaments und der Polizei auf, in Schweden in denen der Streitkräfte und des nationalen Netzbetreibers. Die Schutzmöglichkeiten für gewöhnliche Nutzerinnen und Nutzer sind wenig ausgefeilt. Marczak rät allen, die „aufgrund dessen, wer sie sind oder was sie tun“ ins Visier geraten könnten, das Anzeigen-Tracking abzuschalten oder Werbung ganz zu blockieren.

Die Werbebranche hat inzwischen reagiert. Google erklärt, Discover-Tech nach einer gemeinsamen Untersuchung mit Citizen Lab und der Sicherheitsfirma Confiant von seinen Werbeplattformen ausgeschlossen und für mit der Gruppe verknüpfte Webseiten Warnhinweise in Safe Browsing ergänzt zu haben. IAB Europe setzte das Unternehmen auf seiner Liste zugelassener Werbeanbieter aus, und das zu Comcast gehörende Beeswax entfernte es von seiner Plattform. Discover-Tech antwortete weder Wired noch TechCrunch.

Citizen Lab veröffentlichte den Bericht am 15. Oktober 2026. Er behandelt die Angriffe auf Al Jazeera in den Jahren 2024 und 2025 sowie Auktionsdaten aus dem Zeitraum von März bis Juni 2026. Ein zweiter Bericht zu einer separaten Gruppe, die das Labor DARK CARTOGRAPHER nennt, soll folgen. Diese Gruppe habe dieselbe Infrastruktur genutzt, um die Werbe-IDs von Smartphones über Schwachstellen bei Mobilfunkanbietern mit den Telefonnummern ihrer Nutzer abzugleichen – und zwar in mehr als 30 Ländern.

Discover-Tech sei „sicher nur die Spitze des Eisbergs“, sagt Marczak. Sein Team musste nicht lange suchen, um auf die Anzeigen zu stoßen. Sie tauchten auf den Bildschirmen der Forschenden selbst auf, während diese die Webseiten von CBC und Yahoo lasen oder auf einem Android-Gerät Sudoku spielten.

Schlagwörter: Online-Werbung, AdFection, Candiru, Citizen Lab, Discover-Tech, IT-Sicherheit