Через рекламную сеть «Яндекса» проходили 67,4% ставок израильской Discover-Tech, которую Citizen Lab* связала с заражением устройств через обычные объявления. Исследователи раскрыли схему AdFection, позволяющую доставлять шпионское ПО без единого нажатия со стороны пользователя.
Discover-Tech покупала рекламные показы через платформу MyDSP, связанную с «Яндексом», Google и другими сетями. В объявление встраивался скрипт, обращавшийся к серверу компании. Сервер проверял IP-адрес и рекламный идентификатор устройства, а затем решал, возвращать ли исполняемый код. Для выбранной цели обычный баннер превращался в канал zero-click атаки.
Связь с «Яндексом» исследователи подтвердили не только журналами рекламных торгов. Discover-Tech синхронизировала идентификаторы пользователей через домен myweb3id.io и адрес an.yandex.ru/mapuid/discovertechis. С мая 2025 года сервис urlscan сохранил более 10 тысяч запросов к связанному отслеживающему домену, преимущественно при посещении российских сайтов.
С марта по июнь 2026 года MyDSP подала почти 3,77 млрд заявок на рекламные показы и выиграла около 442 млн аукционов. Объявления Discover-Tech появлялись более чем в 70 тысячах мобильных приложений и на 120 тысячах сайтов. Исследователи не нашли убедительных свидетельств обычной рекламной деятельности компании, а собранные сведения указывают на масштабный рекламный шпионаж.
Реальные заражения Citizen Lab установила при расследовании атак на Al Jazeera в 2024–2025 годах. Целями стали не менее 45 устройств редакции. Сетевые журналы показали переходы от рекламных серверов Discover-Tech к инфраструктуре шпионского ПО Candiru, известного также под названием Integrity Labs. На одном из взломанных устройств сохранился вредоносный DLL-файл.
Следы объявлений Discover-Tech обнаружили и в сетях государственных учреждений, оборонных компаний и международных организаций, включая НАТО и ООН. Однако показ рекламы не означает заражения. По оценке исследователей, миллионы устройств могли обращаться к серверам Candiru для профилирования, но подтверждённые случаи установки шпионского ПО относятся к значительно меньшему кругу целей.
В расследовании Citizen Lab описаны также связи Discover-Tech с компаниями Bindecy и Intelos. После раскрытия схемы Google и IAB Europe исключили Discover-Tech из своих реестров, Beeswax закрыла доступ к своей платформе, Vungle приостановила работу с компанией, а Eskimi заблокировала её учётные записи и домены. Доказательств сознательного участия «Яндекса» в заражениях авторы не представили.
Исследователи советуют блокировать рекламу и отслеживающие скрипты, особенно на рабочих устройствах, и отключать персонализированный таргетинг. Такие меры уменьшают поверхность атаки, но не гарантируют защиту от всех способов доставки шпионского ПО через рекламную инфраструктуру.
* Citizen Lab входит в структуру Школы международных отношений и государственной политики имени Питера Мунка, деятельность которой признана нежелательной на территории Российской Федерации.
