AdFection: Zero-Click-Spyware gelangt erstmals über Smartphone-Werbung aufs Gerät

Das IT-Sicherheitslabor Citizen Lab an der Universität Toronto hat in seinem Report 195 unter dem Titel „Exposing AdFection“ den ersten bekannten Fall dokumentiert, bei dem sogenannte Zero-Click-Söldner-Spyware über reguläre Werbeanzeigen auf Smartphones gelangte.

Bei dem neuartigen Angriffsvektor namens AdFection wurden Geräte mit den Betriebssystemen iOS und Android infiziert, ohne dass Betroffene auf einen Link tippen oder eine verdächtige Datei öffnen mussten. Die Untersuchung entstand in parallelen Analysen gemeinsam mit dem US-Sicherheitsunternehmen Confiant.

Werbeökosystem als Auslieferungsplattform für Spionagesoftware

Laut dem Bericht vom 15. Oktober 2026 nutzte das 2020 gegründete israelische Ad-Tech-Unternehmen Discover-Tech unter Leitung von CEO Dekel Boni das digitale Werbeökosystem über Jahre hinweg als Plattform für Spionagesoftware. Über das firmeneigene System namens Controlium verband Discover-Tech zielgerichtete Werbeauslieferung mit Spyware-Anbietern.

Controlium steuerte dabei Werkzeuge der Söldner-Spyware-Firmen Candiru, Bindecy und Intelos, wobei Discover-Tech auch organisatorisch mit Intelos und Bindecy verknüpft war. Candiru war bereits 2021 von Citizen Lab enttarnt und im selben Jahr vom US-Handelsministerium auf eine schwarze Liste gesetzt worden; das Unternehmen firmiert inzwischen unter dem Namen Integrity Labs.

Die Spyware sammelt auf kompromittierten Systemen weitreichende Informationen, darunter Dateien, Dokumente, Cookies, Lesezeichen, Zugangsdaten, Tastatureingaben, Bildschirmfotos sowie Daten von Mikrofon und Webcam. Zudem greift sie E-Mails sowie Nachrichten ab, nutzt verschlüsselte Kanäle und überträgt die erbeuteten Daten stückweise. Das Werkzeug kostete mehrere Millionen US-Dollar.

Funktionsweise über Real-Time-Bidding

Die Infektionen erfolgten über das automatisierte Auktionsverfahren für Online-Werbung (Real-Time-Bidding). Bei jeder Anzeige von Discover-Tech prüfte ein Skript die Werbe-ID sowie die IP-Adresse des aufrufenden Geräts.

Nur zuvor definierte Zielgeräte erhielten den eigentlichen Angriffscode, während die Anzeigen selbst keinen Exploit-Code enthielten. Controlium ermöglichte neben Deanonymisierung und Fingerprinting auch die Massenprofilierung sowie die Extraktion von Identität und IP-Adresse.

Die Forscher werteten rund vier Milliarden Gebotsdatensätze von Discover-Tech aus dem viermonatigen Zeitraum von März bis Juni 2026 aus, wobei diese Zahl reine Werbeauktionen und keine infizierten Geräte beschreibt. Die Werbeeinblendungen liefen auf 75.373 Apps und 120.768 Websites in Dutzenden Ländern und sprachen über IP-Adressen Geräte in 161 Ländern an.

Wer sich mit den Gefahren durch Spyware befasst, sollte den Schutz des eigenen Mobilgeräts nicht vernachlässigen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Android-Smartphone sofort effektiv gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen jetzt entdecken

Zu den betroffenen Plattformen zählten unter anderem Wetter Online, Duolingo, Viber, Badoo, Grindr sowie Medienangebote von BBC, CBC und New York Times. CBC fand bei einer Überprüfung keine Hinweise auf eine eigene Auslieferung dieser Anzeigen. Ein weiterer Akteur namens Dark Cartographer nutzte zudem Software zur Verknüpfung von Wer-be-IDs mit Telefonnummern.

Zahlreiche Institutionen und Al Jazeera im Visier

Zu den Zielen gehörten Journalisten und Beschäftigte des Medienhauses Al Jazeera sowie Mitarbeitende der NATO, der Europäischen Kommission, von NVIDIA und Arm. Anzeigenaufrufe stammten zudem aus Netzwerken des Europäischen Parlaments.

Nach Angaben von Citizen Lab erreichten die Anzeigen Netzwerke von Regierungen, Streitkräften, kritischer Infrastruktur und nationalen Cyber-Behörden in über einem Dutzend Staaten, darunter die kritische Infrastruktur Australiens, Behörden in Norwegen und Schweden sowie das saudi-arabische Außenministerium. Candiru-Spyware war zuvor bereits gegen mindestens 100 Journalisten und Dissidenten in mehreren Ländern eingesetzt worden.

Al Jazeera stellte ungewöhnliche Muster im Jahr 2024 fest, die sich bis in das Jahr 2025 fortsetzten. Mindestens 45 vorwiegend mit Windows betriebene Geräte des Senders wurden mit Candiru-Spyware infiziert.

Angesichts der komplexen Bedrohungslage durch professionelle Cyber-Kriminelle wird die regelmäßige Wartung der Gerätesoftware zur Pflichtaufgabe. Erfahren Sie in diesem Gratis-Report, wie Sie durch gezielte Updates Sicherheitslücken schließen und Malware dauerhaft von Ihrem Gerät fernhalten. Kostenlosen Sicherheits-Ratgeber herunterladen

Der Sender sicherte von einem betroffenen Gerät eine Windows-DLL mit dem SHA-256-Hash 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8, die Candiru mit hoher Konfidenz zugeordnet wurde. Am 15. Oktober 2026 verurteilte Al Jazeera den Angriff als Schlag gegen die Pressefreiheit und forderte eine unabhängige Untersuchung.

Confiant wies Discover-Tech-Anzeigen mit einem Aufkommen von mindestens zehn Millionen Einblendungen pro Tag nach und fand entsprechende Spuren in Netzwerken des US-Verteidigungsministeriums, der estnischen Behörde RIA, der IAEA sowie des Internationalen Strafgerichtshofs, allerdings ohne Nachweis einer erfolgreichen Infektion. Ein sogenanntes Cookie-Matching ermöglichte es, Betroffene über die Reichweite der einzelnen Werbeanzeige hinaus zu verfolgen.

Reaktionen und regulatorische Schritte

Discover-Tech war seit 2020 bei Google sowie beim Branchenverband IAB Europe als Anbieter registriert und nutzte das europäische DSGVO-Einwilligungsverfahren. Auf der Website des Anbieters fand Citizen Lab Login-Datensätze, die unter anderem Mitarbeitern von Candiru gehörten.

Anfang Oktober 2026 schloss Google das Unternehmen wegen systematischer Richtlinienverstöße von seiner globalen Anbieterliste aus und sperrte den Zugang zu Ad-Exchange-Plattformen. IAB Europe suspendierte den Status des Unternehmens ebenfalls. Auch Werbedienstleister wie Beeswax von Comcast, Vungle von Liftoff sowie Eskimi sperrten die Accounts und Domains von Discover-Tech.

Citizen Lab stellte klar, dass eine reine Werbeeinblendung für sich genommen noch keinen erfolgreichen Angriff oder eine Infektion belegt. Die dokumentierten Vorgänge liegen zeitlich zurück, und es wurde keine neue Infektionswelle gemeldet. Laut Bayerischem Rundfunk sieht der deutsche Verfassungsschutz in der Methode ein erhebliches Gefährdungspotenzial.