Candiru-Spyware: Zero-Click-Angriffe schleusen Schadcode über Werbung ein
Veröffentlicht am: 16.10.2026 um 22:35 Uhr | Redaktion boerse-global.de
Neue technische Analysen von Citizen Lab legen das Ausmaß der Infrastruktur offen, über die hochentwickelte Spionagesoftware via Online-Werbung verbreitet wurde.
Die IT-Sicherheitsforscher der Universität Toronto identifizierten insgesamt 305 Domainnamen auf 319 IP-Adressen, die im Zeitraum von August 2022 bis Juli 2026 betrieben wurden. Ein spezifischer Fingerabdruck für Command-and-Control-Server führte dabei zu vier direkten Treffern, darunter die Domains fearevolve[.]com und jobmarcher[.]com.
Verdeckte Infektionskette über Werbenetzwerke
Die Auswertungen sind Teil der Untersuchungen zur Angriffsmethode „AdFection". Dabei handelt es sich um die erste technische Bestätigung dafür, dass staatliche Söldner-Spyware über reguläre Werbeplätze mittels sogenannter Zero-Click-Angriffe auf Endgeräte gelangt.
Nutzer mussten weder Links anklicken noch Dateien herunterladen. Betroffen waren neben iOS und Android auch Windows-Systeme; allein beim Medienunternehmen Al Jazeera wurden Infektionen auf 45 Windows-Geräten aus den Jahren 2024 bis 2025 festgestellt.
Netzwerkprotokolle von Al Jazeera belegen die Funktionsweise des Angriffs: Das israelische Werbetechnologieunternehmen Discover-Tech buchte Werbeplätze und schleuste JavaScript-Code ein, der beim Laden der Anzeige Kontakt zu einem firmeneigenen „NOAS-Server" aufnahm. Dieser überprüfte gezielt IP-Adressen und Werbe-IDs, um Schadcode ausschließlich an ausgewählte Zielpersonen auszuliefern. Über Validierungsserver führte die Kette direkt zur Steuerungs- und Kontrollinfrastruktur der Spyware.
Angesichts solch ausgefeilter Angriffsmethoden auf mobile Endgeräte ist ein proaktiver Schutz unverzichtbar. Wie Sie Ihr Android-Smartphone in wenigen Minuten gegen Hacker und Viren absichern, zeigt dieser kostenlose PDF-Ratgeber mit 5 sofort umsetzbaren Schritten. 5 Schutzmaßnahmen jetzt entdecken
Eine auf einem kompromittierten Windows-System gesicherte Datei wurde mit hoher Konfidenz dem israelischen Überwachungsanbieter Candiru zugeordnet. Das Schadprogramm nutzte Mechanismen wie COM-Hijacking, eine 48-Byte-XOR-Verschleierung und Vorabprüfungen über Google- und Microsoft-Domains. Die Spyware ist in der Lage, Dokumente, Browserdaten, Passwörter, Screenshots sowie Mikrofon- und Kameraaufnahmen abzugreifen.
Millionen Werbeeinblendungen und weltweite Profilierung
Citizen Lab analysierte mehr als 4 Milliarden Gebotsdatensätze von Discover-Tech. Von März bis Juni 2026 erschienen manipulierte Werbeanzeigen in 75.373 Android- und iOS-Apps sowie auf 120.768 Webseiten.
Im deutschsprachigen Raum waren unter anderem weit verbreitete Anwendungen wie Wetter Online, Duolingo, Viber, Grindr und Badoo betroffen. Daten des Sicherheitsunternehmens Confiant zufolge erreichten die Anzeigen von Discover-Tech weltweit mindestens 10 Millionen Auslieferungen pro Tag.
Über die Werbeeinblendungen wurden Nutzerprofile erstellt. Die sogenannte DARK-CARTOGRAPHER-Kampagne nutzte Anzeigen gezielt zur De-Anonymisierung über WebRTC-Lecks und zum Erfassen von Mobilfunknummern.
Die Anzeigen wurden auch in sensiblen Netzwerken ausgespielt, darunter beim EU-Parlament, der EU-Kommission, dem Rat der EU, der NATO, den UN, der IAEA, dem Internationalen Strafgerichtshof und dem Pentagon.
Da Hacker Sicherheitslücken oft über Monate unbemerkt ausnutzen, ist das Schließen technischer Einfallstore durch regelmäßige Aktualisierungen entscheidend. Ein kostenloser Report klärt darüber auf, wie automatische Updates Ihr Gerät rund um die Uhr schützen und Datenverlust dauerhaft verhindern können. Kostenlosen Update-Ratgeber herunterladen
Bei diesen Organisationen konnte Confiant zwar das Profiling von Geräten nachweisen, jedoch keine erfolgreichen Infektionen. Als weiteres mutmaßliches Angriffsziel neben Al Jazeera identifizierte Citizen Lab das Außenministerium Saudi-Arabiens; konkrete Auftraggeber der Spionageoperationen wurden nicht benannt.
Reaktionen und Maßnahmen der Werbebranche
Discover-Tech, im März 2020 von Dekel Boni in Israel registriert, betrieb Plattformen wie MyDSP und Controlium. Eine Sicherheitslücke in Form eines unauthentifizierten Endpunkts auf Controlium legte Anmeldeprotokolle für 128 Tage mit 120 Benutzernamen offen.
Zudem bestanden Verbindungen zu weiteren Branchenfirmen wie Intelos und Bindecy. Candiru, das seit 2021 auf einer Sanktionsliste der USA steht, operiert nach Firmenübernahmen mittlerweile unter dem Namen Integrity Labs. Weder Discover-Tech noch Candiru reagierten auf Anfragen der Forscher.
Die Werbeindustrie leitete inzwischen Gegenmaßnahmen ein. IAB Europe strich Discover-Tech wegen systemischer Richtlinienverstöße aus seinem Register. Google sperrte den Zugang zur Ad-Exchange-Plattform und strich das Unternehmen aus der Anbieterliste. Auch Netzwerke wie Beeswax, Eskimi und Vungle sperrten Konten oder blockierten Domains.
IT-Sicherheitsexperten und Behörden fordern eine striktere Regulierung des Online-Werbemarkts. Zur Abwehr raten Analysten Organisationen dazu, Werbeinhalte bereits am Netzwerkübergang zu filtern, mobile Werbe-IDs per zentraler Geräteverwaltung zu deaktivieren und Werbeblocker einzusetzen.
Mehr zum Thema bei BleepingComputer: „Zero-click attacks used targeted ads to deliver Candiru spyware“
