LONDON (IT BOLTWISE) – Forschende der University of Toronto berichten über Zero-Click-Spyware-Infektionen, die über gewöhnliche Online-Werbung in Geräte eingedrungen sind. Der Schadcode startet laut den Analysen direkt beim Laden einer Anzeige und kann sich sogar abseits des sichtbaren Bildbereichs ausführen. Im Fall von Al Jazeera nennt das Team mindestens 45 betroffene Geräte in den Jahren 2024 und 2025. Zudem ordnet die Untersuchung die Angriffe mit hoher Zuverlässigkeit der kommerziellen Spyware Candiru zu.
Die neue technische Einordnung ist weniger eine Schlagzeile über „besonders raffinierte“ Malware als vielmehr ein Stresstest für die Annahme, dass Werbenetzwerke im Alltag harmlos bleiben. Forschende des Citizen Lab an der University of Toronto beschreiben, wie die kommerziell vertriebene Spyware Candiru nicht über einen Klick oder eine auffällige Interaktion landet, sondern bereits beim Laden einer Anzeige. Entscheidend ist das Timing: Der schädliche Teil wird nach den vorliegenden Befunden gestartet, sobald die Anzeige auf dem Gerät geladen wird, in einzelnen Fällen sogar dann, wenn sie nicht im sichtbaren Bereich erscheint. Damit verschiebt sich das Risiko weg von klassischen Social-Engineering-Szenarien hin zu einer Angriffsfläche, die für Nutzerinnen und Nutzer normalerweise nicht kontrollierbar ist.
Technisch läuft der Angriff in einer mehrstufigen Kette, die sich aus der Datenfluss-Logik der Werbeauslieferung ableiten lässt. Die Anzeige selbst trägt nach den Recherchen keine direkt sichtbare „Exploit-Logik“; stattdessen enthält sie einen kleinen Code, der beim Anzeigen-Load die Geräte-Advertising-ID und die Internetadresse an einen Server übermittelt, der zu Discover-Tech gehört. Dieser Server entscheidet anschließend, ob das Gerät zu einem zuvor definierten Zielkreis gehört. Trifft die Zielbedingung zu, liefert der Server wiederum die Angriffsbestandteile für Browser oder App aus; wenn nicht, sendet er nichts. Weil der Schadcode nicht als „Inhalt“ in der Anzeige vorliegt, können die typischen Kontrollmechanismen der Anzeigenplattformen, die nach eindeutig schädlichen Signaturen suchen, ins Leere laufen.
Im Zentrum des öffentlichen Nachweises steht die Zuordnung der Infektionen zu Candiru mit hoher Zuverlässigkeit. Die Forschenden geben an, dass sie den Spyware-Bestandteil von einem infizierten Gerät zurückgewinnen konnten, während der konkrete Exploit-Schritt, der den Einstieg in Browser oder App ermöglicht, nicht als ausführbares Codefragment im Sample gesichert war. Die Einordnung basiert deshalb auf dem beschriebenen Aufbau des Angriffs und auf technischen Übereinstimmungen, die das Citizen Lab bereits 2021 an einem Candiru-Werkzeug identifiziert hatte. Bei Al Jazeera, so die Darstellung, richtete sich die Kampagne in den Jahren 2024 und 2025 mindestens gegen 45 Geräte. Auffällig ist dabei auch die beobachtete Konsistenz der Netzwerkabfolge: Erst wird ein Discover-Tech-Anzeigenserver kontaktiert, danach ein weiterer Candiru-Server zur Geräteprüfung, und anschließend ein Command-and-Control-Server, der die Steuerung der Schadsoftware übernimmt.
Der Markt- und Ökosystemkontext macht den Vorgang besonders brisant. Discover-Tech tritt nach den Befunden als „normales“ Unternehmen für digitale Werbung auf; die Plattformen lieferten die Anzeigen über ihre üblichen Schnittstellen aus, was das Risiko aus Sicht der Angreifer skalierbar macht. In den von den Forschenden beschriebenen Reichweitenkennzahlen taucht Discover-Tech überproportional stark in der Infrastruktur auf: Auf einer der Plattformen seien zwischen März und Juni 2026 fast vier Milliarden Anzeigengebote abgegeben worden, und die mit dem Rückrufcode versehenen Anzeigen hätten sich laut Analyse in etwa 75.000 Telefon-Apps und rund 120.000 Websites wiederfinden lassen. Eine weitere Sicherheitsfirma, die das Citizen Lab begleitete, ordnet den Traffic grob mit ungefähr 10 Millionen Anzeigen pro Tag ein. Gleichzeitig betonen beide Teams die Differenz zwischen „Anzeige war erreichbar“ und „Gerät war infiziert“: Die Indikatoren zeigen vor allem, wie breit das System prinzipiell ausgerollt werden konnte.
Parallel dazu ist erkennbar, wie schnell große Plattformanbieter nach Veröffentlichung der technischen Details reagieren. Google und ein Branchenverband für Anzeigeninventar hätten Discover-Tech nach den Angaben der Forschenden bereits im frühen Oktober aus ihren Vendor-Listen entfernt; Google habe darüber hinaus den Zugriff auf Ad Exchanges gekappt, während weitere Plattformen Zugänge für Überprüfungen aussetzten oder Konten sperrten. Auch der Mutterkonzern eines Anzeigen-Services habe sich mit Verweis auf eine „jüngste Aktivität“ zum Vorgehen bekannt. Der entscheidende Punkt für IT-Teams ist dabei weniger die politische Ebene als die technische Ableitung: Wenn ein Kampagnen-Workflow in der Werbekette die Zielentscheidung serverseitig macht, reicht „Standard-Scanning“ auf Netzwerk-Schnittstellen allein häufig nicht aus, weil die schädliche Logik erst im zweiten Schritt ausgeliefert wird und der erste Schritt nur wie ein Tracking-Call wirkt.
Für die Verteidigung nennen die Forschenden daher konkrete Prüfpfade, die Security-Teams ohne tiefes Reverse Engineering in der eigenen Umgebung nachstellen können. Da die Gruppen Webadressen und Dateien aus der Operation veröffentlicht hätten, können Organisationen blockieren und ihre eigenen Telemetrie- und Proxy-Logs durchsuchen. Besonders relevant sind dabei die Verbindungsreihenfolge und die Zuordnung zwischen Komponenten: ein erster Kontakt zu einem Discover-Tech-Anzeigenserver, anschließend ein Candiru-Screening-Server und danach ein Command-and-Control-Server. Zu den in der Darstellung genannten Indikatoren zählen unter anderem ein SHA-256 der zurückgewonnenen Spyware von 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8 sowie als Domain für den Anzeigenserver mtrtb[.]com; zusätzlich verweisen die Analysen auf eine weiterführende Liste von Indikatoren aus dem begleitenden Bericht. Wer mehrere Betriebssysteme und Browser-Profile betreibt, sollte außerdem genau untersuchen, ob ähnliche Muster auch außerhalb der genannten Medienumfelder auftreten, weil kompromittierte Anzeigeninventare typischerweise nicht auf „eine“ Zielumgebung beschränkt bleiben.
Damit rückt ein wiederkehrendes Thema in den Fokus: Leckagen und frühere Untersuchungen hatten bereits gezeigt, dass Werbe-/Ad-Bidding-Systeme grundsätzlich missbraucht werden können, etwa indem Callback-Mechanismen als „Trigger“ für zweite Stufen dienen. Neu an der aktuellen Darstellung ist aber der technische, gegen „Live“-Beobachtung abgesicherte Nachweis, dass eine solche Kette tatsächlich zu Infektionen führen kann. Für Unternehmen bedeutet das, dass Werbenetzwerke nicht mehr nur als Marketing-Schnittstelle gesehen werden sollten, sondern als potenzieller externer Codepfad in Browsern und Apps. In der Praxis heißt das vor allem: Geräteinventar, DNS-/Proxy-Korrelation und Awareness für Zero-Click-Mechanismen sollten zusammen gedacht werden, denn der Angriff startet dort, wo die meisten Nutzerinnen und Nutzer am wenigsten auf Interaktion achten – beim automatischen Anzeigen-Load im Hintergrund.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zero-Click Candiru: Spyware über normale Werbeanzeigen bei Al Jazeera" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zero-Click Candiru: Spyware über normale Werbeanzeigen bei Al Jazeera" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zero-Click Candiru: Spyware über normale Werbeanzeigen bei Al Jazeera« bei Google Deutschland suchen, bei Bing oder Google News!