LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, wie Spionagesoftware über normale Werbeeinblendungen in Smartphone-Apps verteilt werden kann, ohne dass Nutzer klicken müssen. Als Vermittlungskanal dient eine Werbeplattform, die gezielt Geräte über Werbe-IDs und IP-Adressen auswählt, bevor JavaScript Schadcode nachlädt. Für das erste Halbjahr 2026 werden potenziell 3,6 Millionen Geräte als Zielgeräte identifiziert. In der Folge entziehen mehrere Akteure dem Anbieter den Zugriff und sperren Werbe-Domains, während Schutz durch Updates, App-Hygiene und Werbeblocker empfohlen wird.
Dass Schadsoftware ausgerechnet über Onlinewerbung in Apps nachgeladen wird, wirkt zunächst widersprüchlich – schließlich ist Werbung in mobilen Ökosystemen für Nutzer meist nur ein „Nebenkanal“. Genau an dieser Stelle setzen die jetzt veröffentlichten technischen Ergebnisse an: Das Citizen Lab der University of Toronto beschreibt, wie Spionagesoftware ohne Zutun der Betroffenen in Smartphone-Apps über das bloße Ausspielen von Werbeeinblendungen gelangen kann. Entscheidend ist dabei nicht nur der Werbeinhalt, sondern die Kombination aus gezielter Auswahl bestimmter Endgeräte und einem Einschleusungsmechanismus, der beim Rendern der Anzeige JavaScript ausführt.
Aus technischer Sicht ist der Ablauf in mehrere Bausteine zerlegbar. Laut den gemeinsamen Erkenntnissen von Citizen Lab und Confiant fungiert eine Werbeplattform namens Controlium als Vermittlungskanal, dahinter steht Discover-Tech mit einer eigenen Auslieferungsplattform (MyDSP). MyDSP tritt dabei als „regulärer“ Werbekäufer auf und nutzt Werbe-IDs sowie IP-Adressen, um bestimmte Geräte auszuwählen. Sobald die Anzeige angezeigt wird, lädt ein bösartiger JavaScript-Code Schadcode nach – ein Klick ist nicht erforderlich. Damit das dennoch gelingt, braucht es allerdings eine ausnutzbare Schwachstelle am Zielgerät: Die Werbung ist also der Transportweg, nicht die einzige Ursache für die Kompromittierung.
Die Reichweiten- und Detaildaten machen die Relevanz für Produkt- und Security-Verantwortliche greifbar. In der Untersuchung wird MyDSP auf 3,77 Milliarden Werbeplätze in einem Auktionssystem geführt und mit 442 Millionen gewonnenen Auktionen beziffert. Ausgespielt wurden die problematischen Einblendungen in 75.373 Apps und auf 120.768 Websites. Auffällig ist zudem die Geschäftslogik hinter den Kampagnen: Der Plattformbetreiber wird von nur drei Werbetreibenden getragen, mit Gesamtausgaben von rund 109.000 US-Dollar, die keine messbaren Conversions erzeugten. Geografisch und technisch zeigen sich Verteilungsmuster über ein breites Spektrum von Ländern, darunter auch Deutschland, und Spuren bei mehreren Hardware- und Technologie-Ökosystemen.
Für die Risikoeinschätzung ist wichtig, zwischen potenziellen Zielgeräten und tatsächlichen Infektionen zu unterscheiden. Citizen Lab nennt für das erste Halbjahr 2026 3,6 Millionen potenziell in Frage kommende Nutzergeräte; diese Zahl entspricht nicht automatisch einer gleichen Anzahl kompromittierter Geräte. Als betroffene Werbeplätze werden unter anderem sehr verbreitete Anwendungen genannt, etwa Wetter Online, Duolingo, Viber, Grindr, Badoo, MX Player, Lark Player, Yahoo Mail sowie Opera Mini. Ebenfalls Teil der Bewertung: Citizen Lab beschreibt außerdem, dass die Identifikation eines wiedergefundenen „Implantats“ als Windows-Datei gelang, während ein Smartphone-Implantat in diesem Kontext bisher nicht bestätigt wurde. Daraus folgt für die Praxis eine klare Lesart: Es ist sehr wohl dokumentiert, wie die Auslieferung über Werbung funktioniert – die konkrete Schadsoftware-Ausführung auf jedem mobilen Gerät bleibt jedoch an verwertbare Schwachstellen und den jeweils beobachteten Verlauf gebunden.
Der Kontext geht über den rein technischen Werbe-Angriff hinaus, weil sich Spuren in andere Bedrohungslandschaften einordnen lassen. Citizen Lab nennt als mutmaßliche Angriffsziele internationale Organisationen wie UN, NATO und EU-Kommission sowie rund 20 Medienunternehmen. Ergänzend werden verdächtige Anzeigen in Netzwerken mit Bezug zu Behörden, Streitkräften sowie Tech- und Halbleiterkonzernen aufgeführt; besonders starke Spuren werden bei Intel beschrieben, zusätzlich werden unter anderem Nvidia, SanDisk, Texas Instruments, Broadcom, Micron und ARM genannt. Auch in Australien werden Häufungen bei Energieversorgern, Universitäten, Medien und dem Forschungszentrum ANSTO erwähnt, ohne dass konkrete Auswirkungen gemeldet wurden. In einem separaten Strang wird zudem von Zero-Click-Angriffen im Umfeld von Al Jazeera berichtet, bei denen mindestens 45 Geräte Ziel von Spionagesoftware der Firma Candiru waren; Candiru firmiert heute unter Integrity Labs und steht seit 2021 auf der US-Sanktionsliste. Eine unabhängige Untersuchung wird dort ausdrücklich gefordert.
Markt- und Ökosystemeffekte lassen sich aus den Reaktionen der Industrie ableiten. Nach den Enthüllungen hätten dem Anbieter Discover-Tech mehrere Partner den Zugriff entzogen, darunter Google sowie weitere Unternehmen aus dem Werbe- und Ad-Tech-Umfeld; auch eine Sperre bzw. Suspendierung durch den Branchenverband IAB Europe aufgrund von Verstößen gegen ein europäisches Transparenzregelwerk wird genannt. Zusätzlich äußert Corrata, wöchentlich 1.000 bis 2.000 Werbe-Domains vorsorglich zu blockieren. Inhaltlich ist diese Breite bemerkenswert, weil sie zeigt, dass die Abwehr nicht bei App-Entwicklern allein ansetzt, sondern bei Zulieferketten: Werbe-IDs, Abrechnungs- und Auslieferungsdaten sowie die Integrität von Codepfaden in Anzeigen werden damit als Angriffskomponenten sichtbar. Genau darauf zielt die Warnung von Citizen-Lab-Direktor Ronald J. Deibert ab: Die Verschmelzung von Werbeökosystem und Auftragsspionage gilt als besonders gefährliches Szenario.
Für Unternehmen, die mobile Flotten verwalten oder Sicherheitsverantwortliche in App- und Plattformteams stellen, entsteht daraus eine pragmatische Prioritätenliste. Citizen Lab und weitere Stimmen empfehlen zeitnahe Sicherheitsupdates, das Löschen nicht genutzter Apps sowie den Einsatz von Werbeblockern; ergänzt wird das Thema personalisierte Werbe-IDs durch Hinweise, diese Funktionen zu deaktivieren. Auch wenn ein Werbeblocker einzelne Script- und Tracking-Pfade reduziert, bleibt die Systemlogik entscheidend: Ohne eine Schwachstelle am Zielgerät kann der Angriff nicht „durchschlagen“, aber Updates sind die einzige skalierbare Maßnahme, um die Angriffsfläche dauerhaft klein zu halten. Für die nächsten Monate wird deshalb besonders relevant, wie schnell Betreiber von App-Ökosystemen, Consent- und Ad-Serving-Diensten riskante Codepfade erkennen und unterbinden – und wie konsequent sie die Auslieferung über nachweislich missbrauchte Kanäle stoppen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Spyware per Onlinewerbung: 3,6 Mio. Android-Geräte potenziell betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Spyware per Onlinewerbung: 3,6 Mio. Android-Geräte potenziell betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Spyware per Onlinewerbung: 3,6 Mio. Android-Geräte potenziell betroffen« bei Google Deutschland suchen, bei Bing oder Google News!