AdFection：把定向广告变成零点击雇佣间谍软件的投递管道

基于广告的间谍软件投递管道如何运作

• Discover-Tech 运营着一个看起来很正常的广告购买平台，获得了主要广告行业机构的“认证”，像其他买家一样在 RTB 拍卖中竞价。
• 广告是看起来很普通的横幅（游戏、购物、IP 查询），其中嵌入了一个小脚本，在渲染时回连到一个“NOAS”服务器。
• 该脚本收集设备标识符、IP，有时还会收集发布商 cookie/会话令牌；合作伙伴之间的 cookie 同步构建出丰富的身份图谱。
• 然后，一个守门服务器会根据 IP 和广告 ID 决定某个观看者是否为目标。大多数用户什么也不会得到；被选中的目标会被一次性转交给 Candiru 间谍软件。
• 目标包括记者（例如 Al Jazeera），以及国际组织、政府和国防实体组成的网络；规模巨大（数十亿次竞价、约 20 万个网站/应用）。

技术细节与未解问题

• Citizen Lab 将这次行动与 2020 年代初的 Windows 和 Chrome CVE 关联起来，并指出与一个使用 COM 劫持和签名驱动进行内核访问的 Windows DLL 有关。
• 几位评论者指出，报告对从广告 JavaScript 到操作系统级入侵的具体浏览器/OS 利用链描述得很模糊，尤其是在移动端。
• 其他人则提到外部对 Candiru “DevilsTongue”的分析，用来补充利用后行为，但线程中零点击浏览器漏洞本身仍不清楚。

广告拦截器与缓解措施的有效性

• 普遍共识是，网络级和浏览器广告拦截器（uBlock Origin、Safari 拦截器、基于 DNS 的拦截如 Pi-hole/NextDNS）至少在 Web 上会显著降低暴露面。
• 移动端应用内广告更难拦截；DNS 过滤有帮助，但可能被绕过。
• 有人提到加固系统（例如 GrapheneOS、隐私浏览器），但目前并没有明确答案说明它们是否曾经或是否仍然免疫。

关于责任与监管的争论

• 许多人认为，这证明在线广告是严重的安全风险，并呼吁：
  • 将定向广告或第三方跟踪定为非法。
  • 让广告网络和/或发布商对恶意广告承担法律责任，甚至刑事责任。
  • 要求广告格式静态、不可执行。
• 一位广告技术工程师反驳称，这个生态系统碎片化且规模巨大；在这种规模下对所有创意和落地页做审查在实践中几乎不可能，而且高级攻击者可以规避预扫描。
• 批评者回应说，“规模太大难以处理”不是可以接受的借口；如果无法安全地做到，那这个模式本身就应该被约束或拆除。

对以色列技术与地缘政治的信任

• 大量讨论将此案与更广泛的以色列进攻性网络安全公司（NSO、Candiru 等）以及军队 8200 部队的校友进入商业网络进攻与防御领域的模式联系起来。
• 有人认为，任何以色列安全或广告技术公司都应被假定与国家情报机构高度一致，因此不可信；也有人指出，许多全球企业严重依赖以色列安全供应商。
• 随后展开了强烈而两极化的地缘政治争论（种族清洗、种族隔离指控 vs. “安全需要”），并伴随一方指控反犹，另一方则指责有罪不罚和双重标准。

更广泛的教训与用户姿态

• 几位评论者强调，同样的 0-day 链条也可能通过任何内容投递（邮件、消息应用、社交媒体），但广告网络让它可规模化、远程化，而且是真正的零点击。
• 对零日漏洞和雇佣间谍软件市场不断增长的悲观看法相当普遍。
• 重复出现的实用建议：把广告拦截（再加上 MFA、限制设备上的金融访问，以及加固 OS/浏览器）视为基本卫生习惯，尤其是对高风险用户。