Công ty quảng cáo Israel bị tố làm kênh phát tán spyware Candiru không cần người dùng nhấp chuột

Công ty quảng cáo Discover-Tech của Israel bị cáo buộc đóng vai trò "cầu nối" để phát tán spyware thương mại, biến quảng cáo trực tuyến thành vũ khí tấn công không cần người dùng thao tác.

Spyware Candiru và chiến dịch quảng cáo độc hại

Theo báo cáo của nhóm giám sát internet Citizen Lab (Canada), spyware của Candiru đã xâm nhập thiết bị tại mạng tin tức quốc tế Al Jazeera thông qua các cuộc tấn công zero-click — tức nạn nhân không cần nhấp hay tương tác gì mà vẫn bị nhiễm. Phương thức được sử dụng chính là quảng cáo nhắm mục tiêu.

AdFection: khi quảng cáo trở thành vũ khí

Chiến dịch này được Citizen Lab đặt tên là AdFection. Công ty Discover-Tech mua quảng cáo để vô hiệu hóa tính ẩn danh, lấy dấu vân tay thiết bị và lây nhiễm cho người dùng. Đồng thời, kẻ tấn công có thể theo dõi hàng triệu thiết bị trên phạm vi toàn cầu.

Cơ chế nằm ở hệ sinh thái quảng cáo trực tuyến. Hàng ngày, các sàn quảng cáo tổ chức hàng tỷ phiên đấu giá Real-Time Bidding (RTB), nơi các công ty trả giá để được hiển thị quảng cáo cho người dùng. Trong quá trình đó, sàn quảng cáo thu thập lượng lớn dữ liệu thiết bị và người dùng, phục vụ việc theo dõi. Bản thân mẫu quảng cáo cũng có thể chứa mã chạy trong ứng dụng hoặc trình duyệt của người dùng.

Theo Citizen Lab, nếu mẫu quảng cáo chứa mã độc, nó có thể dẫn tới lây nhiễm malware. Và nhờ vô số định danh tồn tại trong hệ sinh thái quảng cáo, kẻ tấn công có thể nhắm spyware vào đúng một cá nhân cụ thể.

Discover-Tech bề ngoài là một công ty quảng cáo hợp pháp, nhưng theo đánh giá của Citizen Lab, đây nhiều khả năng là vỏ bọc cho một chiến dịch quy mô lớn liên quan đến lây nhiễm spyware và gián điệp.

Controlium và kỹ thuật zero-click

Nền tảng Controlium của Discover-Tech cho phép vô hiệu hóa tính ẩn danh của hàng triệu người dùng, lấy dấu vân tay thiết bị, và thực hiện tấn công zero-click ngay khi một mẫu quảng cáo hiển thị trên thiết bị nạn nhân.

Nhiều quảng cáo của Discover-Tech chứa một đoạn script tự động kết nối tới hạ tầng của công ty, gửi ID quảng cáo của người dùng và thực thi mã JavaScript được phục vụ dựa trên tổ hợp địa chỉ IP và các định danh khác.

Trong giai đoạn 2024–2025, ít nhất 45 thiết bị tại Al Jazeera đã bị nhắm mục tiêu trong chiến dịch AdFection, dẫn tới việc nhiễm spyware Candiru. Citizen Lab cũng xác định được một máy chủ của Discover-Tech để lộ 4 tỷ bản ghi đấu giá quảng cáo, cho thấy quảng cáo của công ty này từng xuất hiện trên gần 200.000 website và ứng dụng Android, iOS trên toàn thế giới.

Giao diện và dữ liệu liên quan đến hoạt động của Discover-Tech

Mắt lưới rộng hơn: Dark Cartographer và các bên liên quan

Citizen Lab cũng phân tích cách Discover-Tech tương tác với các nhóm tấn công giám sát khác. Một trong số đó có tên Dark Cartographer, đang "xây dựng cơ sở dữ liệu liên kết định danh quảng cáo di động của người dùng với số điện thoại" bằng cách khai thác lỗ hổng trên nhiều nhà mạng di động, qua đó vô hiệu hóa tính ẩn danh của người dùng internet trên diện rộng.

Đến đầu tháng 10, Google và IAB Europe đã loại công ty này khỏi danh sách nhà cung cấp quảng cáo. Google chặn quyền truy cập của Discover-Tech vào các sàn quảng cáo của mình, trong khi Beeswax và Eskimi cũng áp dụng biện pháp tương tự.

Khuyến nghị cho người dùng và doanh nghiệp

Citizen Lab nhận định rằng với mức độ đe dọa hiện tại từ các vector AdFection, biện pháp phòng vệ khả thi nhất là chặn quảng cáo nhắm mục tiêu ngay tại cổng mạng (gateway).

"Khuyến nghị phòng vệ này vẫn giữ nguyên cho đến khi ngành công nghiệp chứng minh được rằng họ có thể chặn một cách đáng tin cậy mọi vector kiểu AdFection."

Đối với người dùng cá nhân, đặc biệt là những ai thường xuyên xử lý thông tin nhạy cảm như nhà báo, nhà hoạt động hay nhân sự trong các tổ chức trọng yếu, việc siết chặt kiểm soát quảng cáo và theo dõi bất thường trên thiết bị là bước phòng ngừa đáng cân nhắc.

Citizen Lab và báo cáo về chuỗi cung ứng quảng cáo độc hại

Với bối cảnh tại Việt Nam, nơi quảng cáo số và ứng dụng di động phổ biến rộng khắp, câu chuyện này là lời nhắc rằng chuỗi cung ứng quảng cáo có thể trở thành điểm yếu trong an ninh mạng, và các tổ chức cần coi quảng cáo bên thứ ba là một bề mặt tấn công cần được kiểm soát.