AdFection: Khi quảng cáo trực tuyến trở thành đường ống phát tán phần mềm gián điệp

Citizen Lab vừa công bố báo cáo gây chấn động về AdFection — kỹ thuật tấn công zero-click phát tán phần mềm gián điệp thương mại thông qua quảng cáo nhắm mục tiêu. Ít nhất 45 thiết bị tại mạng tin tức quốc tế Al Jazeera đã bị lây nhiễm theo cách này.

Đây là lần đầu tiên giới nghiên cứu bảo mật xác nhận bằng bằng chứng kỹ thuật rằng chỉ cần một quảng cáo hiển thị trên màn hình cũng đủ để thiết bị bị xâm nhập — không cần người dùng nhấp chuột hay tương tác gì.

AdFection hoạt động như thế nào?

Cơ chế tấn công khai thác hai đặc điểm cố hữu của hệ sinh thái quảng cáo số:

• Thu thập dữ liệu chi tiết đến từng cá nhân: Hệ thống Real-Time Bidding (RTB) diễn ra hàng trăm tỷ lần mỗi ngày, nơi các nhà quảng cáo đấu giá để hiển thị quảng cáo cho một người dùng cụ thể dựa trên mã định danh thiết bị, địa chỉ IP, cookie và vị trí.
• Cho phép nhiều bên thứ ba chạy mã trong ứng dụng và trình duyệt: Quảng cáo không chỉ là hình ảnh hay video — chúng có thể chứa mã JavaScript từ nhà quảng cáo, DSP và các bên khác, được thực thi ngay khi quảng cáo hiển thị.

Kẻ tấn công lợi dụng điều này bằng cách nhúng một thẻ script trỏ về máy chủ gọi là NOAS (hay “getAd server”). Khi quảng cáo được render, thiết bị tự động gửi mã định danh quảng cáo về máy chủ này. Nếu nạn nhân nằm trong danh sách mục tiêu, máy chủ sẽ trả về mã JavaScript độc hại; nếu không, nó trả về phản hồi 0 byte để tránh bị phát hiện.

“Chỉ cần hiển thị một quảng cáo nhắm mục tiêu là đủ để lây nhiễm.” — Citizen Lab

Discover-Tech: Cầu nối giữa spyware và quảng cáo

Trung tâm của báo cáo là Discover-Tech, công ty có trụ sở tại Israel tự nhận là doanh nghiệp quảng cáo hợp pháp nhưng theo Citizen Lab thực chất đóng vai trò trung gian cho nhiều đối tác spyware thương mại.

Công ty này vận hành nền tảng Controlium, cho phép khách hàng:

• Khử ẩn danh và lấy dấu vân tay thiết bị mục tiêu
• Tự động lây nhiễm thiết bị ngay khi quảng cáo được hiển thị
• Nhắm mục tiêu theo mã quảng cáo di động (iOS/Android), cookie trình duyệt hoặc địa chỉ IP
• Chạy các loại URL tùy chỉnh bao gồm “Script” và “De-anon”

Đáng chú ý, Discover-Tech từng nằm trong danh sách nhà cung cấp quảng cáo “được chứng nhận” của Google và hiệp hội quảng cáo IAB Europe, đồng thời phân phối quảng cáo qua các mạng lớn như Google, Yandex và Beeswax.

Sau khi Citizen Lab công bố phát hiện, Google và IAB Europe đã loại Discover-Tech khỏi danh sách đăng ký vào đầu tháng 10/2026. Beeswax, Vungle (Liftoff) và Eskimi cũng đã chặn quyền truy cập của công ty này.

Quy mô đáng báo động

Phân tích gần 4 tỷ bản ghi đấu giá quảng cáo của Discover-Tech cho thấy trong bốn tháng, quảng cáo của công ty đã xuất hiện trên gần 200.000 website và ứng dụng Android/iOS tại hàng chục quốc gia.

Quảng cáo của Discover-Tech còn âm thầm chuyển hướng hàng triệu thiết bị kết nối tới máy chủ của Candiru — nhóm spyware thương mại nổi tiếng — để theo dõi và trinh sát quy mô lớn.

Mối liên hệ với các nhóm spyware và ADINT

Báo cáo chỉ ra Discover-Tech có quan hệ với nhiều nhóm giám sát thương mại:

• Candiru (nay đổi tên thành Integrity Labs) — nhóm spyware trực tiếp thực hiện tấn công Al Jazeera
• Bindecy — công ty hacking thương mại
• Intelos — nhà cung cấp nền tảng tình báo quảng cáo (ADINT)
• DARK CARTOGRAPHER — tác nhân đe dọa khai thác lỗ hổng của các nhà mạng di động để liên kết mã quảng cáo với số điện thoại, khử ẩn danh hàng loạt người dùng

Ý nghĩa với người dùng

Vụ việc phơi bày lỗ hổng mang tính cấu trúc của hệ thống quảng cáo trực tuyến: một hệ thống có thể bị lạm dụng để theo dõi và tấn công mà không có cơ chế phát hiện hay ngăn chặn hiệu quả.

Citizen Lab kêu gọi cơ quan quản lý điều tra liệu Discover-Tech và Candiru/Integrity Labs có vi phạm pháp luật hay không, đồng thời đưa ra khuyến nghị cho nhà lập pháp, nhà bảo vệ và ngành quảng cáo.

Với người dùng Việt Nam, đây là lời nhắc nhở rằng các ứng dụng và website quen thuộc hàng ngày đều có thể mang theo mã của bên thứ ba. Việc hạn chế theo dõi quảng cáo, sử dụng trình chặn quảng cáo và cập nhật thiết bị thường xuyên là những biện pháp phòng vệ thiết thực trong bối cảnh các cuộc tấn công kiểu AdFection ngày càng tinh vi.