Điểm chính

  • Citizen Lab phát hiện phần mềm gián điệp thương mại AdFection lây nhiễm zero-click thông qua quảng cáo trực tuyến.
  • Ít nhất 45 thiết bị thuộc mạng lưới Al Jazeera đã bị nhắm mục tiêu trong giai đoạn 2024-2025.
  • Hệ thống đấu giá quảng cáo thời gian thực bị lạm dụng để định danh và phân phối mã độc đến đúng mục tiêu.
  • Mã độc có liên hệ kỹ thuật với các công cụ của công ty Candiru thông qua các tập tin DLL và kỹ thuật ngụy trang.

Các nhà nghiên cứu tại Citizen Lab vừa công bố báo cáo kỹ thuật về AdFection, một loại phần mềm gián điệp thương mại hoạt động theo cơ chế zero-click, được phân phối thông qua các chiến dịch quảng cáo trực tuyến có mục tiêu.

Phương thức lây nhiễm và quy mô tấn công

Phương thức này đã lây nhiễm thành công vào các thiết bị thuộc mạng lưới tin tức quốc tế Al Jazeera mà không đòi hỏi bất kỳ thao tác nào từ phía người dùng như nhấp chuột, tải tệp hay tương tác với thông báo cảnh báo. Theo báo cáo công bố vào tháng 10 năm 2026, ít nhất 45 thiết bị của hãng tin này đã bị nhắm mục tiêu trong khoảng thời gian từ năm 2024 đến 2025. Phân tích nhật ký mạng ghi nhận các thiết bị bị xâm nhập đã kết nối với hạ tầng của Discover-Tech ngay khi quảng cáo hiển thị, sau đó tiếp tục liên lạc với máy chủ của Candiru (nay là Integrity Labs) trước khi nhận mã độc từ máy chủ điều khiển.

Vai trò của hệ thống quảng cáo trực tuyến

Công ty Discover-Tech đóng vai trò trung gian giữa thị trường quảng cáo trực tuyến và các nhóm phát triển phần mềm gián điệp. Nền tảng Controlium của đơn vị này cho phép khách hàng định hướng mục tiêu dựa trên ID quảng cáo di động, cookie trình duyệt và địa chỉ IP. Khi quảng cáo được tải, mã nhúng bên trong sẽ liên lạc với máy chủ để kiểm tra thông số mục tiêu. Nếu trùng khớp, mã JavaScript độc hại sẽ được kích hoạt.

Hệ thống đấu giá thời gian thực (Real-time bidding) chia sẻ dữ liệu chi tiết như vị trí, địa chỉ IP và thông tin trình duyệt trong tích tắc. AdFection đã lợi dụng thiết kế này để nhận diện chính xác thiết bị của nạn nhân, giúp hành vi phát tán mã độc qua lại giữa các mạng lưới quảng cáo trở nên khó bị phát hiện hơn bởi các nhà nghiên cứu bảo mật.

Mối liên hệ với các bên liên quan và giải pháp phòng ngừa

Quá trình điều tra thu hồi một tệp DLL Windows từ thiết bị nhiễm độc, xác định có độ tin cậy cao thuộc về Candiru thông qua kỹ thuật chiếm quyền điều khiển COM và phương pháp ẩn chuỗi ký tự. Citizen Lab cũng liên kết Discover-Tech với các thực thể khác như Intelos và Bindecy, đồng thời ghi nhận tác nhân DARK CARTOGRAPHER đã lợi dụng hạ tầng này để liên kết ID quảng cáo với số điện thoại thông qua lỗ hổng nhà mạng.

Sự cố này chứng minh rằng việc thận trọng khi duyệt web là chưa đủ để bảo vệ thiết bị trước các hình thức tấn công mới. Các tổ chức và doanh nghiệp vận hành nền tảng quảng cáo cần nâng cao quy trình kiểm tra nhà cung cấp, kiểm duyệt mã quảng cáo và tăng cường bảo mật chuỗi cung ứng kỹ thuật số để ngăn chặn các nguy cơ tương tự.