01/Το εύρημα: διαφήμιση που μολύνει, μηδέν κλικ
Στις 15 Οκτωβρίου 2026 το Citizen Lab του Πανεπιστημίου του Τορόντο δημοσίευσε το Report 195: Exposing AdFection. Πρόκειται για την πρώτη δημόσια, πλήρως τεχνική επιβεβαίωση mercenary spyware zero-click που μολύνει συσκευές μέσω διαφημίσεων. Όχι ύποπτος σύνδεσμος, όχι κακόβουλο attachment — η ίδια διαφήμιση που αποδίδεται είναι αγωγός μόλυνσης.
Ο μηχανισμός: ο επιτιθέμενος επιλέγει στόχο βάσει mobile advertising ID, cookie ή IP. Κερδίζει μια δημοπρασία στο ad ecosystem, η διαφήμιση αποδίδεται, τραβάει JavaScript από ειδικό server και αν ο server αναγνωρίσει τον στόχο, επιστρέφει κώδικα που οδηγεί σε exploit και implant. Δεν χρειάστηκε ούτε ένα κλικ. Σε κάποιες περιπτώσεις η διαφήμιση εκτελέστηκε εντελώς στο παρασκήνιο, ως stealth carrier.
Στόχος της καμπάνιας που τεκμηριώθηκε ήταν το Al Jazeera (2024–2025): τουλάχιστον 45 συσκευές Windows μολύνθηκαν με spyware της Candiru (επωνυμία Integrity Labs) όταν εμφανίστηκε μια ελεγχόμενη διαφήμιση που συνδεόταν με την ισραηλινή Discover-Tech. To Al Jazeera δεν απάντησε σε αίτημα σχολιασμού.
Έχει ακουστεί πολύ ότι οι online διαφημίσεις μπορούν να αναγνωρίζουν και να σπάνε στόχους με χειρουργική ακρίβεια. Τώρα, για πρώτη φορά, έχουμε στέρεα τεχνικά δεδομένα. (Bill Marczak, Citizen Lab)
Στην ίδια ημέρα, η εταιρεία ελέγχου ποιότητας διαφημίσεων Confiant δημοσίευσε συντονισμένη έρευνα (ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity Vacuuming), εντοπίζοντας τις ίδιες υποδομές στα δίκτυα IAEA και ICC.
02/RTB 101: γιατί οι διαφημίσεις είναι τέλειο όπλο
Όταν ανοίγεις σελίδα με διαφημίσεις, ο browser στέλνει bid request σε ad exchange. Σε λιγότερο από 1 δευτερόλεπτο εκατοντάδες DSPs υποβάλλουν προσφορές και ο νικητής αποδίδει τη διαφήμισή του.
Το bid request περιλαμβάνει: mobile advertising ID (IDFA/GAID), cookie ID browser, IP και τοποθεσία, μοντέλο συσκευής, user agent, OS/SDK versions, καθώς και state GDPR consent.
Το βασικό πρόβλημα: η διαφήμιση δεν είναι απλώς εικόνα — είναι συχνά HTML/JavaScript που τρέχει μέσα στο sandbox του publisher. Ένας advertiser ή η DSP του μπορεί να εκτελέσει αυθαίρετο JS, να φορτώσει scripts και να χτίσει iframe-chains.
Δύο ιδιότητες που κάνουν το RTB ιδανικό όπλο: (1) individual-level targeting σε μαζική κλίμακα, (2) κώδικας του διαφημιζόμενου μέσα στον publisher που μπορεί να φορτώσει κώδικα από αλλού.
Τα bid requests είναι εξαιρετική πηγή ADINT (Advertising Intelligence): real-time tracking IP/carrier/location ενός στόχου, με Patternz/Nuviad-type reconnaissance και γνωστές ad-based geolocation πρακτικές όπως στην «PenLink» περίπτωση. Το RTB είναι πλούσιο σε δεδομένα και χρησιμοποιείται και ως φτηνό OSINT vector, αν και η νομική κάλυψη διαφέρει ανά περιοχή.
03/Discover-Tech & Controlium: το control panel
Η Discover-Tech (2020) παρουσιαζόταν ως νόμιμη εταιρεία adtech. CEO ο Dekel Boni. Eric Banoun, πρωτοπόρος offensive cyber στο Ισραήλ, στο ΔΣ 2020–2025. Shareholder ήταν εταιρεία συνδεδεμένη με τη Sara Hamou (διαχειρίστρια εταιρικού δικτύου της Intellexa) μεταξύ 2020–03/2026.
Λειτουργικά: MyDSP (Google, Yandex, Vungle/Liftoff, Sunteng) και αγορά μέσω Eskimi + Beeswax. Controlled ads έφεραν branding συνδεδεμένων εταιρειών ή τρίτων όπως Amazon/AliExpress (χωρίς ενδείξεις αγοράς). Το Controlium πρόσφερε: στόχευση βάσει mobile ad ID/cookie/IP, segments, whitelist domains/apps, country lists, OpSec restrictions, παρακολούθηση impressions/bids 30 λεπτά.
Security failings
- Frontend source code στη login σελίδα (UI reconstucted).
- Auth bug: Auth0 JWT αγνοούνταν; χρησιμοποιούνταν encrypted user object με δημόσιο secret.
- Unauth
/csv-download: 128 ημέρες login logs, 120 users, μαζί με Candiru και Bindecy logins. - Σε
/jsConfigμήνυμα "ONLY DEKEL IS ALLOWED!!!"
04/Ο NOAS server: η βαλβίδα παράδοσης payload
Μετά τη νίκη στη δημοπρασία, η διαφήμιση καλεί τον NOAS server — το σημείο όπου κρίνεται ποιος θα δει αθώο περιεχόμενο και ποιος θα οδηγηθεί σε fingerprinting και exploit chain. Ο server αναγνωρίζει mobile ad ID, cookie ή IP και επιστρέφει τον αντίστοιχο κώδικα: για τους πολλούς ένα αβλαβές creative, για τον στόχο το επόμενο στάδιο της αλυσίδας. Έτσι η καμπάνια μένει αόρατη σε ελεγκτές και sandboxes.
05/Al Jazeera: η αλυσίδα που τεκμηριώθηκε
Στο 2024–2025 μολύνθηκαν τουλάχιστον 45 συσκευές Windows του Al Jazeera όταν εμφανίστηκε ελεγχόμενη διαφήμιση. Timeline: ad win → Discover-Tech domains (impression) → Candiru validator (Fingerprint V1: 305 domains σε 319 IPs) → C&C/implant.
Windows DLL με hardcoded C&C και hash 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8. COM hijack persistence, 48-byte repeating XOR, connectivity check order Google/Microsoft. Σχέση με την 2021 «Hooking Candiru» αλυσίδα. «Ad URL OpSec»: encrypted impressions με AES-256 «V1» key δημόσια στο myipinfo.io (DNS overlap με powerium.net και myweb3id.io). Οι ερευνητές δεν περιγράφουν τα exploits ή το final payload (μάλλον patched zero-days).
06/Η κλίμακα: 4 δισ. bid records και στρατιωτικά δίκτυα
Περίπου 4 δισεκατομμύρια bid records από δημόσια προσβάσιμο server (03–06.2026): >120k websites, >70k mobile apps ≈200k μοναδικά inventory, δεκάδες χώρες, impressions σε NATO, ΗΕ, ICC, IAEA, ευρωπαϊκά νομοθετικά σώματα, κριτικές υποδομές Αυστραλίας, ένοπλες δυνάμεις Νορβηγίας/Σουηδίας. Εκατομμύρια συσκευές οδηγήθηκαν σε Candiru servers (tracking/recon).
DARK CARTOGRAPHER: mobile carrier vulnerabilities για linking ad IDs ↔ phone numbers, μαζική deanonymization — ξεχωριστό report αναμένεται. Ακόμα, Bindecy (login logs), Intelos (ADINT vendor), Sara Hamou/Intellexa shareholder (2020–03/2026), Eric Banoun (2020–2025).
07/Ο χάρτης του δικτύου
Discover-Tech (Ισραήλ, γέφυρα: Controlium/MyDSP/NOAS), Candiru/Integrity Labs (spyware vendor), Bindecy (mercinary/hacking, Controlium logins), Intelos (ADINT). Στο ad ecosystem: Google, IAB Europe, Beeswax, Vungle (Liftoff), Eskimi, Yandex, Sunteng, Xandr (Microsoft).
08/Τι σημαίνει για την ασφάλεια όλων
RTB συλλέγει granular personal data και επιτρέπει arbitrary third-party code στο publisher — combination που αποτελεί APT-grade delivery channel: pinpoint selection, instant infection, stealth (zero-click, invisibility χωρίς forensic tooling). Citizen Lab το θεωρεί «tip of iceberg». Ειδικό κάλεσμα για media organizations: newsrooms targetable.
09/Πρακτική άμυνα: τι κάνεις τώρα
- Ad blocker browser-level + DNS-level filtering (Pi-hole/AdGuard Home).
- Απενεργοποίηση/reset mobile advertising ID σε iOS/Android.
- Patch OS/apps — zero-click needs vulnerabilities.
- Limit personalized ads, third-party cookies.
- High-risk personas: dedicated device, forensic checks (MVT), maximal caution.
- Publishers/SOCs: vet ad partners, CSP, minimize third-party scripts, egress/IDS monitoring, block documented IOCs (mtrtb.com, powerium.net, controlium.net, discover-tech.io, myweb3id.io, myipinfo.io).
Reset διαφημιστικού ID:
iOS: Ρυθμίσεις → Απόρρητο και ασφάλεια → Διαφημίσεις Apple → απενεργοποίησε τις εξατομικευμένες διαφημίσεις. Android: Ρυθμίσεις → Απόρρητο → Διαφημίσεις → διαγραφή ή επαναφορά του αναγνωριστικού διαφήμισης.
10/Συμπέρασμα
Το AdFection είναι περισσότερο από malvertising: είναι APT-grade delivery channel κρυμμένο σε στοχευμένες διαφημίσεις και συνδεδεμένο με mercenary spyware. Όσο το RTB οικοσύστημα φέρει pinpoint identifiers και εκτελεί third-party code, η διαφήμιση δεν είναι μόνο revenue πηγή — είναι attack surface. RTB οικοσύστημα που κουβαλάει indicators είναι άδικος και or dark clarity.
11/Πώς μπήκε από την κύρια πόρτα: πιστοποιήσεις & GDPR
Discover-Tech ήταν certified vendor στις λίστες Google (certified) και IAB Europe (approved) (2020–2026) και χρησιμοποίησε GDPR consent frameworks για στόχευση εντός ΕΕ. Μετά την έρευνα: Google/IAB Europe αφαίρεση από registries, Google terminated, Beeswax removed, Vungle pause pending review, Eskimi block, άλλοι δεν απάντησαν. (Wolfie Christl: «...δεν ανιχνεύσαν/εμπόδισαν... για χρόνια».)
◆Πηγές & Διαφάνεια
Διαφάνεια: ονόματα, hashes και τεχνικά στοιχεία όπως δημοσιεύθηκαν στο Citizen Lab Report 195 (16/10/2026). Οι συγκριτικές εκτιμήσεις είναι ενδεικτικές — επαλήθευσε πριν τις χρησιμοποιήσεις σε αποφάσεις άμυνας.
- (Haaretz: Eric Banoun, ένας από τους πρωτοπόρους offensive cyber στο Ισραήλ, ήταν στο ΔΣ από το 2020 έως το 2025.)
- Citizen Lab Report 195 — Exposing AdFection (πηγή α)
- Citizen Lab — Executive Summary
- Confiant — ADINT: Weaponized Ad Tech
- Ars Technica — Targeted ads delivered 0-click exploits
- The Guardian — Online ads weaponized to deliver semi-click spyware
- TechCrunch — Governments hacking people with zero-click spyware by showing them ads
- Citizen Lab 2021 — Hooking Candiru
- Όλες οι πηγές αντλήθηκαν στις 16/10/2026. Τεχνικά στοιχεία (hash, signatures) όπως δημοσιεύθηκαν από Citizen Lab Report 195.
◆Συχνές Ερωτήσεις
Τι είναι το AdFection;
Το AdFection είναι η ονομασία που έδωσε ο Citizen Lab στον πρώτο τεχνικά επιβεβαιωμένο zero-click μηχανισμό μετάδοσης mercenary spyware μέσω στοχευμένων διαφημίσεων. Τα θύματα μολύνονται τη στιγμή που εμφανίζεται η διαφήμιση, χωρίς κανένα κλικ.
Ποιες εταιρείες εμπλέκονται;
Discover-Tech (Ισραήλ) λειτουργούσε ως διευκολυντής μέσω της πλατφόρμας Controlium. Candiru, υπό την επωνυμία Integrity Labs, ήταν ο προμηθευτής spyware. Οι Bindecy και Intelos συνδέονται εταιρικά και λειτουργικά.
Κινδυνεύω εγώ ή η εταιρεία μου;
Άμεση μόλυνση αφορούσε στοχευμένα άτομα όπως δημοσιογράφοι του Al Jazeera. Τα 4 δισεκατομμύρια bid records έδειξαν διαφημίσεις σε περιβάλλοντα ΝΑΤΟ, ΗΕ, ICC και IAEA. Για άτομα υψηλού ενδιαφέροντος και οργανισμούς είναι πραγματικός κίνδυνος.
Πώς μπορώ να προστατευτώ στην καθημερινότητα;
Απενεργοποίησε ή επανέφερε το mobile advertising ID, χρησιμοποίησε ad blocker και DNS filtering, κράτησε συστήματα ενημερωμένα. Για οργανισμούς: αξιόπιστοι διαφημιστές, CSP και egress monitoring.