2026-10-24 11:49:11 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

你刷的每条广告，可能都是一次零点击黑客攻击

原创

承影
承影

兰花豆说网络安全

2026年10月19日 06:43
湖北

去阅读

一条卖耳机的广告，你没点、甚至没细看，手机或电脑就已经被装上了间谍软件。这不是科幻片——多伦多大学 Citizen Lab 刚刚把这套手法正式命名：AdFection。

一、开场：广告，正在变成武器的弹道

先问一个问题：你今天刷手机、看网页，看到了几条广告？十条？五十条？

过去我们教别人防骗，总是那句老话：\"别乱点陌生链接，别下载来路不明的附件。\"这句话用了二十年，今天突然不灵了。

10 月 15 日，多伦多大学蒙克学院下属的 Citizen Lab（公民实验室）发布了一份让人后背发凉的报告。他们发现，一种被称为\"雇佣间谍软件\"（mercenary spyware）的恶意程序，正通过在线定向广告悄悄投送到成千上万人的设备上——而且，你不需要点击任何东西，甚至不需要知道这条广告存在。

研究人员给这种攻击方式起了一个名字：AdFection。

它把整个互联网广告生态，变成了一条绕过用户警觉的\"攻击弹道\"。这是有史以来第一次，安全研究者用技术证据证明了：广告，可以成为零点击（zero-click）间谍软件的分发管道。

二、事件还原：一家\"正经广告公司\"的另面人生

整件事的主角，是一家叫 Discover-Tech 的以色列公司。表面上看，它是广告行业里一名\"合规公民\"——它甚至出现在 Google 和 IAB Europe（欧洲广告行业协会）的\"认证/批准供应商\"名单上。

但 Citizen Lab 的结论很直接：Discover-Tech 打着正规广告公司的旗号，实际上是多家雇佣间谍软件公司的\"分发 facilitator（ facilitator， facilitator 此处指为间谍软件提供落地通道的中间商）\"。

它的客户名单里，有臭名昭著的 Candiru（一家以色列雇佣间谍软件公司），还有 Bindecy、Intelos 等。Discover-Tech 投放的广告，会把海量设备悄悄引导去连接 Candiru 的服务器。

时间线大致是这样的：

2020 年：Discover-Tech 注册成立，混入正规广告供应链。

至少 2024 年起：开始为雇佣间谍软件充当分发管道。

2025 年 12 月：Amnesty 等机构曾披露过\"通过广告感染用户的间谍软件\"的苗头，但缺乏技术实证。

2026 年 3—6 月：研究者发现，Discover-Tech 的广告出现在超过 12 万个网站和 7 万多个移动 App 里。

2026 年 10 月 15 日：Citizen Lab 正式公开技术证据，命名为 AdFection。

最刺眼的一幕是：半岛电视台（Al Jazeera）至少 45 台设备遭到了与 Candiru 间谍软件高度相关的零点击攻击。而 Discover-Tech 的广告，还出现在美国国防部、北约、国际原子能机构（IAEA），乃至多国网络安全机构的敏感网络里——换句话说，连最该设防的地方，都没能挡住从广告位渗进来的子弹。

三、深度拆解：零点击，到底可怕在哪？

要理解 AdFection 的威胁，得先弄清两个词。

零点击（zero-click）——就是漏洞在后台自动触发，不需要你点、不需要你授权、不需要你做任何事。传统的钓鱼要骗你点，零点击连\"骗\"都省了。

Candiru 这类雇佣间谍软件——它不像普通木马只偷点密码。它能远程接管你的设备、窃取全盘数据、悄悄打开麦克风和摄像头。买它的，往往是那些不方便自己动手的\"客户\"：某些政府的情报部门。

Citizen Lab 还原出的攻击链，核心是一个叫 Controlium 的平台。Discover-Tech 通过这个平台，让它的雇佣监控\"合作伙伴\"做到三件事：

去匿名化：把广告展示背后的设备指纹扒个干净；

指纹采集：识别你用的什么机型、什么系统；

自动感染：广告在屏幕上渲染出来的那一瞬间，攻击就已经启动。

更深的暗线叫 DARK CARTOGRAPHER（黑暗制图师）。这个角色从 2019 年就开始活动，它利用 Discover-Tech 的基础设施，去攻击多家移动运营商的漏洞，把设备的\"广告 ID\"和\"手机号\"关联起来，实现大规模去匿名化——把你从\"一个匿名用户\"变成\"一个可以被精准定位的真人\"。Citizen Lab 特别点出：DARK CARTOGRAPHER 的基础设施，同时牵连着一家雇佣广告技术公司和一家美国情报承包商。这种\"雇佣黑客\"与\"国家情报\"之间的直接交织，极为罕见。

下面这张表，帮你快速看清传统钓鱼和 AdFection 的区别：


维度	传统钓鱼/恶意广告	AdFection 零点击广告
用户动作	需点击链接或下载	完全无需任何操作
触发位置	落地页、附件	广告渲染瞬间
分发渠道	钓鱼邮件、仿冒网站	正规广告供应链
难防程度	中（可培训、可拦截）	高（绕过用户警觉）
典型武器	普通木马、勒索软件	Candiru 级雇佣间谍软件

还有一个让人细思极恐的细节：Discover-Tech 不是藏在暗处的野路子，它长期挂在 Google 和 IAB Europe 的\"认证/批准供应商\"名单上。也就是说，整个广告行业的\"白名单\"机制，没能识别出这家\"披着羊皮的狼\"。Citizen Lab 的研究员 Wolfie Cristl 用了\"disastrous（灾难性）\"来形容行业的失察——从 2020 年注册到至少 2024 年开始作恶，这么多年，主流广告平台硬是没发现它把流量偷偷导给了间谍软件服务器。这暴露的，不是某一家公司的疏忽，而是整个程序化广告供应链在\"反监控\"这件事上的集体失明。广告行业为了对付\"为钱而来的网络罪犯\"优化了几十年，却从没为\"为监控而来的间谍\"做过准备——这句话，值得整个行业记一辈子。

四、影响与启示：当\"广告位\"变成\"攻击位\"

AdFection 之所以让研究者用\"disastrous（灾难性）\"来形容，是因为它暴露了一个系统性的真相：今天的数字广告生态，本身就是一种安全威胁。

对普通人：你以为\"不点就不会中招\"，但零点击攻击让这条经验失效。广告位是公开的、高频的、难以规避的。

对企业安全负责人：办公网络、甚至隔离网里的敏感终端，同样可能通过员工私人设备、访客网络被波及。广告流量，是你防火墙规则里最容易忽略的盲区。

对监管者：Citizen Lab 直言，美、欧的监管机构必须立刻介入，调查相关公司、修补让\"恶意广告定向\"得以发生的系统性风险。Confiant 的 CTO 说得直白：广告行业为了对付\"为钱而来的网络罪犯\"优化了几十年，却从没为\"为监控而来的间谍\"做过准备。

给你一份可落地的自查清单：

终端及时打补丁：零点击攻击多依赖系统/浏览器/组件的未修复漏洞，iOS、Android、Chrome 等保持最新。

部署移动威胁防护（MTD）：企业给高价值员工的移动设备装上移动威胁检测，而不只靠 MDM 做资产管理。

盯住出口流量：在防火墙和 EDR 上关注异常外联，尤其是到陌生 C2 节点的 beacon 行为。

收敛广告与追踪：对内网终端限制第三方广告 SDK、追踪器的加载，敏感环境考虑广告/追踪屏蔽策略。

供应商尽职调查：采购任何\"广告技术/数据情报\"服务前，查它是否在监管黑名单或争议名单上。

最后把话挑明：这次事件里，最尴尬的角色是广告平台和监管机构。Citizen Lab 直接喊话——美、欧的监管机构必须立刻调查 Discover-Tech 这类公司，并修补让\"恶意广告定向\"得以发生的系统性风险。道理其实很朴素：当广告位成了攻击位，光靠老百姓自己装杀毒软件，是堵不住整条供应链的。监管的刀，该出鞘了。