Citizen Lab ยืนยันครั้งแรก สปายแวร์ Candiru แฝงมากับโฆษณาออนไลน์แบบ zero-click — เจาะอุปกรณ์ Al Jazeera อย่างน้อย 45 เครื่องผ่านบริษัทโฆษณา Discover-Tech

สรุปสั้น

กลุ่มวิจัย Citizen Lab แห่งมหาวิทยาลัยโทรอนโตเปิดเผยรายงาน “AdFection” ซึ่งเป็นการยืนยันทางเทคนิคต่อสาธารณะครั้งแรกว่าสปายแวร์รับจ้าง (mercenary spyware) ที่ขายให้รัฐบาลถูกส่งเข้าอุปกรณ์จริงผ่านโฆษณาออนไลน์แบบเจาะกลุ่ม โฆษณาเหล่านี้วางโดยบริษัท Discover-Tech บริษัทอิสราเอลที่ภายนอกดูเป็นบริษัทโฆษณาดิจิทัลทั่วไป และ Citizen Lab เชื่อมโยงด้วยความมั่นใจสูงกับบริษัท Candiru ผู้ผลิตสปายแวร์ที่สหรัฐฯ ขึ้นบัญชี Entity List ตั้งแต่ปี 2564 เหยื่อที่ยืนยันได้คือสำนักข่าว Al Jazeera ซึ่งมีอุปกรณ์อย่างน้อย 45 เครื่องถูกโจมตีแบบ zero-click ระหว่างปี 2567-2568 โดยผู้ใช้ไม่ต้องคลิกอะไรเลย บางครั้งโฆษณาโหลดอยู่เบื้องหลังโดยมองไม่เห็นด้วยซ้ำ

ขอบเขตการเข้าถึงของระบบนี้กว้างกว่า Al Jazeera มาก แพลตฟอร์ม MyDSP ของ Discover-Tech ยื่นประมูลโฆษณาเกือบ 3,770 ล้านครั้งในเดือนมีนาคม-มิถุนายน 2569 และชนะราว 442 ล้านครั้ง โฆษณาที่มีโค้ดส่งข้อมูลกลับปรากฏในเว็บไซต์ราว 120,000 แห่งและแอปมือถือราว 75,000 แอป รวมถึงบนเครือข่ายของ NATO สหประชาชาติ หน่วยงานสหภาพยุโรป ศาลอาญาระหว่างประเทศ และหน่วยงานรัฐบาลราวสองโหลประเทศ อย่างไรก็ตาม การที่โฆษณาปรากฏบนเครือข่ายใดไม่ได้แปลว่าเครือข่ายนั้นติดสปายแวร์ หลังได้รับข้อมูล Google ตัดการเข้าถึง ad exchange และ IAB Europe ระงับสถานะผู้ขายของ Discover-Tech แล้ว

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 15 ตุลาคม 2569 ว่า Citizen Lab ได้วิเคราะห์บันทึกการประมูลโฆษณาเกือบ 4,000 ล้านรายการ พบว่าตลอด 4 เดือน MyDSP ประมูล 3,770,286,576 ครั้ง และชนะ 441,954,291 ครั้ง (11.7%) โดย 76.7% เป็นโฆษณาในแอปมือถือ และ 23.3% เป็นโฆษณาบนเว็บเบราว์เซอร์ นอกจากความเชื่อมโยงกับ Candiru แล้ว รายงานยังพบร่องรอยที่เกี่ยวข้องกับบริษัทสอดแนมอื่นอย่าง Bindecy และ Intelos บ่งชี้ว่าโครงสร้างพื้นฐานของ Discover-Tech อาจให้บริการลูกค้ามากกว่าหนึ่งราย

ข้อสรุปเรื่อง Al Jazeera มาจากล็อกเครือข่ายที่สำนักข่าวส่งให้ ซึ่งแสดงลำดับเดียวกันทุกครั้งบนอุปกรณ์ที่ติดเชื้อ คือ ติดต่อเซิร์ฟเวอร์โฆษณาของ Discover-Tech ก่อน ตามด้วยเซิร์ฟเวอร์คัดกรองของ Candiru แล้วจึงไปยังเซิร์ฟเวอร์ C2 ที่ควบคุมสปายแวร์ Al Jazeera ยังดึงไฟล์โปรแกรม Windows หนึ่งไฟล์ออกจากเครื่องที่ถูกเจาะได้ ซึ่งมีเทคนิคเฉพาะตัวแบบเดียวกับเครื่องมือของ Candiru ที่ Citizen Lab เคยแยกชิ้นส่วนเมื่อปี 2564 อันเป็นที่มาของการระบุตัวด้วยความมั่นใจสูง ทั้งนี้ Citizen Lab ไม่ได้ระบุว่ารัฐบาลใดอยู่เบื้องหลัง และกู้ได้เฉพาะตัวสปายแวร์ แต่ไม่ได้ exploit ที่ใช้เจาะเบราว์เซอร์หรือแอป ขั้นตอนเจาะเข้าจึงอธิบายจากโครงสร้างการโจมตี ไม่ใช่จากโค้ดที่จับได้

Discover-Tech จดทะเบียนในอิสราเอลเมื่อปี 2563 มีนาย Dekel Boni เป็นประธานเจ้าหน้าที่บริหาร และอยู่ในรายชื่อผู้ขายที่ได้รับอนุมัติของ Google และ IAB Europe ตั้งแต่ปี 2563 จนถึงเดือนนี้ ส่วน Candiru ถูกซื้อสินทรัพย์ไปเมื่อปี 2568 โดยบริษัทลงทุนสหรัฐฯ Integrity Partners และย้ายไปอยู่ภายใต้บริษัทใหม่ที่มีรายงานว่าชื่อ Integrity Labs ซึ่งไม่อยู่ในขอบเขตมาตรการคว่ำบาตร หลังการเปิดเผย Beeswax (ในเครือ Comcast) ถอดบริษัทออก Vungle ของ Liftoff ระงับการเข้าถึงชั่วคราวเพื่อตรวจสอบ และ Eskimi บล็อกบัญชีและโดเมน ขณะที่ Discover-Tech, เจ้าของ Candiru, Al Jazeera และ Yandex ไม่ตอบคำถามของ Reuters

วิธีการโจมตี

โฆษณาแต่ละชิ้นของ Discover-Tech มีโค้ดขนาดเล็กที่ทำงานทันทีเมื่อโฆษณาโหลด โดยส่ง advertising ID และที่อยู่ IP ของอุปกรณ์กลับไปยังเซิร์ฟเวอร์ของบริษัท เซิร์ฟเวอร์จะตัดสินว่าอุปกรณ์นั้นเป็นเป้าหมายหรือไม่ ถ้าใช่จะส่งโค้ดโจมตีกลับมาให้เบราว์เซอร์หรือแอปรัน ถ้าไม่ใช่จะไม่ส่งอะไรเลย เนื่องจากตัวโฆษณาเองไม่มีโค้ดโจมตี เครือข่ายโฆษณาที่ส่งมันออกไปจึงไม่มีอะไรอันตรายให้ตรวจจับ และการสแกนอัตโนมัติก็มองไม่เห็นพฤติกรรมที่แตกต่างกันระหว่างผู้ใช้ทั่วไปกับเป้าหมาย

ในเชิงข่าวกรอง โครงสร้างนี้ใช้ได้สองทาง คือเก็บข้อมูลวงกว้าง (advertising ID, IP, คุณลักษณะเบราว์เซอร์) เพื่อทำโปรไฟล์และระบุตัวบุคคลที่น่าสนใจ แล้วจึงเลือกโจมตีเฉพาะรายด้วยสปายแวร์ บริษัท Confiant ผู้ร่วมสืบสวน ประเมินทราฟฟิกของ Discover-Tech ที่ราว 10 ล้านโฆษณาต่อวัน แต่พบว่าโฆษณาที่ผูกกับ Candiru ได้โดยตรงมีปริมาณน้อย และส่วนใหญ่เข้าถึงอินเทอร์เน็ตบ้านและมือถือ ไม่ใช่เครือข่ายองค์กรที่อ่อนไหว ก่อนหน้านี้ในเดือนธันวาคม เอกสารรั่วเคยผูก Intellexa เข้ากับเครื่องมือโฆษณาลักษณะคล้ายกันชื่อ Aladdin แต่ยังไม่เคยมีหลักฐานการติดเชื้อจริงจนถึงรายงานนี้

ผลกระทบ

รายงานนี้เปลี่ยนสถานะของโฆษณาออนไลน์จากประเด็นความเป็นส่วนตัวไปสู่ช่องทางโจมตีเชิงปฏิบัติการ การป้องกันแบบดั้งเดิมที่เน้นไฟล์แนบ ลิงก์อันตราย และซอฟต์แวร์ที่มีช่องโหว่ ไม่ครอบคลุมโค้ดที่มาจากบริการที่ผู้ใช้และองค์กรอนุญาตเป็นปกติ กลุ่มเสี่ยงสูงคือนักข่าว นักการทูต เจ้าหน้าที่รัฐ ผู้บริหารระดับสูง และบุคลากรที่เข้าถึงระบบอ่อนไหว ซึ่งตัวตนและอุปกรณ์มีมูลค่าทางข่าวกรอง

ประเด็นเชิงระบบคือ Discover-Tech ผ่านการตรวจของ Google และ IAB Europe มาหลายปีทั้งที่มีความเชื่อมโยงกับอุตสาหกรรมสอดแนม และโครงสร้างห่วงโซ่ผู้ซื้อ ผู้ขาย และสคริปต์บุคคลที่สามของวงการโฆษณาทำให้มองเห็นได้จำกัดว่าแต่ละส่วนทำอะไรเมื่อโฆษณาโหลด การถอดบริษัทเดียวออกจึงไม่ได้แก้ปัญหาโครงสร้าง

คำแนะนำ

• บล็อกโฆษณาและคำขอติดตามที่ network gateway หรือ DNS resolver ขององค์กร ตามคำแนะนำที่ NSA และ CISA ออกไว้ตั้งแต่ปี 2561 และ 2563
• ปิด ad personalization และรีเซ็ต/จำกัด advertising ID บนอุปกรณ์ที่บริหารจัดการ โดยเฉพาะของผู้บริหาร นักข่าว และบุคลากรที่เข้าถึงข้อมูลลับ
• ใช้เบราว์เซอร์ที่มีการป้องกันการติดตามเข้มงวด และจำกัดส่วนขยายเบราว์เซอร์และเนื้อหาบุคคลที่สามบนเครื่องที่ใช้งานข้อมูลอ่อนไหว
• ค้นย้อนหลังใน DNS/proxy log หาการเชื่อมต่อไปยังโดเมนตาม IoC ด้านล่างและรายการเต็มของ Confiant โดยเฉพาะลำดับ เซิร์ฟเวอร์โฆษณา Discover-Tech → เซิร์ฟเวอร์คัดกรอง Candiru → เซิร์ฟเวอร์ C2
• อัปเดตเบราว์เซอร์และระบบปฏิบัติการมือถือให้เร็วที่สุด เพราะ zero-click ผ่านโฆษณายังต้องพึ่งช่องโหว่ของเบราว์เซอร์หรือแอปในขั้นเจาะเข้า

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมน defang แล้ว

รายการเต็มรวมเซิร์ฟเวอร์ C2 อยู่ในรายงานของ Citizen Lab และ Confiant

แหล่งอ้างอิง

• AdFection: Beyond the Click: Citizen Lab Exposes Ad-Delivered Spyware Networks — Security Affairs
• Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads — The Hacker News
• How Discover-Tech Turned Targeted Ads into a Pipeline for Spyware — Citizen Lab
• Hooking Candiru: Another Mercenary Spyware Vendor Comes into Focus — Citizen Lab