Nach Darstellung des Citizen Lab ist dies die erste öffentliche, technische Bestätigung dafür, dass sogenannte Söldner-Spyware – an Regierungen verkaufte Hacking-Werkzeuge – über gezielt ausgespielte Werbung tatsächlich auf Geräte gelangt ist. Die Methode war zuvor aus geleakten Firmenunterlagen bekannt, aber nie in einem laufenden Angriff nachgewiesen worden.

Die Forscher konnten von einem Gerät die Spyware selbst sichern, nicht jedoch den Exploit, der Browser oder App aufbricht, um sie zu installieren. Dieser erste Einbruchsschritt ist aus dem Aufbau des Angriffs abgeleitet, nicht aus erfasstem Code.

Geschaltet wurden die Anzeigen von Discover-Tech, einem israelischen Unternehmen, das sich als gewöhnliche Digitalwerbefirma darstellt. Jede Anzeige enthielt ein kleines Stück Code, das beim Laden unauffällig die Werbe-ID und die Internetadresse des Geräts an einen Discover-Tech-Server zurückmeldete. Dieser Server entschied, ob das Gerät zu einem Ziel gehörte: Im Trefferfall lieferte er Angriffscode zurück, den Browser oder App ausführten; andernfalls kam keine Antwort. Da die Anzeige selbst keinen Angriffscode trug, hatten die ausliefernden Werbenetzwerke nichts Schädliches zu entdecken.

Bei Al Jazeera wurden den Angaben zufolge 2024 und 2025 mindestens 45 Geräte ins Visier genommen. Die Angriffe ordnet das Citizen Lab mit hoher Zuversicht Candiru zu; welche Regierung hinter der Operation steht, nannten die Forscher nicht.

Der Sender stellte den Forschern seine Verkehrsprotokolle zur Verfügung. Auf infizierten Geräten zeigte sich stets dieselbe Reihenfolge: zuerst Kontakt zu einem Discover-Tech-Werbeserver, dann zu einem Candiru-Server, der das Gerät prüft, schließlich zu einem Command-and-Control-Server, der die Spyware steuert. Al Jazeera sicherte zudem eine Windows-Programmdatei von einem kompromittierten Gerät. Deren Code nutzte dieselben charakteristischen Techniken wie ein Candiru-Werkzeug, das das Citizen Lab 2021 analysiert hatte – darauf stützt sich die Zuordnung mit hoher Zuversicht.

Mitarbeiter von Al Jazeera waren bereits zuvor Ziel: 2020 wurden die iPhones von Dutzenden Journalistinnen und Journalisten mit der Pegasus-Spyware der NSO Group gehackt, in einer anderen Operation mit anderer Methode.

Google und der Werbeverband IAB Europe führten Discover-Tech von 2020 bis zu diesem Monat als zugelassenen Werbeanbieter. Das Unternehmen wurde 2020 in Israel registriert und wird von Geschäftsführer Dekel Boni geleitet. Candiru gehört zu den bekannteren Namen der Spyware-Branche. Die USA setzten die Firma 2021 auf eine Handelssperrliste, weil Spyware gegen Regierungsvertreter, Journalisten und Aktivisten eingesetzt worden war. 2025 kaufte die US-Investmentfirma Integrity Partners die Vermögenswerte und überführte sie in ein neues Unternehmen, Berichten zufolge Integrity Labs, das von den Sanktionen nicht erfasst wird.

Nachdem die Forscher ihre Erkenntnisse geteilt hatten, entfernten Google und IAB Europe Discover-Tech Anfang Oktober aus ihren Anbieterlisten. Google sperrte den Zugang des Unternehmens zu seinen Werbebörsen, Beeswax entfernte es, Vungle setzte den Zugang für eine Prüfung aus, Eskimi sperrte die Konten. Google erklärte, man habe mit den Forschern zusammengearbeitet und Discover-Tech „wegen systematischer Verstöße gegen unsere Richtlinien“ entfernt. IAB Europe teilte mit, das Unternehmen nach einer Prüfung mit festgestellten Richtlinienverstößen suspendiert zu haben. Comcast, Eigentümer von Beeswax, erklärte, man habe „nach jüngsten Aktivitäten“ gehandelt. Discover-Tech, die Eigentümer von Candiru, Al Jazeera und das russische Werbenetzwerk Yandex äußerten sich nicht; die Website von Discover-Tech war am Donnerstag weiter erreichbar und enthielt keinen Hinweis auf die Erkenntnisse.

Die Reichweite von Discover-Tech ging weit über Al Jazeera hinaus. Auf einer seiner Plattformen platzierte das Unternehmen zwischen März und Juni 2026 nach Angaben des Citizen Lab knapp vier Milliarden Werbegebote; Anzeigen mit dem versteckten Rückruf-Code erschienen in rund 75.000 Smartphone-Apps und 120.000 Websites. Die US-Werbesicherheitsfirma Confiant, die gemeinsam mit dem Citizen Lab ermittelte, beziffert den Datenverkehr von Discover-Tech auf etwa zehn Millionen Anzeigen pro Tag.

Die Anzeigen tauchten auch in Netzwerken von Regierungen und großen Institutionen auf, darunter NATO, Vereinte Nationen, EU-Einrichtungen, Regierungsstellen in etwa zwei Dutzend Ländern, Chiphersteller und Nachrichtenorganisationen. Dass eine Anzeige in einem Netzwerk erscheint, belegt keine Infektion, sondern nur die mögliche Reichweite des Systems. Confiant stellte fest, dass die wenigen direkt Candiru zuzuordnenden Anzeigen geringe Volumina hatten und überwiegend private Heim- und Mobilfunkanschlüsse erreichten, nicht die sensiblen Netzwerke selbst.

Beide Gruppen veröffentlichten Webadressen und Dateien der Operation, damit Verteidiger sie blockieren und eigene Protokolle durchsuchen können. Organisationen, deren Beschäftigte die Anzeigen gesehen haben könnten, sollten nach der typischen Verbindungsabfolge suchen: Discover-Tech-Werbeserver, Candiru-Prüfserver, Command-and-Control-Server.

Veröffentlichte Indikatoren:

  • SHA-256 des geborgenen Spyware-Samples: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
  • Domain des Discover-Tech-Werbeservers: mtrtb[.]com
  • vollständige Liste einschließlich der Command-and-Control-Server im Bericht von Confiant

Sicherheitsforscher warnen seit Jahren, dass das System des automatisierten Werbeeinkaufs so missbraucht werden könnte. Im Dezember verknüpften geleakte Dokumente den Spyware-Hersteller Intellexa mit einem ähnlichen werbebasierten Werkzeug namens Aladdin, ohne dass eine reale Infektion darüber nachgewiesen worden wäre.