Špehování bez kliknutí. Spyware se k obětem dostával přes internetovou reklamu

K útoku stačilo zobrazit reklamu

Internetová reklama nemusí sloužit jen k zobrazování produktů nebo sledování chování uživatelů. Výzkumníci z Citizen Lab popsali případy, kdy byla reklamní infrastruktura využita k doručení komerčního spywaru bez nutnosti jakékoliv interakce ze strany oběti.

Techniku výzkumníci označili jako AdFection a výsledné infekce spojili se spywarem společnosti Candiru, která dnes vystupuje pod názvem Integrity Labs.

Podle výzkumu Citizen Lab hrála klíčovou roli izraelská společnost Discover-Tech a její reklamní infrastruktura.

Princip útoku využíval vlastností běžného systému internetové reklamy. Když se reklama Discover-Tech zobrazila na webové stránce nebo v aplikaci, zařízení komunikovalo s infrastrukturou společnosti a předávalo informace, podle kterých bylo možné uživatele a jeho zařízení dále profilovat.

Server mohl na základě kombinace IP adresy a reklamních identifikátorů rozhodnout, zda jde o hledaný cíl. Pokud zařízení cílem nebylo, další kód nemusel být doručen. U vybraného zařízení ale mohl řetězec pokračovat až k doručení spywaru.

Uživatel přitom nemusel na reklamu kliknout. V některých případech se reklama podle Citizen Lab mohla načíst dokonce na pozadí.

Výzkumníci označují svůj objev za první veřejné technické potvrzení použití cílené internetové reklamy k doručení komerčního spywaru metodou zero-click.

Cílem byla zařízení v Al Jazeera

Citizen Lab analyzoval útoky proti mezinárodní mediální společnosti Al Jazeera z let 2024 a 2025.

Výzkumníci sledovali síťovou komunikaci od reklamní infrastruktury Discover-Tech přes servery sloužící k ověření a profilování zařízení až po infrastrukturu spojenou se spywarem Candiru.

Cílem bylo podle jejich analýzy nejméně 45 zařízení. Toto číslo ale nepředstavuje 45 potvrzených úspěšných infekcí.

Rozsah samotné reklamní infrastruktury byl mnohem větší. Citizen Lab získal přístup k serverům obsahujícím téměř čtyři miliardy záznamů z reklamních aukcí.

Za analyzované období od března do června 2026 se reklamy Discover-Tech objevily ve více než 70 tisících mobilních aplikací a na více než 120 tisících webových stránkách. Celkem tedy téměř ve 200 tisících různých aplikací a webů.

Ani tato čísla nepředstavují počet útoků nebo kompromitovaných zařízení. Reklamní infrastruktura mohla sloužit také k rozsáhlému profilování, identifikaci a výběru potenciálních cílů.

Reklamy se objevily také v sítích českých institucí

V datech analyzovaných Citizen Lab se objevuje také Česká republika.

Výzkumníci zaznamenali zobrazení reklam Discover-Tech ze sítí používaných českými státními institucemi. V datech se podle jejich analýzy objevily například sítě Ministerstva financí, Ministerstva zahraničních věcí, Ministerstva vnitra, Ministerstva zemědělství nebo Ministerstva práce a sociálních věcí.

Záznamy se týkaly také České národní banky, Českého telekomunikačního úřadu, Státního ústavu pro kontrolu léčiv, Magistrátu hlavního města Prahy nebo Národního úřadu pro kybernetickou a informační bezpečnost.

Samotné zobrazení reklamy ale není důkazem, že byla některá z těchto institucí cílem útoku nebo že došlo ke kompromitaci zařízení spywarem.

Citizen Lab výslovně upozorňuje, že reklamní imprese sama o sobě nepotvrzuje cílení ani infekci.

Podobné záznamy výzkumníci našli v sítích státních institucí a bezpečnostně citlivých organizací v řadě dalších zemí, ale také například v sítích společností Apple, Microsoft, Nvidia nebo Intel.

Po upozornění na zjištění Citizen Lab ukončil Google společnosti Discover-Tech přístup ke svým reklamním burzám. Z registrů reklamních dodavatelů ji odstranila také IAB Europe a další společnosti přístup Discover-Tech odstranily, pozastavily nebo zablokovaly.

Proč nefunguje aplikace Můj Albert?

Dalším tématem nového CCTV NEWS je kybernetický incident skupiny Ahold Delhaize, pod kterou patří také český Albert.

Ahold Delhaize začal problémy řešit 11. října a následně oznámil bezpečnostní incident ve své síti. V rámci preventivních opatření společnost odstavila část svých systémů.

Dopady se dostaly také do České republiky.

Albert 15. října oznámil, že z preventivních důvodů vypnul aplikaci Můj Albert.

Prodejny zůstaly otevřené. Akční ceny Albert automaticky poskytuje zákazníkům na pokladnách i bez použití aplikace a podle společnosti zůstanou zachovány také již nasbírané body a kredity.

Ahold Delhaize ve svém posledním zveřejněném vyjádření uvedl, že vyšetřování pokračuje a některé systémy postupně vrací do provozu.

Společnost zároveň uvedla, že v danou chvíli neměla důkazy o odcizení dat zákazníků nebo zaměstnanců. Nejde ale o definitivní závěr vyšetřování.

Podrobnosti o příčině incidentu ani informace o jeho případném původci společnost nezveřejnila.

Kompromitovaný přístup ConnectWise otevřel cestu do Microsoft 365

Útočníci zároveň v uplynulých dnech zneužili přístupové údaje aplikace ConnectWise Cloud Backup, dříve známé jako SkyKick, k neoprávněnému přihlašování do Microsoft 365 prostředí zákazníků.

Cloud Backup potřebuje kvůli zálohování Microsoft 365 přístup například k poštovním schránkám, OneDrive, SharePointu, Teams nebo adresářovým datům.

Bezpečnostní společnost Huntress potvrdila neoprávněná přihlášení prostřednictvím identity aplikace ConnectWise.

Útočník tak nepotřeboval znát hesla jednotlivých uživatelů. Využíval identitu aplikace, které už zákaznická organizace udělila oprávnění ke svému Microsoft 365 prostředí.

Huntress nejprve potvrdil neoprávněná přihlášení do 162 tenantů. Při dalším vyšetřování zaznamenal aktivitu spojenou s útočníkem u téměř tisícovky tenantů a více než 300 úspěšných přihlášení.

To ale neznamená více než 300 plně kompromitovaných organizací. V některých prostředích nebyla přítomna další komponenta potřebná k pokračování útoku.

V jednom z analyzovaných prostředí získala aplikace ConnectWise Cloud Management roli globálního administrátora. Následně byly přidány nové přístupové údaje ke dvěma dalším aplikacím s platností až do roku 2028.

ConnectWise v reakci deaktivoval sedm aplikačních identit, zneplatnil související certifikáty a pozastavil Cloud Backup. Preventivně byly pozastaveny také další integrované služby.

Podle aktuálních informací ConnectWise zůstávají existující zálohové archivy zašifrované a izolované a firma nemá indicie, že by byly kompromitovány. To ale samo o sobě neurčuje, co se mohlo odehrát uvnitř živých Microsoft 365 prostředí jednotlivých zákazníků.

Huntress později zaznamenal ještě druhou, cílenější vlnu pokusů proti šestnácti organizacím z oblastí národní bezpečnosti, politiky, mezinárodního obchodu a kritických nerostných surovin. Většina těchto organizací produkty ConnectWise nepoužívala a pokusy proto nevedly k dalšímu přístupu.

Původce útoku zatím nebyl potvrzen.

Zranitelnosti týdne: Microsoft, Ivanti, SAP, Palo Alto a Adobe

Říjnové bezpečnostní aktualizace přinesly opravy velkého množství zranitelností.

Microsoft řešil více než 1 400 bezpečnostních chyb napříč svými produkty. Mezi nimi je také CVE-2026-96951, která byla podle Microsoftu aktivně zneužívána.

Aktivní útoky se týkají také Ivanti Connect Secure. Ivanti 13. října oznámilo omezené zneužívání nové zranitelnosti a vyzvalo zákazníky postižených verzí k okamžité aktualizaci.

SAP během říjnového Security Patch Day vydal 16 nových bezpečnostních poznámek a čtyři bezpečnostní advisories na GitHubu. Nejzávažnější je CVE-2026-89111 v SAP Cloud SDK for Python se skóre CVSS 10,0. Další dvě zranitelnosti dosahují skóre 9,9. Podrobnosti zveřejnil SAP v říjnovém bezpečnostním přehledu.

Palo Alto Networks opravilo CVE-2026-0322 v PAN-OS. Zranitelnost umožňuje útočníkovi, který už má platné přihlašovací údaje a síťový přístup k management rozhraní, spustit libovolný kód s root oprávněními. Palo Alto Networks u zranitelnosti uvádí stav ATTACKED, tedy zaznamenané aktivní zneužívání.

Bezpečnostní aktualizace vydalo také Adobe pro řadu svých produktů včetně ColdFusion, Photoshopu, Commerce a Experience Manageru.

Celý kontext jednotlivých případů, technické podrobnosti a další informace najdete v nové epizodě CCTV NEWS ve videu výše.