只要打开一个挂着合规广告位的网页，什么都不用点，恶意代码就已经借着毫秒级的广告竞价进入了电脑。
多伦多大学公民实验室与安全机构 Confiant 公开了一份联合调查：以色列广告中间商 Discover-Tech 旗下的广告管理系统 Controlium 与 MyDSP，被商用间谍软件厂商 Candiru 改造成了投递载荷的发射架。在 2024 至 2025 年间，半岛电视台至少 45 台 Windows 设备被作为定向攻击目标，这种渗透路径被称为 AdFection。
这是安全研究人员首次在真实网络环境中，捕获到通过合规商业广告网络完成端到端零点击入侵的直接技术证据。
发生了什么
- Discover-Tech 表面上是一家合规的数字营销代理，暗中却将实时竞价（RTB）机制武器化，为 Candiru 间谍软件提供分发通道。
- 攻击者在公开竞价市场中下注，精准买断目标终端正在请求的广告展示机会；网页完成广告渲染的同时，恶意脚本便在内存中展开。
- 涉案平台因低级运维疏漏暴露了源码与后台，服务器公开目录中直接留存了 Candiru 和 Bindecy 员工的操作凭据。
- 谷歌、Beeswax、Vungle、Eskimi 等广告网络已切断 Discover-Tech 的接口并撤销其资质，欧洲互动广告局也暂停了其认证。
为什么重要
过去对抗高危间谍软件，安全团队的核心铁律是不点陌生链接、不收可疑文件。但在 AdFection 面前，这一常识失效了。用户只需要正常浏览新闻，网页在加载广告的瞬间就会完成访客指纹嗅探与载荷下发。
谁受影响
常驻敏感区域的调查记者、外交人员、跨国机构雇员的桌面办公终端面临最高风险。普通用户虽然也会接触到该网络，但军火级漏洞弹药成本高昂，攻击方只会在设备特征完全吻合时定向触发下发。
40亿条竞价记录与45台目标：严谨划分取证边界
解析这类高规格军火披露时，必须分清事实边界。
研究团队排查了涉及近 20 万个网站与 App 的约 40 亿条竞价记录。竞价记录多，并不等于数十亿台设备全数中毒。竞价记录只说明这套广告网络具备全球触达能力，真正被研究人员抓到证据、确认实施定向投放的，是半岛电视台的 45 台设备。
安全机构 Confiant 的独立报告也指出了限制。现场观测到了 Discover-Tech 实施的设备指纹比对和加密载荷传输，但并没有在公网上捕获完整的端到端提权利用链。更明确的边界在于受害平台：虽然在移动端 iOS 内也看到了追踪探针，但最终提取出来的成熟落地样本是针对 Windows 系统的 DLL 动态链接库。
这说明当前威胁的主阵地依然是缺乏广告阻断策略的桌面电脑。
这种架构能潜伏数年，核心在于投毒策略极其克制。Candiru 相关的恶意广告只占 Discover-Tech 总体竞价流量中极微小的比例。
海量正常广告流量构成了掩护网。绝大多数无害广告用来逃避主流交易平台的反作弊风控，同时被当作广告情报收集（ADINT）的探针，持续抽吸数以亿计的真实设备指纹。只有当特定 IP、广告 ID 和系统版本完全契合预设条件时，系统才会精准下发利用脚本。
间谍软件的分工演变与人员暗网
以往谈及顶级间谍软件，公众往往聚焦于开发 Pegasus 的 NSO Group 或开发 Predator 的 Intellexa。这起事件证实，幕后实际交付载荷的是另一家早已被美国商务部列入制裁黑名单的以色列公司：Candiru。
Discover-Tech 不是单纯的违规广告公司，它本身就是商业监控资本网络里的节点。工商穿透显示，其前董事 Eric Banoun 曾联合创办过老牌监控公司 Circles 与 Senpai，前股东与管理 Intellexa 资本网络的 Sara Hamou 存在交集。面对 Citizen Lab 与路透社的置询，Discover-Tech 及其首席执行官 Dekel Boni 均保持沉默。
这场技术迁徙的动因很现实：即时通讯工具的攻击面变窄了。
苹果上线了 BlastDoor 架构与深度锁定模式，主流通讯协议的沙箱越来越厚，挖出一个打穿 iOS 消息体系的零日漏洞动辄耗费数百万美元，一旦被补丁修复就前功尽弃。攻击者调头找到了更廉价、覆盖更广的跳板：数字广告的程序化交易。
| 平台与厂商 | 曝光节点 | 核心运作方式 | 实际投递载荷 |
|---|---|---|---|
| Insanet (Sherlock) | 2023 年 9 月 | 在合规广告位植入定向采集探针 | 确立广告监控技术模型 |
| Intellexa (Aladdin) | 2025 年 12 月 | 采得指纹后静默重定向目标流量 | 配合 Predator 渗透移动端 |
| Discover-Tech (AdFection) | 2026 年 10 月 | 利用 Controlium 过滤目标并派发脚本 | 配合 Candiru 投递 Windows 恶意模块 |
这套分工模式已经彻底成熟：合规广告技术公司负责在公开交易网络里打掩护、做筛选，背后的网络军火商只管在确认目标后接管设备。
拔掉插头治不好系统性溃烂
各大平台在报告发布后迅速启动清理。谷歌吊销了 Discover-Tech 的资质，Beeswax、Vungle 和 Eskimi 清理了其账户，行业协会也将其除名。
这种下架更像按流程交差。
广告供应链层层转包，攻击者今天被切断一个席位，明天换一套法人实体，套上一家需求方平台的外壳，就能重新接入竞价系统。整个数字营销的底层逻辑，就是默许第三方脚本在无监督状态下加载并嗅探设备。只要这根管子还在肆意收集指纹，刺客就总能找到办法把毒药顺着水管倒进去。
天下熙熙，皆为利来。商业世界为了精准卖货而编织的实时竞价网络，最终演化成了击穿终端安全的一柄利刃。在近两年的时间跨度里，拥有顶尖安全防线的科技巨头没能通过日常审核识别出这种投毒行为，说明现行审核机制在面对低频、单播的精准投毒时基本处于失效状态。
对于高风险机构而言，网络防御策略需要重新定级。浏览器里的广告拦截插件不再只是为了视觉清爽，它是阻断网络恶意探测的最低防线。在系统内核与广告脚本真正物理隔离之前，任何放任浏览器裸跑加载广告的行为，都等于把家门钥匙挂在了门把手上。