【移动安全警报】零点击间谍软件借道定向广告感染手机 Citizen Lab首次曝光AdFection攻击链完整细节

2026年10月15日，多伦多大学公民实验室（Citizen Lab）研究人员首次公开披露代号"AdFection"的攻击活动，证实零点击间谍软件正通过定向广告感染手机，受害者无需任何点击即可被植入恶意程序。据WIRED报道，以色列广告公司Discover-Tech的投放链路与间谍软件开发商Candiru的基础设施直接关联，2024至2025年间至少45台半岛电视台设备遭入侵。

狗仔爆料

零点击攻击：移动安全的"噩梦场景"

Citizen Lab的研究人员将这次攻击命名为"AdFection"。该实验室高级研究员Bill Marczak表示："AdFection允许操作者在使用应用或浏览网页时，通过定向广告自动用雇佣间谍软件入侵特定个人。被攻击者不会发现任何异常——事实上，他们可能根本看不到任何广告。"

狗仔偷拍

零点击攻击是黑客的"圣杯"，对受害者却意味着灾难。传统钓鱼攻击依赖受害者点击恶意链接，零点击攻击则完全不需要任何交互，手机只要收到攻击代码即被攻破。过去5年中，仅公开报道的零点击攻击案例已超过20起，绝大多数针对政府官员、记者和人权律师。Citizen Lab研究员Wolfie Christl直言："只要浏览展示广告的网站或使用应用，设备就可能被植入间谍软件，这是噩梦般的场景。"

网友爆料

CIA和NSA等情报机构对此早有戒备——据VICE报道，这些机构的工作人员长期强制使用广告拦截器，因为在线广告生态已危险到连情报人员都不敢轻易接触。

热搜话题

定向广告如何沦为间谍软件通道

现代数字广告的运作方式为攻击提供了完美掩护。广告主通过Google等平台的实时竞价系统，可以向极其精确的用户画像推送内容。Citizen Lab报告指出，这种个性化推送能力与雇佣间谍软件产业完美契合——攻击者只需定制恶意广告即可精准锁定目标。

热搜榜单

"现代在线广告生态的核心能力——向特定用户推送个性化内容——与商业间谍软件产业完美契合。"Marczak在报告中写道，"除非这种架构发生改变，或者广告公司认真对待客户审查，否则我们将持续看到这类滥用行为。"

攻击链大致分为两个阶段：广告服务器首先向目标设备投递恶意广告，随后设备被重定向到Candiru托管的基础设施，最终在设备上安装间谍软件。

攻击时间线：从广告投放到设备沦陷

根据Citizen Lab披露的报告，AdFection攻击的主要过程按以下时间线展开：

阶段	攻击环节	涉及实体	技术细节

---	---	---	---

第一阶段	恶意广告投放	Discover-Tech	在广告交易平台购买定向广告位，向目标设备展示恶意素材

第二阶段	域名重定向	Discover-Tech域名	设备与以色列注册的广告公司域名建立连接

第三阶段	间谍软件植入	Candiru基础设施	设备被引导至与Candiru关联的C2服务器

第四阶段	远程控制	未知攻击者	攻击者获取摄像头、麦克风、短信及定位数据

2024年至2025年间，Citizen Lab确认半岛电视台所属的45台设备遭到这类广告投递的零点击攻击。半岛电视台参与了调查并向研究人员提供了完整设备日志，但未回应置评请求。

半岛电视台记者成为攻击目标

针对半岛电视台的渗透行动贯穿整整24个月。这家总部位于卡塔尔的新闻机构，其多名记者和编辑的设备遭到入侵。攻击者通过广告链路植入的间谍软件最终获得了设备的完全控制权，可能窃取了记者采访信源、未发布报道以及实时定位等信息。

这是已知首次有公开技术证据的、广告投递雇佣间谍软件大规模攻击媒体机构的案例。美国商务部2021年11月将Candiru等4家公司列入实体清单，理由是向威权政府出售侵犯人权的监控工具。然而制裁并未阻止其背后运营者继续活动——据以色列财经媒体Calcalist报道，Integrity Partners据信掌控着Candiru的残余资产。

"有些记者以为只要不看可疑邮件、不点击陌生链接就不会被黑，但这次攻击刷新了认知。"一名不愿具名的安全分析人士指出。Google在与Citizen Lab及网络安全公司Confiant联合调查后，最终封禁了Discover-Tech的广告账号。Google发言人称："我们已封禁Discover-Tech的广告平台账号，因为其系统性地违反了我们的政策。"据WIRED报道，这是Google首次因间谍软件关联而封禁广告客户。

雇佣间谍软件产业链的灰色地带

Candiru是以色列间谍软件开发商，2021年11月被美国商务部列入实体清单，16个国家的政府据信是其客户。尽管受到制裁，其技术资产仍通过Integrity Partners等空壳公司继续运营，AdFection攻击所用的C2基础设施就指向了这家已遭制裁的公司。

美国网络空间日光浴室委员会2020年发布的报告曾警告，零点击漏洞的利用成本已从2015年的数十万美元降至2020年的约10万美元级别，使得雇佣间谍软件产业迅速膨胀。Citizen Lab的本次发现证实了这一趋势——广告网络成为新的攻击通道后，间谍软件的部署门槛进一步降低：攻击者不再需要知道目标的手机号或社交账号，只需锁定其上网行为。

WIRED向Discover-Tech及其CEO发出置评邮件，截至发稿未获回应。安全专家认为，广告行业对客户的审查机制形同虚设，是此次事件得以发生的重要背景。

用户如何防范零点击广告攻击

对于普通用户来说，零点击攻击几乎无法通过"小心点击"来防范——因为攻击根本不需要点击。Citizen Lab给出最有效的建议是：在所有网站和应用上尽可能彻底地拦截广告。

启用广告拦截器不仅改善浏览体验，更是零点击攻击时代的基本安全措施。CIA和NSA工作人员长期强制使用广告拦截器，因为在线广告的危险性远超想象。具体措施还包括：iOS锁模式（Lockdown Mode）和Android的安装未知应用限制；每周更新操作系统以修补已知漏洞；在浏览器中启用安全DNS减少恶意广告推送。这些措施并不能100%防御零点击攻击，但能增加攻击者的成本，降低你被选作目标的可能性。

网络安全公司Confiant参与调查后确认，Discover-Tech是首个被公开证实的、将雇佣间谍软件与广告投放结合的案例。对于数字广告生态而言，这既是警钟，也是修复信任的契机。

Q1:零点击间谍软件与普通恶意软件有何不同？

A1:零点击间谍软件无需受害者任何交互操作，如点击链接或下载文件。攻击者将恶意代码植入广告或消息，设备接收后自动执行，全程无感知。普通间谍软件则通常依赖钓鱼链接或附件，需要用户主动配合。

Q2:普通用户需要担心零点击攻击吗？

A2:现阶段这类攻击主要针对记者、人权活动家等高风险群体，单次攻击成本可能高达数百万美元，普通用户被选中的概率较低。但开启广告拦截器、保持系统更新、避免打开可疑链接，仍能显著降低个人风险。

零点击间谍软件借道广告传播，将移动安全威胁推升至全新高度。Citizen Lab的报告让此类攻击首次有了确凿技术证据，为防御争取了窗口期。面对广告生态的灰色地带，快速修缮与持续警惕缺一不可。