不点链接、不下载附件、不打开任何可疑文件——电脑照样被装了间谍软件。多伦多大学 Citizen Lab 的一项新调查，把这条过去只存在于安全圈假设里的路径，摆到了台面上。

打开网易新闻 查看精彩图片

这项技术被 Citizen Lab 命名为 AdFection。据其调查，一个与以色列广告机构相关的恶意网络行动，涉嫌滥用在线广告，目标指向一家总部位于卡塔尔的国际媒体公司。具体受害者是半岛电视台（Al Jazeera）的新闻网络，被感染的机器上出现了商业间谍软件 Candiru。

Citizen Lab 表示，他们的研究首次公开确认：零点击间谍软件攻击不仅可能，而且已经在恶意行动中被实际利用。

广告是怎么变成投毒管道的

按调查描述，涉事方是一家名为 Discover-Tech 的以色列广告公司，它提供一套叫 Controlium 的平台。广告合作伙伴据称可以滥用这套平台，对目标进行去匿名化并识别身份。

Controlium 同时充当一扇"门"：第三方有可能借此感染目标电脑。整个过程不需要用户做任何操作——平台据称可以直接下载并执行恶意工具，Candiru 就是其中之一。

规模并不小。研究人员称，Discover-Tech 的广告投放覆盖了多个国家约 20 万个独立网站和移动应用。这些广告的设计目的，是把数百万用户引向与 Candiru 关联的服务器。先做大规模追踪和侦察，再从中锁定并感染选定的目标。

值得注意的是，Discover-Tech 位列谷歌的"认证"广告供应商名单，同时被描述为一家在欧洲国家运营、符合 GDPR 的公司。

Citizen Lab 还识别出第二个威胁行为体，代号 Dark Cartographer，与这家以色列广告平台存在合作。该组织主要关注的是利用影响移动运营商的安全漏洞，对互联网用户进行大规模去匿名化。

两方立场：是行业失职，还是生态原罪

Citizen Lab 研究员 Wolfie Christl 的说法相当直接：主要广告供应商和大型企业，对发现或阻止恶意以色列行为体的滥用行为，表现得并不感兴趣。

他给出的判断是，整个在线广告生态系统现在都应被视为对政府、私营组织和普通用户的安全威胁。

这份加拿大报告的立场，是把它当作一个长期被研究者视为潜在网络安全威胁的恶意技术来记录。新近被文档化的 AdFection 方法，可以以相当高的精度识别并入侵特定目标。报告呼吁世界各地的主管机构调查这一行动，并考虑对责任方采取适当的法律行动。

从防御视角看，这件事的麻烦之处在于它拆掉了一个默认前提：只要不乱点，就不会中招。当广告位本身成为投递通道，浏览器里那块横幅就不再只是横幅。对安全团队来说，能做的仍然有限——拦截脚本、限制第三方资源加载、收紧浏览器权限，这些老办法现在多了一层新理由。