AdFection: Citizen Lab belegt Spyware-Infektion ohne jeden Klick

Das Forschungsinstitut Citizen Lab an der Universität Toronto hat am 15. Oktober 2026 gemeinsam mit dem IT-Sicherheitsunternehmen Confiant eine Analyse der Angriffskampagne namens AdFection veröffentlicht.

Dem Bericht zufolge liefert die Untersuchung den ersten öffentlich zugänglichen technischen Nachweis dafür, dass Spionagesoftware auf Endgeräten ohne jegliche Nutzerinteraktion installiert werden kann.

Für die sogenannte Zero-Click-Infektion war demnach weder das Anklicken eines Banners noch das Herunterladen einer Datei erforderlich; bereits das bloße Ausliefern von Online-Werbeanzeigen reichte aus.

Gezielte Auslieferung über Werbenetzwerke

Im 195. Bericht des Citizen Lab wird detailliert beschrieben, wie die Werbeauslieferung über die Plattform Controlium des israelischen Anbieters Discover-Tech abgewickelt wurde. Die Server des Unternehmens entschieden anhand von Identifikatoren und der Quell-IP-Adresse, ob bösartiger Angreifer-Code zurückgesendet wurde.

Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle, die solche Sicherheitslücken gezielt für ihre Angriffe ausnutzen. Dieser kostenlose Report zeigt Ihnen, wie Sie Ihr Gerät durch die richtigen Einstellungen und Aktualisierungen wirksam schützen. 5 einfache Schritte für ein sicheres Android-Smartphone

In den meisten Fällen erfolgte stattdessen eine leere Antwort. Die Zielauswahl funktionierte über Werbe-IDs, Browser-IDs oder IP-Adressen, sodass der Infektionscode ausschließlich auf vorab ausgewählten Geräten landete. Die jeweilige Anzeige musste auf dem Bildschirm nicht einmal sichtbar ausgespielt werden.

Citizen Lab ordnet die eingesetzte Spionagesoftware mit hoher Konfidenz dem Überwachungssoftware-Hersteller Candiru zu, der inzwischen unter dem Namen Integrity Labs firmiert. Ein exponiertes Statistiksystem wies 3.637.213 Nutzer als berechtigt für einen Prozess namens Discover-Tech Infinite FIFO aus.

Die Forscher betonen jedoch, dass dies kein Opferzähler sei und die Zahl der letztlich erfolgreichen Infektionen unbekannt bleibe. Genaue Angaben zu ausgenutzten Schwachstellen in Browsern oder Betriebssystemen, CVE-Kennungen, Versionen oder Patches enthält die Analyse nicht.

Angriffe auf Al Jazeera und globale Reichweite

Zwischen 2024 und 2025 gerieten laut Citizen Lab mindestens 45 Geräte von Mitarbeitern des Senders Al Jazeera ins Visier der Zero-Click-Angriffe. Diese verbanden sich zunächst mit einer Domain von Discover-Tech und anschließend mit der Infrastruktur von Candiru.

Wer sich vor komplexen digitalen Bedrohungen und Datenmissbrauch schützen möchte, findet in diesem praktischen Leitfaden die wichtigsten Grundlagen für den Alltag. Erfahren Sie in fünf einfachen Schritten, wie Sie Ihr Smartphone gegen unbefugte Zugriffe absichern. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Das Medienunternehmen kooperierte bei den Untersuchungen und stellte Netzwerkprotokolle bereit. Einige Geräte wurden nachweislich mit Candiru-Spyware infiziert; ein untersuchtes Schadsoftware-Muster lag als Windows-DLL vor. Schätzungsweise Millionen Geräte wurden im Zuge der Kampagne zu Validierungsservern von Candiru geleitet und dort profiliert.

Die präparierten Werbeanzeigen tauchten in 75.373 Apps für Android sowie iOS und auf 120.768 Websites auf. Zu den betroffenen Plattformen gehörten unter anderem Yahoo Mail, Opera Mini, Duolingo, Ludo Star, BBC, New York Times und IMDb.

Werbeeinblendungen erreichten dabei Netzwerke der NATO, der UN, der EU-Kommission bzw. des europäischen Legislativorgans, der IAEA, des Internationalen Strafgerichtshofs (ICC), der Streitkräfte Norwegens und Schwedens sowie Regierungsnetze in den USA und Europa.

In Australien wurden Netze von Regierungsstellen, Betreibern kritischer Infrastrukturen und Forschungseinrichtungen wie dem Australian Synchrotron sowie der Organisation ANSTO erreicht.

ANSTO teilte mit, es seien keine Auswirkungen auf die eigenen Systeme festgestellt worden; belegt ist in diesen Fällen lediglich die Auslieferung der Anzeigen, nicht jedoch eine erfolgreiche Kompromittierung. Dies gilt auch für Frankreich, wo eine Institution zu den Empfängernetzwerken zählte, aber keine Infektionen bestätigt sind.

Konsequenzen für die Werbebranche und Handlungsempfehlungen

Bereits Anfang Oktober 2026 reagierten mehrere Akteure der Online-Werbewirtschaft auf Regelverstöße. Google entfernte Discover-Tech aus seinen Werbebörsen und Anbieterlisten, beendete den Zugang und hinterlegte Warnungen. Der Branchenverband IAB Europe suspendierte das Unternehmen von der Global-Vendor-List.

Beeswax, eine Tochter von Comcast, trennte sich nach einer internen Prüfung ebenfalls von Discover-Tech, während Vungle den Dienst pausierte und Eskimi entsprechende Konten sowie Domains blockierte. Sowohl Discover-Tech als auch Candiru ließen Anfragen der Forscher bis zur Veröffentlichung unbeantwortet.

Citizen Lab rät Nutzern zum Einsatz von Werbeblockern, datenschutzorientierten Browsern und regelmäßigen Sicherheitsupdates. Zudem wird das Zurücksetzen oder vollständige Löschen der Werbe-Identifikationsnummer empfohlen.

Auf Android-Geräten ist dies in den Einstellungen unter dem Pfad für Datenschutz und Werbung möglich, auf dem iPhone unter Datenschutz & Sicherheit im Bereich Tracking. Zugleich fordern die Forscher grundlegende Reformen im Ökosystem der digitalen Onlinewerbung.