Η αρχιτεκτονική της επίθεσης AdFection
Η επίθεση AdFection εκμεταλλεύεται τη φύση των δημοπρασιών σε πραγματικό χρόνο (Real-Time Bidding - RTB). Όταν ένας χρήστης επισκέπτεται μια ιστοσελίδα ή εφαρμογή, το ad exchange εκτελεί μια δημοπρασία σε κλάσματα του δευτερολέπτου. Η Discover-Tech, μέσω της πλατφόρμας MyDSP, κερδίζει τη δημοπρασία και εισάγει ένα κακόβουλο script tag. Αυτό το tag επικοινωνεί με τον "NOAS server" της εταιρείας, ο οποίος αποφασίζει αν ο συγκεκριμένος χρήστης αποτελεί στόχο βάσει του IP και των αναγνωριστικών συσκευής (advertising IDs).
Μηχανισμός μόλυνσης και zero-click vector
Σε αντίθεση με τις παραδοσιακές επιθέσεις που απαιτούν κλικ, το AdFection εκτελείται αυτόματα κατά την απόδοση (rendering) της διαφήμισης. Αν ο χρήστης επιλεγεί ως στόχος, ο server επιστρέφει JavaScript που φορτώνει περαιτέρω exploits. Η ανάλυση του Citizen Lab επιβεβαίωσε τη στόχευση συσκευών στο δίκτυο του Al Jazeera, όπου η αλληλουχία των κλήσεων δικτύου (ad impression -> validator server -> C&C server) αποκάλυψε τη χρήση spyware της Candiru.
Η αποτυχία του οικοσυστήματος adtech
Το γεγονός ότι η Discover-Tech ήταν πιστοποιημένος προμηθευτής σε πλατφόρμες όπως η Google και η IAB Europe αναδεικνύει τη συστημική αποτυχία των ελέγχων στο ψηφιακό μάρκετινγκ. Η ικανότητα των επιτιθέμενων να χρησιμοποιούν νόμιμα κανάλια για τη διανομή κακόβουλου κώδικα καθιστά την ανίχνευση εξαιρετικά δύσκολη, καθώς ο κώδικας εκτελείται εντός του sandbox του browser ή του app, συχνά χωρίς να προκαλεί άμεση υποψία στα συστήματα προστασίας.