以色列公司利用数字广告植入零点击间谍软件

数字广告已成为网络攻击的新载体。据安全研究披露，一家以色列公司通过在线广告网络分发零点击间谍软件，攻击链无需用户任何交互即可完成感染。

原始报道：Israeli firm's digital ads enabling installation of 'zero-click' spyware（来源：rss，HN讨论）

攻击机制：广告如何成为间谍软件跳板

所谓“零点击”（zero-click），指攻击全程不需要目标点击链接、下载附件或授权任何权限。传统恶意广告（malvertising）通常依赖用户点击跳转或触发漏洞，而此次曝光的链路把投放平台本身当成感染入口。

攻击者将恶意载荷嵌入广告素材或广告投放链路中，当广告在合作网站、应用内被加载时，浏览器或渲染引擎中的漏洞被触发，间谍软件静默落地。整个过程对用户不可见，用户只是正常浏览页面。

据HN上的讨论，这类攻击的隐蔽性在于：广告网络本身是合法商业基础设施，安全产品对广告域名往往放行，检测难度显著高于传统钓鱼邮件。

零点击攻击的技术基础

零点击攻击并非依赖单一漏洞，而是通常组合利用多个环节：渲染引擎的解析漏洞（如浏览器处理图像、字体、媒体编解码器时的内存破坏）、系统级的提权漏洞，以及用于持久化的静默安装机制。以历史上公开的案例为参照，Pegasus、Predator 等商业间谍软件都曾使用"无需交互"的漏洞链，通过 iMessage、WhatsApp 等即时通信通道投递，受害者仅收到一条消息即可能被感染。攻击链成本极高，一套完整的零点击漏洞利用（exploit chain）在灰色市场上的报价可达数百万美元，这也解释了为何此类工具主要针对高价值目标而非普通用户。

恶意广告的演化路径

恶意广告（malvertising）早期形态主要靠"诱导点击"，例如伪装成播放按钮或系统更新提示。随后演化出"drive-by download"，即用户访问被挂马的页面即自动触发漏洞利用，但仍需用户访问特定页面。本次曝光的形式更进一步：广告网络本身就是投递管道，攻击者通过购买广告位即可让恶意载荷出现在大量合法网站的页面上，无需控制目标网站，投递面从"单个被黑站点"扩展到"整个广告联盟"。

为什么“零点击”比传统间谍软件更危险

零点击攻击绕过了安全培训中最核心的一条建议——不要点击可疑链接。当用户无需做任何操作时，人的警惕性不再是防线，防护完全依赖终端与浏览器层面的漏洞修复。

这类间谍软件通常目标明确，针对记者、活动人士、政企高管等特定人群。攻击者追求长期驻留与数据窃取，而非勒索变现，因此感染后可能数月不被发现。

从防御角度看，零点击意味着攻击面从“用户行为”转移到“软件供应链与广告生态”，这对企业安全团队提出了全新的检测要求。

广告生态的信任缺口

数字广告依赖复杂的实时竞价与第三方脚本链，一次页面加载可能引入数十个域名的代码。任何一个环节被滥用，都可能成为投毒点。

据该报道，涉事方为一家以色列公司，其数字广告能力被用于促成间谍软件安装。这再次引发对商业监控工具供应链的追问：广告技术公司、监控软件厂商与政府客户之间的边界在哪里？

HN评论区的关注点集中在两点：一是主流广告平台是否具备足够的滥用检测能力；二是当监控工具以商业广告为掩护时，现有法律框架能否追责。

实时竞价与第三方脚本链的风险结构

程序化广告的核心是实时竞价（RTB）：用户打开页面后，发布方在几十毫秒内向多个广告交易平台发出竞价请求，胜出者的创意素材被渲染到页面上。一次竞价链条通常涉及 SSP（供给方平台）、DSP（需求方平台）、广告交易市场、验证公司与数据管理平台，每一层都可能引入第三方脚本。问题在于，这些脚本以页面发布方的"第一方"身份执行，拥有与主站相同的权限，浏览器与安全产品很难仅凭域名判断其是否可信。攻击者只需在链条的任一环节替换或注入恶意素材，即可实现对海量站点的"一对多"投毒。这也是为何广告技术栈被视为类似软件供应链的新型攻击面。

普通用户与企业能做什么

完全阻断零点击攻击并不现实，但可以显著降低暴露面。

• 保持浏览器与操作系统及时更新，关闭不必要的自动媒体加载
• 在企业环境中部署对广告与第三方脚本的可见性监控
• 对高价值目标使用隔离浏览环境，减少真实身份与浏览行为关联
• 安全团队应将广告投放链路纳入威胁情报范围，而非仅关注邮件与终端

这起事件的核心提醒是：间谍软件的分发方式正在向合法商业基础设施迁移，防守方需要跟上攻击面的变化。

常见问题

什么是零点击间谍软件？ 零点击间谍软件指无需用户点击、下载或授权即可完成安装的监控软件，通常利用浏览器或系统漏洞实现静默感染。

数字广告如何被用来传播间谍软件？ 攻击者将恶意代码嵌入广告素材或投放链路，广告在合法网站加载时触发漏洞，实现自动感染，即恶意广告（malvertising）的升级形态。

普通用户如何防范？ 及时更新浏览器与系统、限制第三方脚本、对敏感人群使用隔离设备，是当前最实际的缓解手段。