以色列广告技术公司利用在线广告零点击投递间谍软件

据 Citizen Lab 与 Confiant 安全研究人员的联合调查，一家以色列广告技术公司与间谍软件厂商合作，通过在线广告向用户设备植入恶意程序，攻击目标包括半岛电视台（Al Jazeera）相关人员的设备。这是研究人员首次发现零点击攻击（zero-click attack）的技术证据——用户无需点击任何链接或下载文件，只需正常浏览网页上的广告内容，设备便可能被入侵。

广告投毒：从营销工具到入侵通道

传统认知中，在线广告是品牌推广和流量变现的工具。但这起调查揭示了一种截然不同的滥用路径：广告网络的分发能力被武器化，成为精准投递间谍软件的载体。

攻击链条的核心在于广告投放的自动化与广泛覆盖。广告技术平台通常与大量网站、广告交易平台和数据分析服务相连，能够在极短时间内将内容推送到全球范围的目标受众。当这一基础设施被恶意利用时，攻击者无需直接接触目标设备，只需在广告链路中嵌入攻击代码，便可借助用户正常的网页浏览行为完成入侵。

据调查披露，涉事广告技术公司与间谍软件公司之间存在合作关系，将后者提供的攻击载荷包装为广告素材，通过 ad exchange 投放至目标用户可能访问的网站。以半岛电视台为例，其受众群体在浏览含有特定广告的页面时，设备即可能被感染。

零点击攻击为何更具威胁

零点击攻击意味着攻击过程完全不需要受害者的任何交互动作。钓鱼邮件需要用户点击链接，恶意下载需要用户主动执行文件，而零点击攻击仅依赖设备在处理特定内容时的软件漏洞，触发过程对用户完全透明。

这种攻击方式对高价值目标尤其危险。记者、人权活动人士、政治异见者等群体通常具备一定的安全意识，会避免点击可疑链接或下载不明附件。零点击攻击恰恰绕过了这些防御习惯，让最谨慎的用户也暴露在风险之下。半岛电视台作为调查报道领域的重要媒体机构，其采编人员长期面临各类网络威胁，此次被点名为攻击目标，进一步印证了广告投递渠道的隐蔽性和穿透力。

研究人员指出，这是首次在技术层面获得零点击攻击通过在线广告实施的证据。此前业界虽有相关猜测和理论推演，但缺乏可验证的样本和溯源分析。Citizen Lab 与 Confiant 的联合调查填补了这一空白。

零点击攻击的实现通常依赖于操作系统或应用软件中尚未修补的漏洞，尤其是浏览器渲染引擎、图像处理库或消息解析组件中的内存破坏缺陷。攻击者通过精心构造的广告素材（如特制的图片、字体或脚本）触发这些漏洞，在设备上实现远程代码执行。由于整个过程无需用户交互，传统基于用户行为的安全提示和警告机制完全失效。此外，零点击漏洞的利用链往往涉及多个漏洞的组合，提高了攻击的复杂度和成本，因此通常被用于针对高价值目标的定向攻击。近年来，已曝光的零点击攻击案例包括利用 iMessage、WhatsApp 等即时通讯软件的漏洞，但通过在线广告实现零点击攻击尚属首次得到技术证实。

广告生态的系统性安全困境

这起事件暴露出广告技术供应链的深层安全问题。一个广告从广告主到最终展示在用户屏幕上，通常需要经过需求方平台（DSP）、供给方平台（SSP）、广告交易市场、数据管理平台等多个环节。每个环节都涉及第三方代码的嵌入和执行，而这些代码往往缺乏严格的审计机制。

广告网络的开放性使得恶意行为者可以相对容易地购买广告位并投放内容。即便平台方设有审核流程，面对海量的广告素材和不断变化的攻击手法，人工与自动化审核都难以做到万无一失。当间谍软件被精心伪装成正常广告素材时，发现和拦截的难度进一步加大。

受影响的不仅是直接目标。广告投放基于用户画像和行为定向，理论上任何符合特定条件的用户都可能被纳入攻击范围。这意味着广告投递型攻击具有天然的规模化潜力，一旦被滥用，影响面可能远超单个目标组织的预期。

广告交易市场（ad exchange）是程序化广告的核心枢纽，它连接着需求方平台（DSP）和供给方平台（SSP），通过实时竞价（RTB）机制在毫秒级内完成广告位买卖。在 RTB 流程中，广告素材通常以 HTML、JavaScript 或图片等形式嵌入，这些内容往往由第三方服务器动态提供，且可能经过多个中间商转手。这种高度自动化和碎片化的链条使得安全审计极为困难：任何一个环节的疏漏都可能被攻击者利用来注入恶意代码。此外，广告网络通常允许广告主自行上传素材，自动化审核系统主要针对明显违规内容（如色情、暴力），而难以识别经过混淆的间谍软件载荷。攻击者还可以利用广告定向功能，将恶意广告精准投放给特定地理区域、设备类型或用户画像的目标群体，进一步降低被发现的概率。

安全防御的下一步

对普通用户而言，应对这类攻击的手段相对有限。保持操作系统和浏览器更新至最新版本，可以在一定程度上减少已知漏洞被利用的窗口期。使用具备广告拦截能力的浏览器扩展或安全工具，能够降低接触恶意广告的概率，但无法完全消除风险。

对企业级用户和新闻机构而言，这起事件提示需要重新审视网络浏览环节的安全策略。网络隔离、流量检测和终端防护需要将广告链路纳入威胁模型，而不仅仅是关注传统的钓鱼和恶意下载渠道。对于高敏感岗位，采用隔离浏览环境或禁用第三方广告脚本可能是必要的缓解措施。

从行业层面看，广告技术公司与安全厂商之间的信息共享机制仍有待完善。当研究人员发现恶意广告投递证据时，如何快速定位涉事广告网络、通知潜在受害者并阻断攻击链路，目前缺乏标准化的响应流程。Citizen Lab 与 Confiant 的此次联合调查提供了一种协作模式，但距离形成行业规范还有相当距离。

核心要点

• Citizen Lab 与 Confiant 联合调查发现，一家以色列广告技术公司与间谍软件厂商合作，通过在线广告向目标设备投递恶意程序。
• 这是研究人员首次找到零点击攻击通过在线广告实施的技术证据，用户无需任何交互即可被感染。
• 攻击目标包括半岛电视台相关人员，表明记者和媒体机构是高价值目标群体。
• 广告技术供应链的多环节第三方代码嵌入为恶意投递提供了隐蔽通道，现有审核机制难以有效拦截。
• 防御需将广告链路纳入安全威胁模型，行业层面需要建立更完善的恶意广告响应与信息共享机制。