Исследователи Citizen Lab из Университета Торонто впервые зафиксировали заражение устройств шпионским ПО через интернет‑рекламу без какого‑либо клика пользователя. Достаточно было просто просматривать сайт или пользоваться приложением — специально подготовленная реклама могла запустить цепочку эксплуатации уязвимостей и привести к заражению во время обычной онлайн‑деятельности. По данным экспертов, такое развитие событий было применено против сотрудников телеканала Al Jazeera.

Рекламная схема получила название AdFection: вредоносный код внедряется в рекламные блоки, а встроенный скрипт внутри объявления общается с серверами рекламной платформы и затем с серверами разработчика шпионского ПО Candiru. Если библиотека безопасности помечает посетителя как цель, ответ может содержать дополнительный код, способный заразить устройство; в противном случае сервер возвращает пустой ответ, и пользователь на экране может не увидеть ничего подозрительного.

Как показывает анализ, охват рекламной сети заметно превысил число зафиксированных жертв. С марта по июнь 2026 года объявления Discover‑Tech демонстрировались на более чем 120 тысячах сайтов и в 70 тысячах мобильных приложений; миллионы устройств обращались к серверам Candiru. При этом не все обращения приводили к заражению — многие служили для сбора данных и отбора целей; вирусная активность затрагивала и государственные сети, и международные организации.

После огласки индустрия приняла меры: Google заблокировала Discover‑Tech в своих рекламных системах и включила предупреждения Safe Browsing для связанных сайтов; Beeswax прекратила сотрудничество, а отраслевое объединение IAB Europe приостановило участие поставщика в реестре рекламных компаний. Эти шаги отражают попытку минимизировать риск повторения таких кампаний в будущем.