定向广告被植入零点击漏洞利用，向目标人物投送雇佣兵恶意软件

Targeted ads delivered 0-click exploits to install mercenary malware — arstechnica.com · 2 小时前 · 🔒 安全

雇佣兵黑客组织开始利用广告投放体系作为攻击载体：多伦多大学公民实验室周四发布报告，记录了一个被命名为 AdFection 的攻击活动，攻击者将零点击漏洞利用代码嵌入定向广告，目标人物只需加载网页或打开已安装的应用，无需任何点击或交互，设备上就会被悄悄装上高级间谍软件。该攻击同时覆盖 iOS 与 Android 两大平台，其隐蔽性极强，普通用户几乎不可能察觉，只有借助专门的取证硬件或软件才能发现感染痕迹。公民实验室确认，这批攻击在 2024 年至 2025 年间感染了国际媒体机构半岛电视台的 45 台设备，并认为这是首次得到实证确认的、通过定向广告渠道投送的零点击雇佣兵间谍软件事件。研究人员强调，这类攻击的危害具有双重性：受害者不仅在新闻编辑室内，也可能包括记者、编辑及其他个体从业者；而将广告生态武器化的做法，其风险外溢到国家与整个公民社会。报告明确警告全球新闻机构，它们可能正通过这条新渠道被主动瞄准，需要在内部安全体系与员工个人设备防护上做出应对。由于攻击无需交互且不留常规痕迹，传统的安全意识培训与终端告警难以覆盖此类威胁，新闻机构面临的防御压力显著上升。

核心信息

多伦多大学公民实验室发布报告，将这一攻击活动命名为 AdFection，并确认它是首次被实证的通过定向广告投送零点击雇佣兵间谍软件的案例。攻击者把漏洞利用代码藏进广告，目标用户只要加载网页或打开设备上已有的应用就会中招，全程不需要任何点击或授权操作。
该攻击同时适用于 iOS 和 Android 设备，隐蔽性极强，用户在不运行专门取证硬件或软件的情况下基本无法发现设备已被感染。公民实验室已确认，2024 年至 2025 年间，共有 45 台属于国际媒体机构半岛电视台的设备被该活动感染。
公民实验室在报告中向全球新闻机构发出明确警告，指出此类定向可能既发生在新闻编辑室层面，也针对记者、编辑等个体员工。报告还指出，用定向广告分发间谍软件不仅威胁潜在受害者，对国家与公民社会整体也构成安全风险。
零点击攻击结合广告投放渠道，绕开了依赖用户警觉性的传统防线：安全意识培训无法阻止用户浏览正常的网页与应用，常规终端告警也难以捕捉这种无交互的感染路径，因此受影响机构需要依赖高级取证手段才能评估损失范围。

💡 为什么值得读: 首次实证了广告生态可以被武器化成无需用户交互的间谍软件分发渠道，对所有依赖在线广告的行业都是一记警钟。

✍️ 小编看法: 这件事最值得警惕的地方，不是某个漏洞有多厉害，而是攻击者对广告基础设施的滥用方式。定向广告体系本身的设计目标，就是精准地把内容送到特定人群面前，这套能力被武器化后，等于攻击者免费获得了平台级的人群筛选和分发网络，成本和门槛都被大幅拉低。更麻烦的是广告生态的免责链条：广告主、投放平台、网站方各管一段，谁也没有动力也没有能力去逐条审查广告素材里是否藏着漏洞利用代码，出事后责任难以落到具体环节。还有一个常被忽略的代价：这类间谍软件的隐蔽性意味着真实感染规模几乎必然大于被确认的规模，半岛电视台的 45 台设备只是取证之后能证实的下限，其他机构的感染情况可能永远不会被公开。对行业而言，这次事件可能推动两个方向的变化：一是广告平台被迫引入更严格的素材安全审查，类似应用商店的审核机制；二是新闻机构会把移动设备的高级别监控与取证能力纳入常规安全预算，而这笔开支对中小媒体并不轻松。下一步值得观察的是，各大广告平台是否会公开回应，以及是否有更多实验室复现这条投送路径——如果定向广告真的被证明是一种可复用的间谍软件分发渠道，那么需要重新审视的就不只是新闻机构的安全策略，而是整个广告生态的信任模型。

🏷️ zero-click exploit, spyware, malvertising, Citizen Lab