Angriff auf Al Jazeera: Der Trojaner kam per Online-Werbung

Von außen völlig harmlos wirkende Werbeanzeigen sollen das Einfallstor für einen Hacking-Angriff auf Al Jazeera gewesen sein. Mindestens 45 Geräte seien auf diese Weise mit dem Staatstrojaner Candiru infiziert worden, offenbar Windows-Rechner. Das berichten IT-Forschende des Citizen Lab von der Universität Toronto in einer neuen Untersuchung.

Der katarische Nachrichtensender wäre damit das erste öffentlich dokumentierte Ziel einer neuartigen Angriffsmethode. Die Forschenden des Citizen Lab bezeichnen sie als „AdFection“, ein Kofferwort aus „Ad“ (Werbung) und Infektion. Angreifer*innen nutzen dabei die Infrastruktur für Online-Werbung, um Schadsoftware auf ein Gerät zu spielen, und zwar ohne dass Opfer einen Klick machen müssten.

Al Jazeera hat sich zur Veröffentlichung der Untersuchung zunächst nicht geäußert. Wir werden den Artikel gegebenenfalls ergänzen. Der Sender wurde bereits im Jahr 2020 Ziel von Angriffen per Staatstrojaner.

Getarnt als normale Werbe-Tech-Firma

Anders als es auf den ersten Blick scheint, sind Online-Werbeanzeigen oft nicht einfach nur Bilder und Videos mit Links. Häufig werden sie mit unsichtbarem Code ausgeliefert, der im Hintergrund ausgeführt wird. So entsteht ein Einfallstor für die Infektion. Weil Online-Werbung personalisiert ist, können Angreifer*innen die Geräte potenzieller Opfer gezielt ins Visier nehmen.

Die Forschenden des Citizen Lab konnten mehrere Schritte dieser Angriffsmethode technisch nachvollziehen. Im Mittelpunkt steht das israelische Unternehmen Discover-Tech Ltd., das auf den ersten Blick wie ein ganz gewöhnlicher Akteur der Online-Werbebranche erscheint. Es nimmt demnach unter anderem an Auktionen für Online-Werbeplätze teil und kann auf diesem Weg Werbeanzeigen ausspielen.

Wie aus dem Bericht hervorgeht, soll das Werbegeschäft für das Unternehmen jedoch nur Mittel zum Zweck sein. Es soll demnach auch eine Plattform betreiben, mit deren Hilfe Angreifer*innen gezielt Spionage-Software per Online-Werbung ausspielen können. Wie die Forschenden berichten, sollen Angreifer*innen auf diese Weise einen Staatstrojaner von Candiru verbreitet haben.

Discover-Tech soll die umfassenden Datensammlungen des Systems für personalisierte Werbung genutzt haben, um Profile von Zielpersonen zu erstellen und ihre Geräte zu identifizieren. Über eigene Werbeplattformen und die Infrastruktur der Online-Werbebranche sollen die infizierten Werbeanzeigen dann auf die Geräte der Opfer gelangt sein.

Weder Discover-Tech Ltd. noch das Unternehmen hinter Candiru, Integrity Partners, hat unsere Presseanfragen beantwortet.

Werbebasierte Überwachung als Gefahr für Medienschaffende

Erst vor wenigen Wochen hatte das Committee to Protect Journalists vor den Gefahren gewarnt, die von werbebasierter Massenüberwachung für Medienschaffende ausgehen. Die Warnung stützt sich auch auf Recherchen von netzpolitik.org und dem Bayerischen Rundfunk, die gezeigt hatten, wie leicht sich genaue Standortdaten, die angeblich nur für Werbezwecke erhoben wurden, bei Datenhändlern erwerben lassen. In kostenlosen Probedatensätzen hatten wir unter anderem das Bewegungsprofil einer verfolgten Exil-Journalistin aus Ägypten gefunden.

Der Bericht des Citizen Lab dokumentiert nun, wie sich die Infrastruktur nicht nur für staatliche Massenüberwachung, sondern auch für gezielte Angriffe auf die Geräte von Einzelpersonen ausnutzen lässt.

Ein weiteres mutmaßliches Angriffsziel der Spionagesoftware soll das Außenministerium Saudi-Arabiens gewesen sein, wie aus dem Bericht hervorgeht. Darauf deuten technische Spuren hin, die netzpolitik.org und der Bayerische Rundfunk nachvollziehen konnten. Die Botschaft Saudi-Arabiens ließ eine Anfrage hierzu unbeantwortet.

„Fürchterliches Gefühl“

Staatstrojaner nutzen Schwachstellen, um möglichst heimlich die Kontrolle über ein Gerät zu gewinnen und die Opfer zu überwachen. Es ist bezeichnend, dass mit Al Jazeera ausgerechnet Medienschaffende zum Ziel der neuen Angriffsmethode „AdFection“ geworden sind. Denn immer wieder setzen Regierungen Staatstrojaner gegehen beispielsweise Journalist*innen, Aktivist*innen oder Oppositionelle ein.

Auch deutsche Behörden setzen Staatstrojaner ein, wollen jedoch nicht offenlegen, um welche es sich handelt. Einem Bericht der israelischen Zeitung Haaretz von 2021 zufolge gehört auch Deutschland zu den Kunden von Candiru.

Den Anbieter hat die US-Regierung  im Jahr 2021 auf eine Liste für Exportbeschränkungen gesetzt. Begründung: Das Unternehmen habe Spionage-Software an ausländische Regierungen geliefert, um „mit böswilliger Absicht“ unter anderem Regierungsbeamt*innen, Journalist*innen, Geschäftsleute, Aktivist*innen und Forschende ins Visier zu nehmen.

Zuletzt wurde etwa im Jahr 2024 der deutsche EU-Abgeordnete Daniel Freund (Grüne) Ziel eines Angriffs mit Candirus Trojaner, hinter dem er den ungarischen Geheimdienst vermutet. Der Hack ist den Angreifenden jedoch nicht gelungen. Im Gespräch mit netzpolitik.org und Bayerischem Rundfunk spricht Freund von einem „fürchterlichen Gefühl“ beim Gedanken, dass Angreifende auf seine privatesten Informationen hätten zugreifen können.

Hier berichten wir mehr über den Bericht des Citizen Lab, den Ablauf des Hacking-Angriffs – und wie sich Nutzer*innen schützen können.