Discover-Tech는 표적 광고를 제로클릭 스파이웨어 전달 경로로 바꿨습니다

AI 요약

Citizen Lab은 광고 기업으로 활동해 온 이스라엘 회사 Discover-Tech가 광고 플랫폼 Controlium을 통해 표적 기기를 식별하고, 광고가 표시되는 순간 스파이웨어를 전달했다고 보고합니다. 연구진은 이를 광고 기반 제로클릭 공격인 AdFection이라고 부릅니다. 사용자가 광고를 누르지 않아도 광고가 앱이나 웹페이지에 표시되는 과정에서 코드가 실행될 수 있습니다.

광고 표시에서 스파이웨어 감염까지

광고가 앱이나 웹사이트에 표시되면 광고에 포함된 스크립트가 Discover-Tech의 NOAS 서버에 접속해 광고 식별자와 쿠키 ID 등을 보냅니다. 서버는 IP 주소와 식별자 등을 바탕으로 대상 여부를 판단합니다. 표적이 아니면 실행할 JavaScript를 보내지 않지만, 광고가 표시된 기기의 정보는 Discover-Tech에 전달될 수 있습니다. 표적에게는 JavaScript가 반환되고, 이 코드가 추가 코드를 불러와 기기 프로파일링과 감염으로 이어질 수 있습니다.

Citizen Lab은 2024년과 2025년 Al Jazeera 기기 최소 45대가 Candiru 스파이웨어 공격을 받은 정황을 확인했습니다. 네트워크 기록에서 Discover-Tech 인프라 접속 뒤 Candiru 검증 서버, 이어서 명령제어 서버로 연결되는 시간 순서가 나타났습니다. 감염 기기에서 확보한 DLL 표본에는 해당 명령제어 서버가 포함됐습니다. 표본의 COM 하이재킹 기반 지속성, 반복 XOR 문자열 난독화, 네트워크 연결 확인 도메인 목록이 2021년 Candiru 표본과 겹쳐 연구진은 Candiru 공격 체인으로 높은 확신을 갖고 판단했습니다.

Controlium과 광고 입찰 기록

Controlium은 고객이 모바일 광고 ID, 브라우저 ID, IP 주소로 표적을 지정하고 광고 캠페인과 코드를 관리하는 플랫폼입니다. 연구진은 로그인 화면에 공개된 프런트엔드 코드를 분석해 기능을 재구성했습니다. 별도의 인증 취약점도 확인했습니다. 서버가 Auth0가 서명한 JWT 대신 사용자 이름과 이메일 등 인증되지 않은 정보를 토큰처럼 받도록 구현됐고, 그 정보를 암호화하는 비밀 키가 플랫폼 코드에 공개돼 있었습니다. 연구진은 취약점 악용은 시도하지 않았습니다. 인증 없이 접근 가능한 API에서는 128일간 로그인 기록을 내려받아 120개 사용자 이름을 확인했습니다.

Discover-Tech의 MyDSP 입찰 기록 약 40억 건을 분석한 결과, 2026년 3월부터 6월까지 37억 7천만 회 입찰했고 약 4억 4,200만 회에서 광고 노출을 따냈습니다. 광고는 Android와 iOS 앱 7만 5천여 개, 웹사이트 12만여 곳에서 표시됐습니다. 입찰 중 약 19%는 NOAS 서버를 가리키는 스크립트를 포함한 광고로 추정됩니다. 이 광고는 161개국의 IP 주소를 대상으로 입찰됐습니다. 기록에 나온 국가별 위치는 IP 지리정보를 바탕으로 하므로 VPN이나 위성 통신 등으로 오차가 날 수 있습니다.

광고가 노출된 사실만으로 표적 지정이나 감염을 확인할 수는 없습니다. 다만 입찰 기록은 정부 기관, 군, 언론사, 반도체 기업과 주요 인프라 관련 네트워크에서도 광고가 표시됐음을 보여줍니다. 기록에는 쿠키 ID나 광고 ID, GPS 좌표가 없었고, Beeswax와 Eskimi를 통한 활동도 포함되지 않았습니다.

광고 생태계와 대응

Discover-Tech는 Google과 IAB Europe의 인증·승인 업체 목록에 이름을 올렸고 Google, Yandex, Beeswax 등 광고 공급 경로를 이용했습니다. Citizen Lab은 회사가 스파이웨어 기업 Candiru 외에도 Bindecy, ADINT 업체 Intelos와 연결돼 있다고 보고합니다. 별도의 위협 행위자 DARK CARTOGRAPHER는 광고 인프라를 이용해 이동통신사 취약점을 악용하고 광고 ID와 전화번호를 연결한 것으로 파악됐습니다. 이 활동의 기술 분석은 후속 보고서에서 다룰 예정입니다.

연구진이 조사 결과를 알린 뒤 Google은 광고 거래소 접근을 종료했고, Beeswax는 광고 구매 플랫폼에서 회사를 제거했습니다. Vungle은 접근을 일시 중단하고 검토에 들어갔으며 Eskimi는 계정과 도메인을 차단했습니다. Google과 IAB Europe도 업체 목록에서 Discover-Tech를 삭제했습니다. Citizen Lab은 광고 업계와 규제기관에 조사와 방어 조치를 요청합니다.

Lobsters 반응

• @7tehdt3cnw6kir6o — 국가 기반시설을 지키려면 공식 기기에서 광고와 추적을 차단해야 합니다. 미국 CISA와 NSA 등 사이버보안 기관의 권고에 맞춰 정부 기기의 단말에 광고 차단 소프트웨어를 의무화하고, 정부 소유 기기 전체의 게이트웨이에서도 광고를 차단하는 정책 지침을 마련해야 합니다. 방어 담당자라면 광고 차단을 사이버보안 모범 사례로 봐야 합니다. AdFection 공격은 온라인 광고가 조직 안으로 제로클릭 스파이웨어를 들여보내는 경로임을 보여줍니다. 표적 광고 데이터가 이미 대규모 첩보 활동과 기업 첩보 활동에 쓰인다는 연구까지 함께 보면, 표적 광고에 사용자와 네트워크를 노출해도 일관되게 안전하다고 보장할 방법은 없습니다. Citizen Lab이 이런 지침을 발표해 반갑습니다. 애드테크와 그 결과는 끔찍했습니다.

원문: Citizen Lab / 번역·요약: Trawling