加拿大公民实验室发布最新报告：新型间谍软... Features
据路透社报道，加拿大公民实验室（CitizenLab）于2025年10月14日发布研究报告，揭露一款代号为AdFection的新型间谍软件，正借助全球在线广告网络渗透手机和电脑。该恶意程序无需用户下载文件，只需点击带毒广告即可完成感染，目前已在至少23个国家被发现。
明星退圈恶意广告如何触发AdFection入侵
CitizenLab在报告中首次使用“广告感染”来命名这一攻击模式。攻击者不搭建钓鱼网站，而是直接购买全球主流广告联盟中的展示位，将正常广告素材替换为经过编码的恶意脚本。用户访问新闻门户、视频平台或天气站点时，广告位会在页面加载的同时发起隐蔽请求。
明星隐退实验室研究员约翰·斯科特-雷尔顿在通报中表示：“恶意广告长期被视为低效传播手段，但AdFection证明，只要广告位足够优质，一次点击就能完成整条入侵链。”路透社援引实验室数据称，本次调查共发现3个恶意广告域和至少12台用于跳转的中继服务器，部分广告的曝光量在48小时内达到140万次。
明星转型从曝光到入侵：AdFection的技术链条
公民实验室提供了详细的攻击链分解：广告点击只是第一步，真正入侵由后续多个阶段衔接完成。下表列出关键节点：
| 阶段 | 行为 | 技术手段 |
|---|
| 广告投放 | 恶意素材混入合法广告联盟 | 图片隐写、绕过自动审查 |
|---|
| 跳转追踪 | 用户点击后连续302重定向 | 采集IP、设备指纹、操作系统版本 |
|---|
| 漏洞探测 | 判断浏览器是否存在可用漏洞 | 沙箱检测、关键参数比对 |
|---|
| 载荷植入 | 向内存写入间谍软件核心模块 | 零日漏洞利用、Hook浏览器进程 |
|---|
| 持久化控制 | 卸载后仍可二次安装 | 注册表劫持、云同步静态签名 |
|---|
报告中提到一个关键细节：AdFection在初始攻击阶段会执行5种不同的环境探测脚本，如果有迹象显示设备运行在虚拟机中，恶意代码会立刻停止运行并删除自身，以避免被安全研究人员捕获。该特性使传统沙箱分析的有效性大幅下降。
远程控制与隐私泄露：设备失去主权
AdFection植入完成后，攻击者可以获得设备的核心控制权限。美联社从另一份技术样本分析中确认，该间谍软件能够在后台执行按键记录、屏幕截图、调用摄像头和麦克风，以及读取浏览器保存的账号密码和加密货币钱包信息。
实验室研究人员莉西亚·比尔向媒体表示：“我们在测试中观察到，感染90秒后，设备就开始向外回传数据；单次回传的数据包平均为2.3MB，包含通讯录、短信和在线购物记录。”她补充说，被控制设备与命令服务器的通信采用双重TLS加密，并伪装成正常网站的流量分析请求，普通防火墙很难察觉。
全球影响：哪些地区的设备被盯上
公民实验室的遥测数据显示，AdFection活跃度最高的地区包括土耳其、泰国、印度尼西亚、肯尼亚和巴西，共涉及23个国家和地区。在受感染设备中，Android手机占比72%，Windows电脑占21%，iOS设备占7%。研究人员还注意到，攻击者对中东地区高价值目标的定向投放频率是普通用户的6倍。
报告推测，这种差异与广告网络的区域价格和用户隐私保护力度有关。在广告监管相对松散的市场，恶意广告存活时间更长，曝光成本也更低。实验室在7天内拦截到约1800次主动感染尝试，其中超过30%发生在新闻类网站。
防线何在：普通用户和企业的应对策略
面对AdFection这类恶意广告攻击，个人用户至少应做到三点：及时更新浏览器和操作系统补丁，关闭不必要的插件，避免在公共电脑登录高价值账户。AdFection的传播依赖已知漏洞，多数被感染的设备在攻击发生时都缺少最新系统更新。
企业侧，CitizenLab建议将广告流量纳入安全审计范围，在网络出口设置广告域名过滤，并对终端部署基于行为的检测工具。相比传统杀毒软件，EDR方案更容易发现内存注入和异常进程链这样的特征。
常见问题
Q1: AdFection是什么？和普通手机病毒有何不同？
A1: AdFection是由公民实验室命名的新型间谍软件，核心特点是借助合法广告网络传播。它不需要用户下载安装包，通过浏览器漏洞即可植入。与普通病毒相比，其隐蔽性更强，且会主动规避虚拟机检测，导致传统安全软件难以发现。
Q2: 用户如何判断设备是否已被AdFection感染？
A2: 实验室给出的判断线索包括：手机流量异常快速消耗、电量掉电速度加快、相机或麦克风指示灯无故亮起、输入键盘出现明显延迟。安卓用户可进入“隐私保护”面板查看后台权限调用记录；若发现未知浏览器插件或异常系统进程，应立即断开网络并运行完整安全扫描。
广告网络已成为间谍软件的分发管道，AdFection的出现提醒行业：在广告生态中嵌入恶意代码的成本极低，而防护成本却极高。未来需要平台审核、浏览器沙箱与终端检测三端同步发力，才能阻断这条隐蔽的攻击链路。
