⚙️Техническая схема работы Discover-Tech устроена следующим образом:

1️⃣ Компания размещает рекламу через собственную платформу спроса MyDSP (подключённую к биржам Google, Yandex, Vungle от Liftoff и Sunteng), а также напрямую закупает трафик через платформы Eskimi и Beeswax (принадлежит Comcast).

2️⃣ В код рекламных баннеров встраивается тег скрипта, который при отрисовке рекламы обращается к специальному серверу Discover-Tech, именуемому внутри системы NOAS-сервером (или сервером getAd).

3️⃣ При обращении браузер или приложение передаёт NOAS-серверу рекламные идентификаторы и IP-адрес устройства.

4️⃣ Сервер проверяет, входит ли устройство в список целей. Если пользователь не выбран для атаки, сервер возвращает пустой ответ размером 0 байт, но при этом собирает данные о браузере, файлах cookie и публичном IPv6-адресе для профилирования.

5️⃣ Если устройство совпадает с заданными параметрами цели, NOAS-сервер (по данным Citizen Lab) отдаёт вредоносный JavaScript-код, который запускает цепочку эксплойтов для скрытого заражения устройства. Благодаря такой архитектуре сама рекламная площадка не видит вредоносный код при проверке объявления.

🤔Странно, но OPSEC и Discover-Tech как-то плохо сдружились. На странице входа в клиентскую панель таргетинга Controlium (согласно отчёту Citizen Lab) разработчики оставили открытым весь исходный код фронтенда, закомментировали проверку криптографических JWT-токенов от сервиса Auth0 и забыли закрыть паролем интерфейс /csv-download.

Выгрузив оттуда журналы входов за 128 дней по 120 учётным записям, аналитики обнаружили среди операторов панели сотрудников Candiru (Integrity Labs), компании Intelos и израильского разработчика эксплойтов Bindecy. Кроме того, по данным Citizen Lab и Cyber Kendra, две открытые базы данных на домене агентства mtrtb[.]com раскрыли 3,77 млрд рекламных ставок за четыре месяца 2026 года, при этом реально показанные объявления со встроенным тегом скрипта охватили 75 373 мобильных приложения (включая Viber и Truecaller) и 120 768 сайтов при расходах в $109 091 и нулевой выручке от реальных продаж.

А по данным компании Confiant, агентство откручивало около 10 млн объявлений в сутки, тайно копируя cookie-файлы в обход регламента GDPR. Больше всего ставок пришлось на пользователей в 🇾🇪Йемене (457 млн) и 🇵🇰Пакистане (139 млн), а на палестинских территориях агентство выкупило каждое 36-е объявление на Android. Отслеживающие баннеры также загружались во внутренних сетях НАТО, ООН, Европейского парламента, Еврокомиссии, Минобороны США, МАГАТЭ, Международного уголовного суда и корпораций Nvidia, Intel и Saab. Параллельно инфраструктуру Discover-Tech и других рекламных платформ минимум с 2019 года использовала группировка DARK CARTOGRAPHER (связанная, по данным CyberScoop, в том числе с неназванным правительственным или разведывательным подрядчиком США), которая через уязвимости сотовых операторов более чем в 30 странах привязывала рекламные идентификаторы смартфонов к реальным телефонным номерам.

Пока открытыми остаются три вопроса: кто именно заказал атаки на Al Jazeera, какой эксплойт использовался на первом этапе и были ли реальные заражения внутри сетей НАТО, Европарламента и Минобороны США.

✋ @Russian_OSINT