PropellerAds: Защо съвременното разпространение на зловреден софтуер започва преди самия зловреден код

От Фарух Рахимов, ръководител на отдела по съответствие, защита на данните и информационна сигурност в AdTech Holding

През март 2026 г. Google Threat Intelligence Group (GTIG) разкри Coruna — комплект от експлойти (exploit kit) за iOS с пет експлойт вериги и 23 експлойта, обхващащи версии от iOS 13.0 до 17.2.1.

Най-поучителната част от разкритието е това, което се случва преди експлойтът изобщо да получи шанс да се изпълни.

Coruna е бил изключително придирчив към посетителите. JavaScript модул за снемане на цифров отпечатък (fingerprinting) е проверявал дали посетителят е реално устройство, кой модел iPhone е и коя версия на iOS изпълнява. Едва тогава рамката е задействала съответстващ експлойт.

Изследователи, скенери, устройства в режим на блокиране (Lockdown Mode) и сесии за поверително сърфиране са били отпращани директно.

За защитника злонамереният код е мястото, откъдето започва разследването. За оператора той е краят на поточната линия: дотогава трафикът вече е придобит, маршрутизиран и квалифициран, в по-голямата си част напълно открито.

В PropellerAds виждаме този предхождащ слой от страната на рекламата, включително чрез ADEX — нашата система за качество на трафика и борба с измамите.

Кампанията със зловреден софтуер е система за доставка

Една съвременна кампания със зловреден софтуер има много повече смисъл, ако я разглеждате като система за доставка. Обикновено тя се състои от пет части:

• Придобиване: платена реклама, резултат от търсене, компрометиран сайт, връзка в приложение за съобщения.
• Маршрутизиране: пренасочващи модули и системи за разпределение на трафика (TDS), които решават къде да отиде всеки посетител след това.
• Доверена инфраструктура: мрежи за доставка на съдържание (CDN), хранилища за код и услуги за споделяне на файлове, които помагат на злонамерения трафик да се слее отлично с общия фон.
• Квалифициране на посетителя: снемане на цифров отпечатък, което решава кой да получи зловредния код и кой да получи примамка.
• Убеждаване: фалшива страница за изтегляне, фалшиво предупреждение за вирус или чат в WhatsApp или Telegram.

През юни 2026 г. Check Point Research описа фалшиви сайтове за изтегляне на софтуер с отворен код, които зареждат междинен скрипт от Amazon CloudFront и прехвърлят кликванията към TDS.

Скриптовете на TDS са били внедрени още през декември 2025 г.; разпространението на зловреден софтуер чрез тях е започнало през януари 2026 г. С други думи, каналите вече са били на мястото си седмици преди някой да отвори кранчето със зловреден софтуер.

Веригите винаги са били дълги. Сега те са селективни.

Дългите вериги от пренасочвания са стара новина. Изследване на USENIX Security от 2008 г. установи, че в половината от случаите, когато зловреден софтуер е доставян чрез реклами, посетителят е преминавал през повече от шест пренасочвания, преди да достигне до зловредния код.

Това, което се е променило, е селективността, а Coruna я довежда до крайност. Несъответстващ експлойт срива Safari, а верига, доставена на изследовател, получава корекция за сигурност. Ако проверяващият посети страницата еднократно, от един профил, той вижда точно онази версия, която атакуващият е искал да види.

Какво вижда една рекламна платформа и кога

Рекламната платформа не може да види заразеното устройство, но вижда това, което инструментите за крайни точки никога не виждат, в три прозореца:

• При подаване: сигнали от акаунта, заявената крайна дестинация, история на домейна и повторно използване на домейни, скриптове или хостинг от блокирани кампании.
• При модерация: пълният път на пренасочване, скриптовете и скритите iframe елементи на целевата страница (landing page), както и дали страницата отговаря по различен начин на различни профили посетители.
• След стартиране: реален трафик, промени на дестинацията след одобрение и сигнали за злоупотреби.

Видимостта има и своите граници. В един случай на ADEX самата реклама завършваше на страница за търсене на Google. Критичната стъпка се случваше едва след като потребителят кликне върху първия резултат, което изтласкваше следващия етап извън прекия път на кликване на рекламата.

Точно затова проверката на дестинацията и реконструкцията на потребителския път не са едно и също нещо.

Нищо от това не изисква залавяне на зловредния код на местопрестъплението. Страница, която зарежда скрит iframe, проверява версията на операционната система и извиква специфичен за съответната версия скрипт, е подозрителна още преди някой да е извлякъл експлойта.

Един оператор, петдесет лица

Всичко по-горе за Coruna идва от изследването на GTIG. Това, което следва, е собствено разследване на ADEX и то се отнася до метода на доставка, а не до комплекта от експлойти: ADEX откри рекламни кампании, изградени върху същата логика „първо квалифицирай“, което не означава, че самият Coruna е бил доставян чрез тях.

Екипът на ADEX идентифицира приблизително 50 рекламни акаунта, свързани с кампании, които са използвали подобна схема на доставка зад целеви страници без нищо общо помежду си: социална оферта, финансова страница, променящи се формати и вертикали.

Констатациите бяха предадени на платформите, използващи ADEX, чиито екипи прегледаха акаунтите и предприеха мерки.

Отдолу веригата беше идентична. Скрит iframe проверяваше версията на операционната система. След това оркестратор филтрираше ботовете и уеб роботите (crawlers), проверяваше IP адреса и доставяше скрипт за съответната версия на iOS като обикновено изглеждащ .min.js файл.

Именно тази последователност свърза акаунтите. Нищо по самите страници не ги свързваше: теми, брандове, вертикали и формати бяха напълно различни. Единствено поведението при доставка се повтаряше.

Криейтив по криейтив, те изглеждаха като несвързани рекламодатели. По поведение на доставка изглеждаха като един оператор.

Изграждането на клоукинг (cloaking) настройката отнема седмици; една целева страница отнема ден, така че операторите използват повторно първото и обновяват второто.

Анализът предостави на ADEX метрики, които сега сигнализират за модела по време на модерация, преди кампанията да достигне до трафик. Нова кампания, която възпроизвежда модела на доставка, се маркира независимо как изглежда нейната целева страница.

Какво се промени през 2026 г.

Прегледът на ADEX за доверие и безопасност (Trust & Safety), базиран на данни за модерация от осем рекламни платформи за периода от януари до септември 2026 г., показва същата промяна в мащаб.

Базовите периоди се различават по редове, така че таблицата показва променящ се микс от причини, а не съпоставима тенденция. Злонамерените iOS скриптове станаха отделна категория едва през Q3: ~20% е техният дял за това тримесечие, а не измерен ръст.

Клоукингът все още е водещата причина за спиране, но вече споделя списъка със специфични за устройствата скриптове и фишинг през приложения за съобщения, където убеждаването се премества в чат, който проверяващите не могат да проследят.

Изкуственият интелект ускорява евтиния слой: в случаите, прегледани от ADEX, отхвърлена кампания може да се върне преизградена в рамките на часове. Инфраструктурата за доставка се променя много по-бавно, което я прави по-надеждният елемент за проследяване.

От „какво се изпълни“ към „как пристигна жертвата“

Откриването на крайни точки остава необходимо, но то започва от последната стъпка на веригата и третира инцидентите поотделно, дори когато зад няколко от тях стои един и същ път на доставка.

Преминаването на по-високо ниво не изисква нов продукт, а само няколко промени в практиката:

• Записвайте пътя, а не само файла. Веригата от пренасочвания често е единственият артефакт, споделян от инциденти, които изглеждат несвързани.
• Третирайте единичното „чисто“ обхождане като неубедително. Посещавайте отново подозрителни пътища от различни устройства и мрежови профили и проследявайте пътя отвъд декларираната крайна точка. Чистата първа стъпка може просто да прехвърля потребителя към следващия етап.
• Групирайте по доставка, а не по съдържание. Структурата на пренасочванията, поведението на iframe елементите, хешовете на скриптовете и хостингът остават непроменени дори при обновяване на рекламните материали; темите на страниците – не.
• Дръжте по-старите устройства под наблюдение. Apple пренесе назад корекции за сигурност, свързани с Coruna, към iOS 15.8.7 през март 2026 г., но устройствата без инсталирани корекции за сигурност остават изложени на риск най-дълго.
• Докладвайте пълния път на източника. Рекламната платформа може да блокира следващите петдесет кампании на даден оператор само ако вижда какво ги свързва.

Изводът

Слоят, който решава кой посетител е реален и кой е проверяващ, представлява едно и също инженерно решение, независимо дали защитава верига от експлойти или страница за измама. Въпросът „Какво се е изпълнило?“ остава необходим.

Екипите, които питат и „как жертвата е стигнала дотук?“, забелязват атакуващия по-рано и свързват инциденти, които иначе изглеждат несвързани.

Методология

Данните на ADEX идват от доклада State of Ad Fraud 2026: Trust & Safety Report, базиран на обобщени данни за модерация от рекламни платформи, използващи ADEX, за периода от януари до септември 2026 г.

Процентите описват състава на отхвърлените или спрените кампании в този набор от данни, а не разпространението им в целия сектор.

Автор:

Farukh Rakhimov — ръководител на отдел „Съответствие, защита на данните и информационна сигурност“ в AdTech Holding, компанията майка на ADEX. В продължение на повече от 8 години той изгражда и ръководи съответствието, защитата на данните и информационната сигурност в цялата група. Работата му обхваща управление по GDPR, рамки за KYC и AML, оценка на финансовия риск и сертифициране по ISO 27001 за водещите платформи на групата. Като докторант в University of Cyprus, Farukh предлага практичен и директен поглед върху защитата на данните — показвайки как бизнесът може да превърне регулаторния натиск в реално доверие и да третира съответствието като конкурентно предимство, а не като просто отмятане на задължения.