TM_S2_35

10 21|10|2026 ΣΕΙΡΑ 2 #35 Μια διαφήμιση σε μια εφαρμογή ή σε έναν ιστότοπο αρκεί για να μολύνει μια συσκευή, χωρίς να χρειάζεται καμία ενέργεια (κλικ) από τον χρήστη. Αυτό είναι το συμπέρασμα της έκθε- ση ς “Exposing AdFection” σ χετικά με την Discover-Tech, μια εταιρεία με έδρα το Ισραήλ, η οποία αυτοπαρουσιάζεται ως νόμιμη διαφημιστική επιχείρηση, αλλά – σύμφωνα με τους συντάκτες της έκθεσης – δεν παρουσιάζει κανένα στοιχείο νόμιμης διαφημιστικής δραστηριότητας. Πρόκειται για την πρώτη τεχνική τεκμηρίωση πραγματικής μόλυνσης από «μι- σθοφορικό» λογισμικό κατασκοπείας (spyware) μέσω στο- χευμένων διαφημίσεων, η οποία πραγματοποιείται χωρίς την παραμικρή αλληλεπίδραση από τον χρήστη (zero-click). Η εταιρεία διαχειρίζεται μια πλατφόρμα με την ονομασία Controlium. Όταν εμφανίζεται η διαφήμιση, το αναγνω- ριστικό διαφήμισης (advertising ID) και η διεύθυνση IP του χρήστη αποστέλλονται στους διακομιστές της. Εάν το συγκεκριμένο άτομο έχει επιλεγεί ως στόχος, η συσκευή του λαμβάνει τελικά κακόβουλο κώδικα JavaScript, ο οποίος εκτελείται από το πρόγραμμα περιήγησης ή την εφαρμογή και μολύνει τη συσκευή. Ο κώδικας εκμετάλλευσης (exploit) δεν περιέχεται στην ίδια τη διαφήμιση, γεγονός που βοηθά την εταιρεία να αποκρύπτει τον σκοπό της από τις πλατφόρ- μες που την προβάλλουν. Οι ερευνητές ανέλυσαν δισεκατομμύρια προσφορές για την προβολή διαφημίσεων. Οι εν λόγω διαφημίσεις εντοπίστηκαν σε εφαρμογές όπως το Duolingo, εφαρμογές γνωριμιών και το Viber, καθώς και σε ιστοτόπους όπως αυτούς των BBC, CBC, AccuWeather, FoxNews, the New York Times και της Haaretz. Εμφανίσεις (impressions) καταγράφηκαν σε δίκτυα του ΝΑΤΟ, του ΟΗΕ, του Ευρωπαϊκού Κοινοβουλίου, της Ευρωπαϊκής Επιτροπής, υπουργείων Άμυνας, καθώς και σε τράπεζες αλλά και ιδιωτικές εταιρείες όπως η Saab. Το MATCHBOIL, ένα εργαλείο λήψης γραμμένο σε C#, βρίσκεται υπό ανά- πτυξη τουλάχιστον από το 2024, ενώ η ομάδα που βρίσκεται πίσω από αυτό, η UAC-0099, ευθυγραμμίζεται με ρωσι- κά συμφέροντα. Οι ερευνητές της ESET ανέλυσαν δείγματα από τον Απρίλιο του 2024 έως τον Απρίλιο του 2026 και διαπίστωσαν ότι κάθε νέα έκδοση είναι πιο εξελιγμένη από την προηγούμενη. Η δομή του κώδικα αλλάζει, όπως και η χρήση του εργαλείου συσκότισης (obfuscation tool) .NET Reactor, και όλα αυτά συμβαίνουν σε σχετικά σύντομο χρονικό διάστημα. Αυτό υποδηλώνει ότι οι χειριστές της UAC-0099 καταβάλλουν συστηματικές προσπάθειες για τη βελτί- ωση του εργαλείου. Το εργαλείο εξελίχθηκε από ένα πρόγραμμα λήψης που εκτελούσε μία μόνο λήψη, σε ένα εργαλείο που μπορεί να επικοινωνεί με τον διακομιστή εντο- λών και ελέγχου (C&C) κάθε δύο λεπτά. «Στα τέλη του 2025, η UAC-0099 πρόσθεσε μια γραφική διεπαφή χρήστη (GUI), η οποία εμφανίζεται όταν ο χρήστης εκτελεί το payload. Στις αρχές του 2026, το εργα- λείο μετατράπηκε σε μια λιγότερο εμφα- νή έκδοση», εξηγεί ο ερευνητής της ESET Fernando Tavella . Όλα τα θύματα που έχουν εντοπιστεί μέχρι στιγμής βρίσκονται στην Ουκρα- νία. Δείγματα εντοπίστηκαν σε εταιρείες μεταφορών τον Ιούλιο και τον Αύγου- στο του 2025, σε εταιρεία του μεταποι- ητικού τομέα τον Δεκέμβριο του ίδιου έτους, καθώς και σε εταιρεία του τομέα της ενέργειας τον Ιούνιο του 2026. Οι διακομιστές εντολών και ελέγχου (C&C) φιλοξενούνται σε εικονικούς ιδιωτικούς διακομιστές (VPS), όπως αυτούς της BitLaunch, και καλύπτονται μέσω υπηρε- σιών cloud, όπως το Cloudflare. Η ESET παρακολουθεί το εξελισσόμενο εργαλείο λήψης MATCHBOIL της UAC-0099 Εγκατάσταση spyware μέσω zero-click διαφημίσεων από την Discover-Tech