Was ist passiert?
Am 15. Oktober 2026 veröffentlichten zwei Forschungsteams Berichte über Discover-Tech, ein israelisches Unternehmen, das für seine Kunden Werbeplätze einkauft (eine Demand-Side-Platform):
- Citizen Lab, How Discover-Tech turned targeted ads into a pipeline for spyware. Citizen Lab nennt die Technik „AdFection“.
- Confiant, ADINT: weaponized ad tech for zero-click spyware.
Die wichtigsten Punkte, wie die Berichte sie darstellen:
- Von März bis Juni 2026 erreichten die Anzeigen von Discover-Tech rund 120.000 Websites und 75.000 Apps. Citizen Lab prüfte fast vier Milliarden Gebotsdatensätze. Zu den Apps, in denen die Anzeigen laut Bericht erschienen, gehören MX Player, Viber, Truecaller, Duolingo, Yahoo Mail und Opera Mini.
- Ein Gerät, das eine dieser Anzeigen geladen hat, konnte identifiziert und getrackt werden. Bei Handys beschreiben die Berichte außerdem Versuche, Werbe-IDs mit Telefonnummern zu verknüpfen.
- Bei ausgewählten Zielen wurde derselbe Anzeigenweg genutzt, um Spyware ohne Klick auszuliefern. Citizen Lab gibt an, dass 2024 und 2025 mindestens 45 Geräte bei Al Jazeera ins Visier genommen wurden, und bringt die Angriffe mit hoher Sicherheit mit dem Spyware-Hersteller Candiru in Verbindung. Die im Bericht beschriebene Schadsoftware ist eine Windows-Software.
- Anzeigen aus dieser Kampagne wurden auch in den Netzwerken von Institutionen wie der NATO, den Vereinten Nationen und dem Europäischen Parlament gesehen. Citizen Lab betont, dass eine angezeigte Anzeige kein Beweis für eine Infektion ist.
- Google hat Discover-Tech von seinen Werbeplattformen ausgeschlossen, und Google und IAB Europe haben das Unternehmen Anfang Oktober 2026 aus ihren Anbieterverzeichnissen entfernt.
Zu den Ratschlägen für Nutzer gehören laut Citizen Lab ein Werbeblocker-Dienst in deinem Netzwerk und das regelmäßige Zurücksetzen der Werbe-ID deines Handys.
Welche Domains sperrt EZOBLOCKER?
Seit dem 17. Oktober 2026 stehen 53 Regeln aus diesen Berichten auf unseren Listen: 28 in Tracker (Discover-Techs eigene Werbe-, Tracking- und Datendomains) und 25 in Sicherheit (Server, die mit der Spyware-Auslieferung in Verbindung stehen). Eine Regel, die mit einer Domain beginnt, deckt auch alle ihre Subdomains ab. Die wichtigsten:
| Domain | Was die Berichte dazu sagen | Kategorie |
|---|---|---|
mtrtb.com | Hauptdomain von Discover-Tech, Anzeigenauslieferung und Erfassung von Anzeigenaufrufen | Tracker |
discover-tech.io, mydsp.io | Discover-Tech und seine Plattform für den Anzeigeneinkauf, MyDSP | Tracker |
adtimizer.co, tekma-dmp.ai | Werbeplattformen, die die Berichte mit Discover-Tech in Verbindung bringen | Tracker |
myipinfo.io | Eine IP-Abfrage-Seite, die Discover-Tech betreibt | Tracker |
trustlayersdk.com | Server eines App-SDK, das sich als Verifizierungstool ausgibt | Tracker |
8 cloudfront.net-Adressen | Liefern die Skripte aus, die die Berichte Candiru zuschreiben | Sicherheit |
| 17 weitere Domains | In den Berichten genannte Server zur Spyware-Auslieferung | Sicherheit |
Wir haben geprüft, dass diese Domains auf allen vier unserer DNS-Server gesperrt sind (Istanbul, Nürnberg, Montréal und Mumbai).
Was haben wir gefunden, das die Berichte nicht aufführen?
Discover-Tech veröffentlicht weiterhin eine eigene Offenlegungsdatei für das Einwilligungs-Framework der Werbebranche, info.discover-tech.io/disclosure.json. Am 17. Oktober 2026 nannte sie drei Domains, auf denen das Unternehmen Cookies speichert: mtrtb.com, adsimp.com und sync-pixel.com.
adsimp.comundsync-pixel.comkommen in keinem der beiden Berichte vor.sync-pixel.comwurde am 7. Oktober 2026 registriert, einen Tag bevor die IAB-Registrierung des Unternehmens entfernt wurde, und acht Tage vor den Berichten.
Beide stehen jetzt auf unseren Listen, in der Kategorie „Tracker“.
Wo liegen die Listendateien?
Die Domains stehen in der eigenen Liste von EZOBLOCKER, die als Open Source unter CC0 auf GitHub veröffentlicht ist:
- domains/trackers/adint.txt: Werbe-, Tracking- und Datendomains von Discover-Tech.
- domains/security/adint.txt: Server, die mit der Spyware-Auslieferung in Verbindung stehen.
Dasselbe Repository enthält die Formate hosts/ und adblock/. Nutzer von Pi-hole, AdGuard Home, NextDNS und Blocky können diese Dateien direkt hinzufügen. Sie werden alle 6 Stunden automatisch aktualisiert. Auf der Seite Sperrlisten findest du alle Listen, die wir nutzen.
Wie erkennen wir solche Unternehmen früher?
Discover-Tech hatte mtrtb.com in der eigenen öffentlichen Offenlegung genannt, trotzdem hatten die meisten Sperrlisten, auch unsere, die Domain nicht. Deshalb lesen wir jetzt jede Woche die öffentlichen Verzeichnisse von Ad-Tech-Unternehmen und die Offenlegungsdateien, die diese Unternehmen selbst veröffentlichen. Die dort angegebenen Werbe- und Tracking-Domains werden geprüft und in unsere Listen aufgenommen. Der erste Durchlauf brachte 725 Regeln. Unternehmen, die aus diesen Verzeichnissen verschwinden, werden für eine genauere Prüfung markiert.
Was macht EZOBLOCKER mit diesen Domains?
Wenn eine App oder eine Webseite auf deinem Handy eine Domain von unseren Listen aufrufen will, geht die DNS-Abfrage verschlüsselt an unsere Server, die keine brauchbare Antwort geben. Die Anzeige oder der Tracker lädt nicht, und die Anfrage erreicht das Unternehmen nicht. Die Kategorien „Tracker“ und „Sicherheit“ sind standardmäßig eingeschaltet.
DNS-Blocking hat Grenzen. Eine Domain, die noch nicht auf unseren Listen steht, lädt ganz normal, und Apps mit eigenem verschlüsseltem DNS können einen DNS-Filter umgehen. Die Seite Grenzen erklärt das, und der Schutz-Check zeigt in deinem Browser, ob die Kategorien funktionieren.