文章总结： Predator间谍软件采用名为Aladdin的零点击感染机制，通过商用移动广告系统投放恶意软件，目标仅需浏览恶意广告即可触发感染，无需任何交互。另一种Triton载体则针对三星Exynos芯片设备，通过基带漏洞攻击。Intellexa作为开发商是全球最活跃的商用间谍软件厂商之一。防护建议包括开启广告拦截功能、使用浏览器隐藏IP、启用移动设备的高级保护模式等。
综合评分： 86
文章分类： 恶意软件,漏洞分析,威胁情报,移动安全,安全预警
Predator间谍软件采用新型攻击载体实施零点击攻击
胡金鱼
嘶吼专业版
2025年12月12日 14:00
北京
安全研究员最新发现，Predator间谍软件已启用一款名为Aladdin的零点击感染机制——目标对象无需任何主动操作，仅需浏览到一则恶意广告，其设备便会遭到入侵。这一功能强大且此前从未被披露的攻击载体，长期通过分布在多国的壳公司进行周密隐匿。
泄露的Intellexa营销材料
基于广告的间谍软件投放链路
Aladdin机制于2024年首次投入使用，目前被认为仍处于运行状态且在持续迭代开发。该机制借助商用移动广告系统实现恶意软件投放，其核心原理为：
根据目标对象的公网IP地址及其他身份标识锁定人群，再通过需求方平台（DSP）向广告网络内的所有合作网站下发指令，强制向目标推送植入恶意程序的广告。
这类恶意广告可出现在任何投放广告的平台，比如用户信任的新闻网站或移动应用，其外观与目标日常浏览的普通广告无异。而根据内部资料显示，目标仅需查看该广告即可触发设备感染，完全无需点击广告本身。
Aladdin 概述
尽管目前暂无该感染流程的具体技术细节，但谷歌方面指出，这类广告会触发页面跳转，将用户导向Intellexa的漏洞利用载荷分发服务器。
这些恶意广告的投放链路还涉及一套遍布多国的复杂广告公司网络，涵盖爱尔兰、德国、瑞士、希腊、塞浦路斯、阿联酋、匈牙利等国家。
针对这类恶意广告的防护难度较大，不过安全专家建议，在浏览器中开启广告拦截功能可作为基础防护手段；此外，将浏览器设置为向追踪器隐藏公网IP，也能降低被精准定向的风险。但泄密文件显示，Intellexa仍可从客户所在国的本土移动运营商处获取相关身份信息。
三星Exynos芯片漏洞与零日漏洞利用
泄密文件的另一项关键发现，是证实了另一款名为Triton的投放载体的存在。该载体可针对搭载三星Exynos芯片的设备，通过基带漏洞发起攻击，先强制设备网络降级至2G模式，为后续感染创造条件。
分析师暂无法确认该投放载体是否仍在使用，同时指出另有两款疑似功能类似的攻击机制，代号分别为Thor与Oberon，推测其可能涉及无线电通信攻击或物理接触式攻击。
谷歌研究人员称，从零日漏洞利用规模来看，Intellexa已跻身全球最活跃的商用间谍软件厂商之列——自2021年以来，谷歌威胁分析小组（TAG）共发现并记录70起零日漏洞利用事件，其中15起均由该公司主导。
谷歌表示，Intellexa既会自主研发漏洞利用工具，也会从外部机构采购漏洞利用链，以实现对各类目标的全面覆盖。
尽管Intellexa在希腊已面临制裁及持续调查，但其间谍软件业务依旧保持高度活跃。随着Predator间谍软件的隐蔽性与溯源难度不断提升，安全机构建议用户为移动设备开启额外防护，例如安卓设备的高级保护模式、iOS设备的锁定模式。
参考及来源：https://www.bleepingcomputer.com/news/security/predator-spyware-uses-new-infection-vector-for-zero-click-attacks/
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：嘶吼专业版 胡金鱼《Predator间谍软件采用新型攻击载体实施零点击攻击》