Starlink-Observation geht über Online-Werbung

Infrastruktur für personalisierte Online-Werbung wird systematisch für Angriffe mit Spyware genutzt, hat das Citizen Lab der Universität Toronto Mitte Oktober aufgedeckt (“AdFection“, für Infektion über Werbung). Als wichtiges Bindeglied zwischen der Werbebranche und Anbietern von Staatstrojanern fungiert demnach das israelische Unternehmen Discover-Tech. Nun ist bekannt geworden, dass Discover-Tech so viel Reklame an Starlink-Nutzer adressiert hat, dass es der weltweit zweitgrößte Werbekäufer in diesem Segment ist, in 105 Ländern sogar der größte.

Das hat TrendAI festgestellt. Der Bericht der IT-Sicherheitstochter Trend Macros nennt Discover-Tech allerdings nicht beim Namen, sondern spricht von „Shadow-Earth-79”. Reuters meldet nun, dass mit dieser Bezeichnung Discover-Tech gemeint sei; das hätten sechs nicht namentlich genannte Quellen bestätigt. TrendAI hat die Identifikation gegenüber Reuters auch nicht in Abrede gestellt. heise online hat Discover-Tech zu einer Stellungnahme eingeladen.

Laut den Erhebungen TrendAIs ist „Shadow-Earth-79” in 49 Ländern der größte Käufer von Online-Reklameflächen insgesamt (nicht nur Starlink-Anschlüsse). In Ungarn und Israel liegt der Marktanteil sogar über 90 Prozent, in Ägypten, Aserbaidschan, Venezuela und Katar zwischen 61 und 78 Prozent. Besonders verdächtig: Unter den Zielländern sind auch sanktionierte Gebiete, für die sich westliche Werbetreibende gemeinhin nicht interessieren, wie Jemen, Libyen, Südsudan, Syrien und Venezuela, sowie Regionen mit Reisewarnungen.

Starlink-Fokus

Als größten Käufer von Werbeflächen bei Starlink hat TrendAI Steelhouse ausgemacht. Dieser Käufer hat im 90 Tage langen Beobachtungszeitraum über 38 Prozent aller Reklame vermittelt, die auf Geräten, die über Starlink online gehen, angezeigt werden. Steelhouse war der Name eines Adtech-Unternehmens, das in MNTN aufgegangen ist. MNTN ist, so wie Starlink-Betreiber SpaceX, in Texas zu Hause. heise online hat MNTN um Stellungnahme ersucht.

Zweitgrößter Käufer mit 12,9 Prozent Anteil ist „Shadow-Earth-79”. Auffallend ist, dass der Marktanteil fast beim Fünffachen das Marktanteils am allgemeinen Werbetraffic liegt. „Shadow-Earth-79” bietet also besonders häufig und hoch auf Starlink-Nutzer. Bei Steelhouse liegt der Starlink-Marktanteil nur beim 2,2-fachen des Allgemeinen Adtraffic-Anteils.

In einem längeren Beobachtungszeitraum, von Juni 2024 bis Juni 2026, war „Shadow-Earth-79” sogar Marktführer bei Starlink-fokussierter Reklame in 105 Ländern. Dazu zählt auch Deutschland, wo die israelische Firma fast jede dritte auf Starlink-verbundenen Geräten angezeigte Werbefläche ersteigert hat.

Der Verdacht

In mehreren Ländern hat TrendAI ausgemacht, dass der Fokus nicht bloß auf Starlink-Nutzern schlechthin liegt, sondern auf Regierungsdiensten, deren Geräte über Starlink online gehen. Der Verdacht ist, dass es Discover-Tech bei der Ersteigerung von Werbeplätzen nicht um den Vertrieb von Produkten oder Dienstleistungen geht, sondern um Datenernte.

Im Zuge der üblichen Versteigerung von Reklameflächen erfahren Werbevermittler wertvolle Daten wie Aufenthaltsort, IP-Adresse, Autonomous System Number, Gerätetyp und Bildschirmauflösung „Verknüpft mit Werbe-ID, Klickverfolgung und Aufenthaltsverlauf kann die zusammengeführte Information dazu genutzt werden, umfassende Verhaltensprofile von Anwendern zu erstellen”, verdeutlicht TrendAI. Werbung, und damit auch in Werbung versteckte Malware, kann dann entsprechend zugeschnitten werden. Den Vorwurf des Citizen Labs, Discover-Tech habe darauf aufbauend gezielt Spyware verbreitet, wiederholt der Bericht nicht; zu einer solchen Feststellung sind die von TrendAI gesammelten Daten nicht geeignet.

TrendAI hat Javascripte Discover-Techs gesammelt und daraus abgeleitet, was Nutzer der Platform zu sehen bekommen: „Funktionen wie manuelle script injection, De-Anonymisierung und andere Funktionen des Interfaces stehen im Einklang mit Werkzeugen, die für Überwachung und Datensammlung gemacht sind“, hält der Bericht fest.

Bereits im Mai hat die israelische Tageszeitung Haaretz berichtet, dass die beiden israelischen Unternehmen Targetteam und Rayzone die Lokalisierung und teilweise Identifizierung einzelner Starlink-Nutzer anbieten. Das ist insbesondere für Geheimdienste interessant, die sich mit der Überwachung und Infiltrierung von Starlink-Anschlüssen schwerer tun als in herkömmlichen Netzen. Nicht zuletzt spielt der Satellitendienst eine besonders wichtige Rolle in Konfliktgebieten.