DecryptAds wertet nach eigenen Angaben mehrere offen zugängliche Dateitypen aus, die Websites und Apps bereitstellen müssen oder freiwillig veröffentlichen. Dazu gehören ads.txt mit den Adtech-Firmen und Datenhändlern einer Website, app-ads.txt für mobile und Smart-TV-Apps sowie buyers.json und sellers.json mit Käufern, Verkäufern und Wiederverkäufern von Werbeinventar. Laut DecryptAds werden insbesondere die Brüche und Widersprüche zwischen diesen Quellen interessant: Lieferkettenprobleme zeigten sich selten in einer einzelnen Datei, sondern eher in fehlerhaften Querverweisen, geklonten Deklarationen über unverbundene Domains hinweg oder stillen Entfernungen aus sellers.json.

Wie tief die Einblicke gehen können, zeigt das Beispiel espn.com. Eine Suche auf DecryptAds weist dort 143 Werbepartner und 19 registrierte Datenbroker-Domains aus, die in ads.txt- und app-ads.txt-Dateien genannt werden. Diese Informationen werden laut Artikel zunehmend verfügbar, weil Kalifornien, Oregon, Texas und Vermont kürzlich Gesetze verabschiedet haben, die Datenbroker zur Registrierung verpflichten, wenn sie Daten von Verbrauchern aus diesen Bundesstaaten kaufen oder verkaufen. DecryptAds berichtet, dass fast die Hälfte dieser Datenbroker Standortdaten von Besuchern von espn.com sammelt, sofern diese Werbung nicht blockieren. Drei weitere legen offen, dass sie Geräte-Fingerabdrücke und sensible personenbezogene Informationen erfassen.

Die Plattform kennzeichnet außerdem Werbepartner aus sogenannten Geo-Risiko-Gebieten wie China und Russland sowie aus Staaten mit engen finanziellen und politischen Beziehungen zu beiden, darunter Zypern und die Vereinigten Arabischen Emirate. Nach Angaben von DecryptAds arbeitet espn.com mit vier Werbeunternehmen zusammen, die in Russland, China oder den Vereinigten Arabischen Emiraten ansässig sind. Dazu zählt die Adtech-Firma Between Digital, die zwar eine New Yorker Adresse angibt, im Dossier von DecryptAds aber als russisches Unternehmen markiert wird. Begründet wird das unter anderem damit, dass Publisher-Angebote des Unternehmens über die Alfa Bank abgewickelt werden, Russlands größte private Geschäftsbank, die 2022 nach dem russischen Überfall auf die Ukraine mit US-Sanktionen belegt wurde.

Auch mehrere große US-Militärnachrichtenseiten, darunter armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com und federaltimes.com, erlauben laut DecryptAds Between Digital das Schalten von Werbung und das Tracking von Nutzern. Hinzu kommen dort zwei Firmen in den Vereinigten Arabischen Emiraten und eine weitere in Panama. DecryptAds gibt an, dass Between Digital Werbedaten auf rund 55.000 Partner-Websites sammelt.

Edwards verweist zudem auf mögliche Interessenkonflikte in der Lieferkette. Eine Analyse der app-ads.txt-Datei von Between Digital führe zu Hunderten Domains mit einfachen webbasierten Spielen, die häufig von Werbung unterbrochen werden. Die eigenen Deklarationen des Unternehmens zeigten, dass es bei ungefähr zwei Dritteln seines Portfolios zugleich als Publisher und Wiederverkäufer auftrete. Das eröffne Möglichkeiten, Kundengelder auf eigene Angebote oder eigene Infrastruktur zu lenken, sagte Edwards.

Ein weiteres Werkzeug von DecryptAds ist das „Legal Dossier“, das Eigentümerangaben, Registrierungsdaten, Aliasnamen und Beziehungen zwischen Domains, Apps und Adtech-Firmen zusammenführt. Im Artikel wird das mit früheren Erkenntnissen von Bitsight zu H96-Streaming-Sticks verknüpft. Bitsight hatte berichtet, dass diese Geräte Internetverbindungen der Nutzer an Dritte vermieten und sich zudem als Mobiltelefone ausgeben, um auf KI-generierten Massen-Websites Anzeigen anzuklicken. Bitsight kam zu dem Schluss, dass die chinesische Fengwo Group sowohl mehrere schädliche Apps auf diesen Geräten entwickelt als auch das Netzwerk aus Werbe- und KI-Massen-Websites betrieben habe. Laut DecryptAds teilt eine inzwischen inaktive Fengwo-Domain für eine solche Website eine Verkäufer-ID mit einer Spiele-Website; eine weitere Verkäufer-ID führt dann zu Hunderten aktiven Websites im Werbesystem von Yandex mit sehr einfachen Spielen oder Hilfsprogrammen und hoher Werbedichte.

Ein besonderes Transparenzproblem sieht Edwards in stillen Ausschlüssen durch Werbenetzwerke. Wenn Netzwerke den Verdacht auf Klickbetrug oder bösartige Anzeigen hätten, entfernten sie auffällige Akteure oft einfach aus ihren Listen genehmigter Partner, ohne andere darüber zu informieren. DecryptAds versucht diese Lücke mit einem Feed für stille Entfernungen zu schließen, der Löschungen aus sellers.json über verschiedene Werbebörsen hinweg erfasst und korreliert.

Nach Einschätzung von Edwards taucht Malvertising heute deutlich häufiger auf neu erzeugten KI-Massen-Websites auf als auf reichweitenstarken Angeboten, die meist zusätzliche Kontrollmechanismen einsetzen. Solche Inhaltsfarmen, sagt er, arbeiteten häufig mit Partnern niedriger Qualität und würden so zu einem einfachen Einfallstor für bösartige Werbung. Zudem fordert er mehr Datenteilung durch große Werbenetzwerke, insbesondere beim sogenannten Supply Chain Object, kurz SCO. Diese strukturierten Daten hängen an einzelnen Werbeanfragen und zeigen, welche Verkäufer, Wiederverkäufer und Vermittler an der Auslieferung einer Anzeige beteiligt waren. Ohne diese serverseitig übermittelten Informationen lasse sich zwar eine bösartige Umleitung erkennen, aber nicht zuverlässig feststellen, wer die Malware-Anzeige letztlich ausgeliefert habe.

Zusätzlich bietet DecryptAds eine Programmierschnittstelle an, über die Forschende Abfragen automatisieren und Funktionen des Dienstes in verbreitete KI-Plattformen einbinden können.