AdFection: spyware zero-click de Candiru en anuncios dirigidos

El Citizen Lab de la Universidad de Toronto publicó el 15 de octubre de 2026 la primera prueba técnica pública de spyware mercenario entregado mediante anuncios publicitarios dirigidos, sin ningún clic de la víctima. La técnica se ha bautizado como AdFection. En el centro está Discover-Tech, empresa israelí registrada en 2020 que se presenta como operador publicitario, pero que según los investigadores actúa sobre todo como puente entre el ecosistema de la publicidad online y los fabricantes de spyware. Una investigación paralela de la empresa de seguridad publicitaria Confiant confirmó y amplió el cuadro.

Qué ha pasado

Según el informe, recogido de forma coincidente por todos los medios, en 2024 y 2025 al menos 45 dispositivos de la cadena Al Jazeera fueron objetivo de ataques zero-click que el Citizen Lab vincula con alta confianza al spyware de Candiru, entregado a través de los anuncios de Discover-Tech. Candiru, hoy conocida también como Integrity Labs, figura en la Entity List del Departamento de Comercio de Estados Unidos desde 2021. Al Jazeera colaboró en la investigación aportando sus registros de red.

Además de Candiru, los investigadores encontraron vínculos de Discover-Tech con Bindecy, otro proveedor de herramientas de intrusión, y con Intelos, empresa de inteligencia publicitaria. Ninguna de las empresas respondió a las solicitudes de comentarios. El Citizen Lab no atribuye los ataques a un gobierno concreto.

Cómo funciona la cadena de ataque

Discover-Tech compra espacios publicitarios en las subastas en tiempo real (real-time bidding) de las principales plataformas, entre ellas, según las fuentes, las de Google, Yandex y Beeswax. Cada solicitud de puja contiene datos del dispositivo: identificador publicitario móvil, dirección IP, ubicación, características del navegador. Según Ars Technica y CSO Online, la empresa usó también los marcos de consentimiento del RGPD para llegar a usuarios de la Unión Europea.

La cadena descrita por el Citizen Lab y recogida por BleepingComputer y SecurityWeek es la siguiente:

1. el anuncio contiene un JavaScript que, en cuanto se muestra el anuncio (aunque sea solo en segundo plano), contacta con un servidor de Discover-Tech llamado NOAS (o «getAd») y envía el identificador publicitario y la IP;
2. el servidor decide si el dispositivo es un objetivo. Casi siempre no devuelve nada: los sistemas de verificación de las plataformas ven un banner inofensivo, y Discover-Tech nunca entrega código malicioso a las empresas que sirven los anuncios;
3. a los objetivos elegidos les llega más código, que conduce a los servidores de validación de Candiru;
4. desde ahí se lanza el exploit y, por último, el dispositivo contacta con los servidores de mando y control del spyware.

En los registros de Al Jazeera los investigadores vieron precisamente esta secuencia. De un ordenador Windows comprometido recuperaron una DLL atribuida a Candiru por coincidencias de código e infraestructura con muestras ya conocidas. La plataforma de gestión de Discover-Tech se llama Controlium: según el informe, permite a sus clientes desanonimizar, perfilar (fingerprint) e infectar automáticamente un dispositivo en el momento en que se muestra el anuncio.

Las fuentes divergen en un punto: TechCrunch, BleepingComputer y CSO Online hablan de ordenadores Windows en Al Jazeera, mientras que Ars Technica escribe que los ataques funcionaban en iOS y Android. Las vulnerabilidades explotadas no se han descrito: no hay CVE vinculadas al caso.

MITRE ATT&CK (nuestro mapeo, basado en los hechos descritos): T1583.008 (Malvertising), T1189 (Drive-by Compromise), T1203 (Exploitation for Client Execution).

El alcance

Los investigadores analizaron casi 4.000 millones de registros de pujas expuestos en un servidor de Discover-Tech. Entre marzo y junio de 2026, la plataforma MyDSP de la empresa realizó 3.770 millones de pujas y ganó unos 442 millones, tres cuartas partes dentro de apps móviles. Los anuncios con el script del atacante aparecieron en 75.373 apps de Android e iOS y en 120.768 sitios web. Según el Citizen Lab, entre cientos de miles y millones de dispositivos fueron dirigidos hacia dominios de Candiru, probablemente para rastreo y reconocimiento a gran escala.

Los anuncios se mostraron también en redes sensibles: OTAN, Naciones Unidas, órganos legislativos europeos, infraestructuras críticas en Australia, fuerzas armadas y organismos públicos en Noruega y Suecia. Confiant añade el Departamento de Defensa de Estados Unidos, la autoridad estonia de sistemas de información (RIA), el OIEA y la Corte Penal Internacional. Una impresión no es una infección: los investigadores lo subrayan, pero recuerdan que esas redes podían ser perfiladas.

Otro actor, llamado DARK CARTOGRAPHER, usa la infraestructura de Discover-Tech y vulnerabilidades de varios operadores móviles para vincular identificadores publicitarios y números de teléfono. El Citizen Lab lo describirá en un informe aparte.

Tras la notificación, Google cortó a Discover-Tech el acceso a sus plataformas y activó avisos de Safe Browsing; IAB Europe la suspendió de la Global Vendor List; Beeswax y Eskimi la bloquearon, y Vungle (Liftoff) suspendió su acceso.

Impacto para las empresas europeas e italianas

AdFection añade un vector que la formación contra el phishing no cubre: basta con abrir un sitio o una app con publicidad. Los perfiles más expuestos son redacciones, directivos, despachos de abogados, administración pública, defensa e investigación. Para las entidades NIS2, la publicidad se convierte a todos los efectos en un tercero no verificado que ejecuta código en los dispositivos de la empresa, y debe tenerse en cuenta en la gestión del riesgo de la cadena de suministro.

Qué hacer ya

1. Bloquea los anuncios en el gateway: el Citizen Lab lo señala como la protección más viable hasta que el sector demuestre que puede frenar estos vectores. Filtra dominios publicitarios y de rastreo en DNS o proxy, para cubrir también las apps de los teléfonos gestionados.
2. Desactiva los identificadores publicitarios en los dispositivos de la empresa mediante MDM y limita las apps de consumo financiadas con publicidad; según el informe, sin identificador este método no habría funcionado.
3. Despliega un bloqueador de anuncios en los navegadores gestionados mediante políticas y prefiere navegadores con protección contra el rastreo.
4. Busca en los registros DNS y proxy los dominios publicados en el informe del Citizen Lab, también hacia atrás en el tiempo.
5. Activa el Modo de aislamiento en los iPhone de las personas más expuestas y mantén sistemas y navegadores actualizados: el anuncio es solo el medio, el exploit sigue necesitando una vulnerabilidad.

Cómo ayuda ARXDOME

ARXDOME no analiza smartphones: ahí el punto de control sigue siendo la consola MDM. En los ordenadores, ARX Sentry recoge registros, eventos e inventario del software; ARX Horizon enriquece cada evento con las listas de amenazas; ARX Trace permite recopilaciones y búsquedas en varias máquinas para verificar rastros sospechosos; ARX Shield aísla de la red una máquina comprometida.

Última actualización: 19 de octubre de 2026