AdFection: spyware zero-click di Candiru tramite annunci mirati

Il Citizen Lab dell’Università di Toronto ha pubblicato il 15 ottobre 2026 la prima prova tecnica pubblica di spyware mercenario consegnato con annunci pubblicitari mirati, senza alcun clic della vittima. La tecnica è stata chiamata AdFection. Al centro c’è Discover-Tech, società israeliana registrata nel 2020 che si presenta come operatore pubblicitario, ma che secondo i ricercatori fa soprattutto da ponte tra l’ecosistema degli annunci online e i produttori di spyware. Un’indagine parallela della società di sicurezza pubblicitaria Confiant ha confermato e allargato il quadro.

Cosa è successo

Secondo il rapporto, ripreso in modo concorde da tutte le testate, nel 2024 e nel 2025 almeno 45 dispositivi dell’emittente Al Jazeera sono stati presi di mira con attacchi zero-click che il Citizen Lab collega con alta affidabilità allo spyware di Candiru, consegnato attraverso gli annunci di Discover-Tech. Candiru, oggi nota anche come Integrity Labs, è nella Entity List del Dipartimento del Commercio statunitense dal 2021. Al Jazeera ha collaborato all’indagine fornendo i propri log di rete.

Oltre a Candiru, i ricercatori hanno trovato legami di Discover-Tech con Bindecy, altro fornitore di strumenti di intrusione, e con Intelos, società di intelligence pubblicitaria. Nessuna delle società ha risposto alle richieste di commento. Il Citizen Lab non attribuisce gli attacchi a un governo preciso.

Come funziona la catena di attacco

Discover-Tech compra spazi pubblicitari nelle aste in tempo reale (real-time bidding) delle principali piattaforme, tra cui, secondo le fonti, quelle di Google, Yandex e Beeswax. Ogni richiesta d’asta contiene dati sul dispositivo: identificativo pubblicitario mobile, indirizzo IP, posizione, caratteristiche del browser. Secondo Ars Technica e CSO Online, l’azienda ha usato anche i framework di consenso GDPR per raggiungere utenti nell’Unione europea.

La catena descritta dal Citizen Lab e riportata da BleepingComputer e SecurityWeek è questa:

1. l’annuncio contiene un JavaScript che, appena l’annuncio viene visualizzato (anche solo in background), contatta un server di Discover-Tech chiamato NOAS (o «getAd») e invia identificativo pubblicitario e IP;
2. il server decide se il dispositivo è un bersaglio. Quasi sempre non restituisce nulla: i sistemi di verifica delle piattaforme vedono un banner innocuo, e Discover-Tech non consegna mai codice malevolo alle società che servono gli annunci;
3. ai bersagli scelti arriva altro codice, che porta verso i server di validazione di Candiru;
4. da lì parte l’exploit e, infine, il contatto con i server di comando e controllo dello spyware.

Nei log di Al Jazeera i ricercatori hanno visto proprio questa sequenza. Da un computer Windows compromesso hanno recuperato una DLL attribuita a Candiru per sovrapposizioni di codice e infrastruttura con campioni già noti. La piattaforma di gestione di Discover-Tech si chiama Controlium: secondo il rapporto permette ai clienti di de-anonimizzare, profilare (fingerprint) e infettare automaticamente un dispositivo nel momento in cui l’annuncio viene mostrato.

Le fonti divergono su un punto: TechCrunch, BleepingComputer e CSO Online parlano di computer Windows ad Al Jazeera, mentre Ars Technica scrive che gli attacchi funzionavano su iOS e Android. Le vulnerabilità sfruttate non sono state descritte: non ci sono CVE collegate al caso.

MITRE ATT&CK (nostra mappatura, sui fatti descritti): T1583.008 (Malvertising), T1189 (Drive-by Compromise), T1203 (Exploitation for Client Execution).

La portata

I ricercatori hanno analizzato quasi 4 miliardi di record d’asta lasciati esposti su un server di Discover-Tech. Tra marzo e giugno 2026 la piattaforma MyDSP dell’azienda ha fatto 3,77 miliardi di offerte e ne ha vinte circa 442 milioni, per tre quarti dentro app mobili. Gli annunci con lo script dell’attaccante sono comparsi in 75.373 app Android e iOS e 120.768 siti. Secondo il Citizen Lab, tra centinaia di migliaia e milioni di dispositivi sono stati indirizzati verso domini di Candiru, probabilmente per tracciamento e ricognizione su larga scala.

Gli annunci sono stati visualizzati anche su reti sensibili: NATO, Nazioni Unite, organi legislativi europei, infrastrutture critiche in Australia, forze armate ed enti pubblici in Norvegia e Svezia. Confiant aggiunge il Dipartimento della Difesa statunitense, l’autorità estone per i sistemi informativi (RIA), l’AIEA e la Corte penale internazionale. Una visualizzazione non è un’infezione: i ricercatori lo sottolineano, ma ricordano che quelle reti potevano essere profilate.

Un altro attore, chiamato DARK CARTOGRAPHER, usa l’infrastruttura di Discover-Tech e vulnerabilità di diversi operatori mobili per collegare identificativi pubblicitari e numeri di telefono. Il Citizen Lab lo descriverà in un rapporto separato.

Dopo la segnalazione, Google ha tolto a Discover-Tech l’accesso alle sue piattaforme e attivato avvisi Safe Browsing; IAB Europe l’ha sospesa dalla Global Vendor List; Beeswax ed Eskimi l’hanno bloccata, Vungle (Liftoff) ne ha sospeso l’accesso.

Impatto per le aziende europee e italiane

AdFection aggiunge un vettore che la formazione contro il phishing non copre: basta aprire un sito o un’app con pubblicità. I profili più esposti sono redazioni, dirigenti, studi legali, pubblica amministrazione, difesa e ricerca. Per i soggetti NIS2 la pubblicità diventa a tutti gli effetti un fornitore terzo non verificato che esegue codice sui dispositivi aziendali, da considerare nella gestione del rischio della catena di fornitura.

Cosa fare subito

1. Blocca gli annunci al gateway: il Citizen Lab lo indica come la protezione più praticabile finché il settore non dimostrerà di saper fermare questi vettori. Filtra domini pubblicitari e di tracciamento su DNS o proxy, così da coprire anche le app sui telefoni gestiti.
2. Disattiva gli identificativi pubblicitari sui dispositivi aziendali tramite MDM e limita le app consumer finanziate dalla pubblicità; secondo il rapporto, senza identificativo questo metodo non avrebbe funzionato.
3. Distribuisci un blocco degli annunci nei browser gestiti tramite policy e preferisci browser con protezione dal tracciamento.
4. Cerca nei log DNS e proxy i domini pubblicati nel rapporto del Citizen Lab, anche a ritroso.
5. Attiva la Modalità di isolamento sugli iPhone delle persone più esposte e mantieni sistemi e browser aggiornati: l’annuncio è solo il mezzo, l’exploit ha comunque bisogno di una vulnerabilità.

Come aiuta ARXDOME

ARXDOME non analizza gli smartphone: lì il punto di controllo resta la console MDM. Sui computer, ARX Sentry raccoglie log, eventi e inventario del software; ARX Horizon arricchisce ogni evento con le liste di minacce; ARX Trace permette raccolte e ricerche su più macchine per verificare tracce sospette; ARX Shield isola dalla rete una macchina compromessa.

Ultimo aggiornamento: 19 ottobre 2026