AdFection: spyware zero-click Candiru prin reclame țintite

Citizen Lab de la Universitatea din Toronto a publicat pe 15 octombrie 2026 prima dovadă tehnică publică de spyware mercenar livrat prin reclame țintite, fără niciun clic din partea victimei. Tehnica a fost numită AdFection. În centru se află Discover-Tech, o companie israeliană înregistrată în 2020, care se prezintă drept firmă de publicitate, dar care, potrivit cercetătorilor, funcționează mai ales ca punte între ecosistemul reclamelor online și producătorii de spyware. O investigație paralelă a companiei de securitate publicitară Confiant a confirmat și a extins tabloul.

Ce s-a întâmplat

Potrivit raportului, relatat în mod concordant de toate publicațiile, în 2024 și 2025 cel puțin 45 de dispozitive ale televiziunii Al Jazeera au fost vizate de atacuri zero-click pe care Citizen Lab le leagă cu încredere ridicată de spyware-ul Candiru, livrat prin reclamele Discover-Tech. Candiru, cunoscută astăzi și ca Integrity Labs, se află pe Entity List a Departamentului de Comerț al SUA din 2021. Al Jazeera a participat la investigație, punând la dispoziție jurnalele sale de rețea.

Pe lângă Candiru, cercetătorii au găsit legături ale Discover-Tech cu Bindecy, alt furnizor de instrumente de intruziune, și cu Intelos, firmă de intelligence publicitar. Niciuna dintre companii nu a răspuns solicitărilor de comentarii. Citizen Lab nu atribuie atacurile unui anumit guvern.

Cum funcționează lanțul de atac

Discover-Tech cumpără spații publicitare în licitațiile în timp real (real-time bidding) ale principalelor platforme, printre care, potrivit surselor, cele ale Google, Yandex și Beeswax. Fiecare cerere de licitație conține date despre dispozitiv: identificatorul publicitar mobil, adresa IP, locația, caracteristicile browserului. Potrivit Ars Technica și CSO Online, compania a folosit și cadrele de consimțământ GDPR pentru a ajunge la utilizatori din Uniunea Europeană.

Lanțul descris de Citizen Lab și relatat de BleepingComputer și SecurityWeek este următorul:

1. reclama conține un JavaScript care, imediat ce reclama este afișată (chiar și doar în fundal), contactează un server Discover-Tech numit NOAS (sau „getAd”) și trimite identificatorul publicitar și IP-ul;
2. serverul decide dacă dispozitivul este o țintă. Aproape întotdeauna nu returnează nimic: sistemele de verificare ale platformelor văd un banner inofensiv, iar Discover-Tech nu predă niciodată cod malițios companiilor care servesc reclamele;
3. țintele alese primesc cod suplimentar, care duce spre serverele de validare ale Candiru;
4. de acolo pornește exploit-ul și, în final, dispozitivul contactează serverele de comandă și control ale spyware-ului.

În jurnalele Al Jazeera cercetătorii au văzut exact această secvență. De pe un computer Windows compromis au recuperat o DLL atribuită Candiru pe baza suprapunerilor de cod și infrastructură cu mostre deja cunoscute. Platforma de administrare a Discover-Tech se numește Controlium: potrivit raportului, le permite clienților să deanonimizeze, să profileze (fingerprint) și să infecteze automat un dispozitiv în momentul în care reclama este afișată.

Sursele diferă într-un punct: TechCrunch, BleepingComputer și CSO Online vorbesc despre computere Windows la Al Jazeera, în timp ce Ars Technica scrie că atacurile funcționau pe iOS și Android. Vulnerabilitățile exploatate nu au fost descrise: nu există CVE legate de acest caz.

MITRE ATT&CK (maparea noastră, pe baza faptelor descrise): T1583.008 (Malvertising), T1189 (Drive-by Compromise), T1203 (Exploitation for Client Execution).

Amploarea

Cercetătorii au analizat aproape 4 miliarde de înregistrări de licitație lăsate expuse pe un server Discover-Tech. Între martie și iunie 2026, platforma MyDSP a companiei a făcut 3,77 miliarde de oferte și a câștigat aproximativ 442 de milioane, trei sferturi dintre ele în aplicații mobile. Reclamele cu scriptul atacatorului au apărut în 75.373 de aplicații Android și iOS și pe 120.768 de site-uri. Potrivit Citizen Lab, între sute de mii și milioane de dispozitive au fost direcționate către domenii Candiru, probabil pentru urmărire și recunoaștere pe scară largă.

Reclamele au fost afișate și în rețele sensibile: NATO, Națiunile Unite, organisme legislative europene, infrastructuri critice din Australia, forțe armate și instituții publice din Norvegia și Suedia. Confiant adaugă Departamentul Apărării al SUA, autoritatea estonă pentru sisteme informatice (RIA), AIEA și Curtea Penală Internațională. O afișare nu înseamnă o infectare: cercetătorii subliniază acest lucru, dar amintesc că acele rețele puteau fi profilate.

Un alt actor, numit DARK CARTOGRAPHER, folosește infrastructura Discover-Tech și vulnerabilități ale mai multor operatori mobili pentru a lega identificatorii publicitari de numerele de telefon. Citizen Lab îl va descrie într-un raport separat.

După notificare, Google a tăiat accesul Discover-Tech la platformele sale și a activat avertismente Safe Browsing; IAB Europe a suspendat-o din Global Vendor List; Beeswax și Eskimi au blocat-o, iar Vungle (Liftoff) i-a suspendat accesul.

Impactul pentru companiile europene și italiene

AdFection adaugă un vector pe care instruirea anti-phishing nu îl acoperă: este suficient să deschizi un site sau o aplicație cu reclame. Cele mai expuse profiluri sunt redacțiile, managerii, firmele de avocatură, administrația publică, apărarea și cercetarea. Pentru entitățile NIS2, publicitatea devine practic un terț neverificat care rulează cod pe dispozitivele companiei și trebuie luată în calcul în gestionarea riscului lanțului de aprovizionare.

Ce să faci acum

1. Blochează reclamele la nivel de gateway: Citizen Lab indică acest lucru drept protecția cea mai practicabilă până când industria va dovedi că poate opri acești vectori. Filtrează domeniile de publicitate și de urmărire la nivel DNS sau proxy, ca să acoperi și aplicațiile de pe telefoanele administrate.
2. Dezactivează identificatorii publicitari pe dispozitivele companiei prin MDM și limitează aplicațiile de consum finanțate din reclame; potrivit raportului, fără identificator această metodă nu ar fi funcționat.
3. Distribuie un blocant de reclame în browserele administrate prin politici și preferă browsere cu protecție împotriva urmăririi.
4. Caută în jurnalele DNS și proxy domeniile publicate în raportul Citizen Lab, inclusiv retroactiv.
5. Activează Modul de izolare (Lockdown Mode) pe iPhone-urile persoanelor celor mai expuse și ține sistemele și browserele actualizate: reclama este doar mijlocul, exploit-ul are în continuare nevoie de o vulnerabilitate.

Cum ajută ARXDOME

ARXDOME nu analizează smartphone-urile: acolo punctul de control rămâne consola MDM. Pe computere, ARX Sentry colectează jurnale, evenimente și inventarul software; ARX Horizon îmbogățește fiecare eveniment cu listele de amenințări; ARX Trace permite colectări și căutări pe mai multe mașini pentru a verifica urme suspecte; ARX Shield izolează din rețea o mașină compromisă.

Ultima actualizare: 19 octombrie 2026