Anuncios sin clic entregaron spyware de Candiru a dispositivos de Al Jazeera

Investigadores de Citizen Lab afirman que anuncios en línea dirigidos distribuyeron spyware de Candiru en dispositivos utilizados por Al Jazeera Media Network mediante un ataque sin clic. Bastaba con que un anuncio malicioso se mostrara en el dispositivo; los usuarios no tenían que pulsarlo.

Citizen Lab denomina “AdFection” a la técnica y señala que su informe es la primera confirmación técnica pública de la distribución de spyware mercenario mediante anuncios dirigidos. Los investigadores vincularon la operación con la empresa israelí Discovere-Tech y su plataforma Controlium, que, según el informe, podía seleccionar dispositivos y crear perfiles o identificarlos.

Los anuncios se difundieron a través de grandes redes e intercambios publicitarios. El código JavaScript incorporado se comunicaba con un servidor que evaluaba si un dispositivo cumplía los criterios de selección. Los dispositivos elegidos recibían código adicional; los demás que mostraban el anuncio no recibían nada. Según los investigadores, este diseño ayudaba a mantener la operación oculta.

Al Jazeera proporcionó a Citizen Lab pruebas de ataques dirigidos contra al menos 45 dispositivos entre 2024 y 2025. Los investigadores detectaron actividad de red desde la infraestructura de Discovere-Tech hasta los servidores de validación de Candiru y, después, hasta los servidores de mando y control del spyware. También recuperaron una DLL de Windows que atribuyeron a Candiru con un alto grado de confianza.

Citizen Lab informó de que la operación publicitaria realizó 3,77 mil millones de pujas y ganó 442 millones de subastas entre marzo y junio de 2026. Anuncios que, según la evaluación, contenían scripts del atacante aparecieron en 75.373 aplicaciones de Android e iOS y 120.768 sitios web; esas cifras no representan el número de infecciones. Los investigadores calcularon que entre cientos de miles y millones de usuarios fueron dirigidos a dominios relacionados. Google y otras empresas publicitarias eliminaron cuentas y bloquearon dominios tras recibir el informe.