Candiru-spionvare nådde enheter hos Al Jazeera Media Network gjennom målrettede nettannonser som ikke krevde noen klikk. Det var nok at en ondsinnet annonse ble vist på en utvalgt enhet for å utløse angrepet.
Forskere ved Citizen Lab ga teknikken navnet AdFection. Undersøkelsen deres knyttet operasjonen til Discover-Tech, et israelsk selskap som kobler leverandører av overvåkingsteknologi med nettbaserte annonseringstjenester.
Bevismateriale fra Al Jazeera viste angrep rettet mot minst 45 enheter i løpet av 2024 og 2025. Dette tallet fastslår imidlertid ikke at alle de målrettede enhetene ble infisert.
Ondsinnede annonser valgte ut enheter før de leverte kode
Ifølge forskerne brukte Discover-Tech sin Controlium-plattform til å hjelpe kunder med å identifisere og målrette angrep mot bestemte enheter. Plattformens funksjoner omfattet også identifisering av enheter gjennom digitale fingeravtrykk, profilering og identifisering av ellers anonyme brukere.
Operasjonen kjøpte annonseplass gjennom etablerte annonsenettverk og annonsebørser. Innebygd JavaScript kontaktet deretter en Discover-Tech-server når en enhet viste en av annonsene.
Deretter kontrollerte serveren informasjon som IP-adresser og annonseidentifikatorer for å avgjøre om enheten samsvarte med det tiltenkte målet.
Utvalgte enheter mottok ytterligere kode. Andre enheter mottok ingen ytterligere nyttelast, noe som hjalp operasjonen med å unngå oppdagelse samtidig som annonsene ble distribuert bredt.
Fordi prosessen startet når en annonse ble lastet inn, trengte ikke ofrene å klikke på en lenke eller samhandle med annonsen.
Etterforskere sporet trafikken til Candirus infrastruktur
Al Jazeera delte nettverkslogger som gjorde det mulig for forskerne å rekonstruere angrepsforløpet. Forbindelsene gikk fra Discover-Techs infrastruktur til Candirus valideringsservere og deretter til spionvarens kommando- og kontrollservere.
Etterforskerne hentet også ut en DLL-fil fra en kompromittert Windows-datamaskin. Etter å ha sammenlignet koden og infrastrukturen med tidligere innsamlede prøver, knyttet de filen til Candiru med høy grad av sikkerhet.
Candiru selger overvåkingsverktøy og begrenser angivelig salget til offentlige myndigheter. Selskapets skadevare for Windows, kjent som DevilsTongue, kan stjele filer, påloggingsopplysninger og meldinger.
Tidligere undersøkelser har knyttet Candiru-spionvare til angrep mot journalister, aktivister og politiske personer. Disse operasjonene utnyttet tidligere ukjente sårbarheter i Windows og Chrome.
Annonseringen nådde langt flere enn de bekreftede målene
Undersøkelsen avdekket også omfanget av annonseringsoperasjonen. Mellom mars og juni 2026 la den inn omtrent 3,77 milliarder bud og vant 442 millioner annonseauksjoner.
Annonser som forskerne vurderte å inneholde skripttagger fra angriperne, dukket opp i 75 373 Android- og iOS-apper og på 120 768 nettsteder.
Disse tallene beskriver imidlertid distribusjonen av annonser, ikke vellykkede infeksjoner med spionvare. Målrettingssystemet kunne vise en annonse til mange enheter, samtidig som bare bestemte enheter ble valgt ut til å motta ytterligere kode.
Forskerne anslo at Discover-Techs annonser sendte hundretusenvis til millioner av brukere videre til tilknyttede domener. Heller ikke dette anslaget sier noe om hvor mange enheter angriperne kompromitterte.
Tidligere funn beskrev en lignende leveringsmetode
En separat undersøkelse publisert sent i 2025 beskrev en annonsebasert infeksjonsmetode knyttet til spionvaren Predator.
Teknikken, kjent som Aladdin, ble avdekket gjennom lekkede dokumenter og markedsføringsmateriell fra overvåkingsindustrien. Etterforskerne underbygget disse funnene med tekniske bevis fra kriminaltekniske undersøkelser.
Til sammenligning sporet AdFection-undersøkelsen annonseringsinfrastrukturen gjennom observerte angrep til Candiru-spionvaren. Funnene gir ytterligere bevis for at kommersielle annonsesystemer kan støtte svært selektive overvåkingsoperasjoner.
Annonseselskaper blokkerte kontoer og domener
Etter avsløringene iverksatte flere organisasjoner i annonsebransjen tiltak mot infrastruktur knyttet til operasjonen.
Google, IAB Europe, Beeswax, Eskimi og Vungle var blant aktørene som fjernet involverte kontoer eller blokkerte tilknyttede domener.
Undersøkelsen viser hvordan ondsinnet annonsering kan utsette utvalgte brukere for angrep uten at de selv foretar noen bevisst handling. Den viser også hvorfor antallet viste annonser må holdes atskilt fra antallet bekreftede kompromitteringer.
0 responses to “Candiru-spionvare spres gjennom zero-click-annonser”