Candiru-spyware nåede enheder hos Al Jazeera Media Network gennem målrettede onlineannoncer, der ikke krævede nogen klik. Blot det at vise en ondsindet annonce på en udvalgt enhed kunne udløse angrebet.
Forskere fra Citizen Lab gav teknikken navnet AdFection. Deres undersøgelse knyttede operationen til Discover-Tech, en israelsk virksomhed, der forbinder leverandører af overvågningsteknologi med onlineannonceringstjenester.
Bevismateriale fra Al Jazeera viste angreb rettet mod mindst 45 enheder i løbet af 2024 og 2025. Dette tal fastslår dog ikke, at alle de målrettede enheder blev inficeret.
Ondsindede annoncer udvalgte enheder, før de leverede kode
Ifølge forskerne brugte Discover-Tech sin Controlium-platform til at hjælpe kunder med at identificere og målrette angreb mod bestemte enheder. Platformens funktioner omfattede også identifikation af enheder gennem digitale fingeraftryk, profilering og identifikation af ellers anonyme brugere.
Operationen købte annonceplads gennem etablerede annoncenetværk og annoncebørser. Indlejret JavaScript kontaktede derefter en Discover-Tech-server, når en enhed viste en af annoncerne.
Dernæst kontrollerede serveren oplysninger såsom IP-adresser og annonceidentifikatorer for at afgøre, om enheden svarede til det tilsigtede mål.
Udvalgte enheder modtog yderligere kode. Andre enheder modtog ingen yderligere nyttelast, hvilket hjalp operationen med at undgå opdagelse, samtidig med at annoncerne blev distribueret bredt.
Da processen begyndte, når en annonce blev indlæst, behøvede ofrene hverken at klikke på et link eller interagere med annoncen.
Efterforskere sporede trafikken til Candirus infrastruktur
Al Jazeera delte netværkslogfiler, som gjorde det muligt for forskerne at rekonstruere angrebsforløbet. Forbindelserne gik fra Discover-Techs infrastruktur til Candirus valideringsservere og derefter til spywarens kommando- og kontrolservere.
Efterforskerne fandt også en DLL-fil på en kompromitteret Windows-computer. Efter at have sammenlignet dens kode og infrastruktur med tidligere indsamlede prøver tilskrev de med høj grad af sikkerhed filen til Candiru.
Candiru sælger overvågningsværktøjer og begrænser angiveligt salget til offentlige myndigheder. Virksomhedens malware til Windows, kendt som DevilsTongue, kan stjæle filer, loginoplysninger og beskeder.
Tidligere undersøgelser har knyttet Candiru-spyware til angreb mod journalister, aktivister og politiske personer. Disse operationer udnyttede tidligere ukendte sårbarheder i Windows og Chrome.
Annonceringens rækkevidde oversteg langt antallet af bekræftede mål
Undersøgelsen afslørede også omfanget af annonceringsoperationen. Mellem marts og juni 2026 afgav den cirka 3,77 milliarder bud og vandt 442 millioner annonceauktioner.
Annoncer, som forskerne vurderede indeholdt scripttags fra angriberne, blev vist i 75.373 Android- og iOS-apps og på 120.768 hjemmesider.
Disse tal beskriver dog distributionen af annoncer, ikke vellykkede infektioner med spyware. Målretningssystemet kunne vise en annonce på mange enheder, mens kun bestemte enheder blev udvalgt til at modtage yderligere kode.
Forskerne anslog, at Discover-Techs annoncer ledte hundredtusindvis til millioner af brugere videre til tilknyttede domæner. Dette estimat viser heller ikke, hvor mange enheder angriberne kompromitterede.
Tidligere resultater beskrev en lignende leveringsmetode
En separat undersøgelse offentliggjort i slutningen af 2025 beskrev en annoncebaseret infektionsmetode forbundet med Predator-spyware.
Teknikken, kendt som Aladdin, kom frem gennem lækkede dokumenter og markedsføringsmateriale fra overvågningsindustrien. Efterforskerne underbyggede disse resultater med tekniske beviser fra retsmedicinske undersøgelser.
Til sammenligning sporede AdFection-undersøgelsen annonceringsinfrastrukturen gennem observerede angreb til Candiru-spyware. Resultaterne giver yderligere beviser for, at kommercielle annoncesystemer kan understøtte meget selektive overvågningsoperationer.
Annoncevirksomheder blokerede konti og domæner
Efter afsløringerne iværksatte flere organisationer i annoncebranchen tiltag mod infrastruktur forbundet med operationen.
Google, IAB Europe, Beeswax, Eskimi og Vungle var blandt dem, der fjernede de involverede konti eller blokerede tilknyttede domæner.
Undersøgelsen viser, hvordan ondsindet annoncering kan udsætte udvalgte brugere for angreb uden nogen bevidst interaktion. Den viser også, hvorfor antallet af viste annoncer skal holdes adskilt fra antallet af bekræftede kompromitteringer.
0 svar til “Candiru-spyware spredes via zero-click-annoncer”