Candiru-spionprogram nådde enheter hos Al Jazeera Media Network genom riktade onlineannonser som inte krävde några klick. Det räckte att en skadlig annons visades på en utvald enhet för att utlösa attacken.
Forskare vid Citizen Lab gav tekniken namnet AdFection. Deras undersökning kopplade operationen till Discover-Tech, ett israeliskt företag som förmedlar kontakter mellan leverantörer av övervakningsteknik och digitala annonseringstjänster.
Bevismaterial från Al Jazeera visade att attackerna riktades mot minst 45 enheter under 2024 och 2025. Siffran innebär dock inte att samtliga utvalda enheter infekterades framgångsrikt.
Skadliga annonser identifierade enheter innan kod levererades
Enligt forskarna använde Discover-Tech sin plattform Controlium för att hjälpa kunder att identifiera och rikta in sig på specifika enheter. Plattformens funktioner omfattade även identifiering av enheter genom digitala fingeravtryck, profilering och identifiering av annars anonyma användare.
Operationen köpte annonsutrymme via etablerade annonsnätverk och annonsbörser. Inbäddad JavaScript-kod kontaktade därefter en Discover-Tech-server när en enhet visade en av annonserna.
Sedan kontrollerade servern information som IP-adresser och annonsidentifierare för att avgöra om enheten motsvarade det avsedda målet.
Utvalda enheter fick ytterligare kod. Andra enheter fick ingen ytterligare skadlig kod, vilket hjälpte operationen att undvika upptäckt samtidigt som annonserna distribuerades brett.
Eftersom processen inleddes när en annons laddades behövde offren varken klicka på en länk eller interagera med annonsen.
Utredare spårade trafiken till Candirus infrastruktur
Al Jazeera delade nätverksloggar som gjorde det möjligt för forskarna att rekonstruera attackförloppet. Anslutningarna gick från Discover-Techs infrastruktur till Candirus valideringsservrar och därefter till spionprogrammets kommando- och kontrollservrar.
Utredarna återfann också en DLL-fil från en komprometterad Windows-dator. Efter att ha jämfört dess kod och infrastruktur med tidigare insamlade prover kunde de med hög säkerhet koppla filen till Candiru.
Candiru säljer övervakningsverktyg och uppges begränsa försäljningen till statliga kunder. Företagets Windows-skadliga program, känt som DevilsTongue, kan stjäla filer, inloggningsuppgifter och meddelanden.
Tidigare undersökningar har kopplat Candiru-spionprogram till attacker mot journalister, aktivister och politiska personer. Dessa operationer utnyttjade tidigare okända sårbarheter i Windows och Chrome.
Annonsernas räckvidd var betydligt större än antalet bekräftade mål
Undersökningen avslöjade också omfattningen av annonseringsoperationen. Mellan mars och juni 2026 lade den cirka 3,77 miljarder bud och vann 442 miljoner annonsauktioner.
Annonser som forskarna bedömde innehöll skripttaggar från angriparna förekom i 75 373 Android- och iOS-appar samt på 120 768 webbplatser.
Dessa siffror beskriver dock annonsdistributionen, inte antalet lyckade infektioner med spionprogram. Målsökningssystemet kunde visa en annons för många enheter samtidigt som endast specifika enheter valdes ut för att ta emot ytterligare kod.
Forskarna uppskattade att Discover-Techs annonser dirigerade hundratusentals till miljontals användare till tillhörande domäner. Inte heller denna uppskattning visar hur många enheter angriparna komprometterade.
Tidigare resultat beskrev en liknande spridningsmetod
En separat undersökning som publicerades i slutet av 2025 beskrev en annonsbaserad infektionsmetod kopplad till spionprogrammet Predator.
Tekniken, som kallas Aladdin, blev känd genom läckta dokument och marknadsföringsmaterial från övervakningsindustrin. Utredarna stödde dessa resultat med tekniska bevis från forensiska undersökningar.
Som jämförelse spårade AdFection-undersökningen annonsinfrastrukturen genom observerade attacker fram till Candiru-spionprogrammet. Resultaten ger ytterligare bevis för att kommersiella annonssystem kan användas för mycket selektiva övervakningsoperationer.
Annonsföretag blockerade konton och domäner
Efter avslöjandena vidtog flera organisationer inom annonsbranschen åtgärder mot infrastruktur som kopplats till operationen.
Google, IAB Europe, Beeswax, Eskimi och Vungle fanns bland dem som tog bort berörda konton eller blockerade relaterade domäner.
Undersökningen visar hur skadliga annonser kan utsätta utvalda användare för attacker utan att de själva behöver interagera med innehållet. Den visar också varför antalet visade annonser måste skiljas från antalet bekräftade komprometteringar.
0 svar till ”Candiru-spionprogram sprids via zero-click-annonser”