🔍 Contexte

Publié le 15 octobre 2026 par le Citizen Lab (Université de Toronto), ce rapport co-publié avec Confiant constitue la première confirmation technique publique d’une attaque zero-click par spyware mercenaire livrée via des publicités ciblées. Les chercheurs nomment cette technique AdFection.

🎯 Acteurs et victimes

  • Discover-Tech Ltd (Israël, fondée en 2020) : société se présentant comme un acteur publicitaire légitime, identifiée comme facilitateur de spyware mercenaire via sa plateforme Controlium.
  • Candiru (rebaptisé Integrity Labs après acquisition par Integrity Partners en 2025) : fournisseur de spyware mercenaire dont les outils ont été déployés via Discover-Tech.
  • Al Jazeera : au moins 45 appareils infectés en 2024-2025 via des publicités Discover-Tech contenant le spyware Candiru.
  • Autres partenaires identifiés : Bindecy (spyware zero-click, clients en Italie, Mexique, Colombie), Intelos (ADINT mercenaire), DARK CARTOGRAPHER (dé-anonymisation de masse via MSISDN).

⚙️ Mécanisme technique : AdFection

  1. Discover-Tech remporte une enchère RTB (Real-Time Bidding) et pousse une publicité vers un site ou une application.
  2. La publicité contient un script pointant vers un serveur NOAS (getAd server) de Discover-Tech.
  3. Le serveur NOAS évalue l’IP et l’identifiant publicitaire de l’appareil ; si la cible est éligible, il retourne du JavaScript malveillant.
  4. Ce JavaScript charge un exploit navigateur ou une iframe pointant vers un serveur validateur Candiru, puis vers un serveur C&C Candiru.
  5. L’infection est zero-click : le simple affichage de la publicité suffit.

🧰 Infrastructure Discover-Tech / Controlium

  • Plateforme Controlium : interface permettant aux clients de cibler des utilisateurs par MAID (iOS/Android), cookie ID ou adresse IP, et de pousser des contenus malveillants via des « controlled ads ».
  • MyDSP : DSP propriétaire connecté à Google, Yandex, Vungle, Sunteng.
  • DSPs tiers utilisés : Beeswax (Comcast/FreeWheel), Eskimi.
  • Synchronisation d’identifiants avec Yandex, Beeswax (bidr.io), Xandr (Microsoft Advertising).
  • Fonctionnalité Infinite FIFO : permet de cibler un utilisateur précis une seule fois avec un payload.
  • 3 637 213 utilisateurs éligibles identifiés sur 5 mois (janvier–juin 2026) via le serveur ppv2.mtrtb.com.

📊 Échelle des opérations

  • Analyse de ~4 milliards d’enregistrements d’enchères (mars–juin 2026).
  • Publicités affichées sur plus de 70 000 applications mobiles et 120 000 sites web.
  • 718 748 885 enchères (~19%) contenaient des script tags NOAS malveillants.
  • Pays les plus ciblés (bids NOAS) : Yémen, Pakistan, Monténégro, Brésil, Mexique, Chine, Biélorussie, Arménie, Tchéquie, Israël.
  • Impressions détectées dans des réseaux sensibles : NATO, ONU, Parlement européen, Commission européenne, ministères de la défense, forces armées, agences cyber nationales, infrastructures critiques (Suède, Norvège, Danemark, Australie, Israël, Italie, Tchéquie, Arménie…).
  • Applications touchées : MX Player, Lark Player, Viber, Truecaller, Snap VPN, Duolingo, Yahoo Mail, Opera Mini, Grindr, Badoo.

🦠 Attribution du spyware Candiru

  • DLL Windows isolée sur un appareil compromis d’Al Jazeera : SHA256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8.
  • C&C hardcodés : fearevolve[.]com, jobmarcher[.]com (Fingerprint C1).
  • Techniques : COM hijack pour persistance, obfuscation XOR 48 octets avec null-terminator factice, vérification de connectivité via google.com et microsoft.com.
  • 305 domaines validateurs Candiru identifiés sur 319 adresses IP (août 2022 – juillet 2026).

🏢 Réseau corporate Discover-Tech

  • CEO : Dekel Boni ; administrateur historique : Eric Banoun (co-fondateur de Circles/NSO, Senpai/Intellexa, actionnaire d’Intelos).
  • Actionnaire historique : Chaia Services Ltd (BVI), liée à Sara Hamou (gestionnaire du réseau Intellexa, condamnée en Grèce dans le scandale Predatorgate).
  • Liens Wix partagés entre discover-tech.io, intelos.io, tekma-dmp.ai, tekma.io, partners.akedo.gg.
  • Entités liées : Akedo, Volasim Ltd (Chypre), MyIPInfo, Adtimizer Ltd, Tekma.

📋 Type d’article

Publication de recherche technique approfondie du Citizen Lab, visant à exposer publiquement une infrastructure de spyware mercenaire exploitant l’écosystème publicitaire programmatique, avec divulgation coordonnée aux acteurs de l’industrie.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Candiru (cybercriminal) — orkl.eu · Malpedia
  • Discover-Tech (cybercriminal) —
  • Bindecy (cybercriminal) —
  • Intelos (cybercriminal) —
  • DARK CARTOGRAPHER (unknown) —

TTP

  • T1189 — Drive-by Compromise (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)
  • T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Persistence)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1590 — Gather Victim Network Information (Reconnaissance)
  • T1592 — Gather Victim Host Information (Reconnaissance)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 28 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Candiru Windows Spyware (rat)
  • Controlium (tool)
  • MyDSP (tool)

🟢 Indice de vérification factuelle : 80/100 (haute)

  • ⬜ citizenlab.ca — source non référencée (0pts)
  • ✅ 160901 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 68 IOCs dont des hashes (15pts)
  • ✅ 3/7 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Candiru, Discover-Tech, Bindecy (5pts)
  • ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 255869de85e2a171… (sha256) → VT (56/76 détections) + ThreatFox (Predator)
  • sharethere.net (domain) → VT (3/92 détections)
  • fearevolve.com (domain) → VT (12/92 détections)

🔗 Source originale : https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/