AdFection : Candiru livre un spyware zero-click via des publicités ciblées contre Al Jazeera
🔍 Contexte Publié le 15 octobre 2026 par le Citizen Lab (Université de Toronto), ce rapport co-publié avec Confiant constitue la première confirmation technique publique d’une attaque zero-click par spyware mercenaire livrée via des publicités ciblées. Les chercheurs nomment cette technique AdFection. 🎯 Acteurs et victimes Discover-Tech Ltd (Israël, fondée en 2020) : société se présentant comme un acteur publicitaire légitime, identifiée comme facilitateur de spyware mercenaire via sa plateforme Controlium. Candiru (rebaptisé Integrity Labs après acquisition par Integrity Partners en 2025) : fournisseur de spyware mercenaire dont les outils ont été déployés via Discover-Tech. Al Jazeera : au moins 45 appareils infectés en 2024-2025 via des publicités Discover-Tech contenant le spyware Candiru. Autres partenaires identifiés : Bindecy (spyware zero-click, clients en Italie, Mexique, Colombie), Intelos (ADINT mercenaire), DARK CARTOGRAPHER (dé-anonymisation de masse via MSISDN). ⚙️ Mécanisme technique : AdFection Discover-Tech remporte une enchère RTB (Real-Time Bidding) et pousse une publicité vers un site ou une application. La publicité contient un script pointant vers un serveur NOAS (getAd server) de Discover-Tech. Le serveur NOAS évalue l’IP et l’identifiant publicitaire de l’appareil ; si la cible est éligible, il retourne du JavaScript malveillant. Ce JavaScript charge un exploit navigateur ou une iframe pointant vers un serveur validateur Candiru, puis vers un serveur C&C Candiru. L’infection est zero-click : le simple affichage de la publicité suffit. 🧰 Infrastructure Discover-Tech / Controlium Plateforme Controlium : interface permettant aux clients de cibler des utilisateurs par MAID (iOS/Android), cookie ID ou adresse IP, et de pousser des contenus malveillants via des « controlled ads ». MyDSP : DSP propriétaire connecté à Google, Yandex, Vungle, Sunteng. DSPs tiers utilisés : Beeswax (Comcast/FreeWheel), Eskimi. Synchronisation d’identifiants avec Yandex, Beeswax (bidr.io), Xandr (Microsoft Advertising). Fonctionnalité Infinite FIFO : permet de cibler un utilisateur précis une seule fois avec un payload. 3 637 213 utilisateurs éligibles identifiés sur 5 mois (janvier–juin 2026) via le serveur ppv2.mtrtb.com. 📊 Échelle des opérations Analyse de ~4 milliards d’enregistrements d’enchères (mars–juin 2026). Publicités affichées sur plus de 70 000 applications mobiles et 120 000 sites web. 718 748 885 enchères (~19%) contenaient des script tags NOAS malveillants. Pays les plus ciblés (bids NOAS) : Yémen, Pakistan, Monténégro, Brésil, Mexique, Chine, Biélorussie, Arménie, Tchéquie, Israël. Impressions détectées dans des réseaux sensibles : NATO, ONU, Parlement européen, Commission européenne, ministères de la défense, forces armées, agences cyber nationales, infrastructures critiques (Suède, Norvège, Danemark, Australie, Israël, Italie, Tchéquie, Arménie…). Applications touchées : MX Player, Lark Player, Viber, Truecaller, Snap VPN, Duolingo, Yahoo Mail, Opera Mini, Grindr, Badoo. 🦠 Attribution du spyware Candiru DLL Windows isolée sur un appareil compromis d’Al Jazeera : SHA256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8. C&C hardcodés : fearevolve[.]com, jobmarcher[.]com (Fingerprint C1). Techniques : COM hijack pour persistance, obfuscation XOR 48 octets avec null-terminator factice, vérification de connectivité via google.com et microsoft.com. 305 domaines validateurs Candiru identifiés sur 319 adresses IP (août 2022 – juillet 2026). 🏢 Réseau corporate Discover-Tech CEO : Dekel Boni ; administrateur historique : Eric Banoun (co-fondateur de Circles/NSO, Senpai/Intellexa, actionnaire d’Intelos). Actionnaire historique : Chaia Services Ltd (BVI), liée à Sara Hamou (gestionnaire du réseau Intellexa, condamnée en Grèce dans le scandale Predatorgate). Liens Wix partagés entre discover-tech.io, intelos.io, tekma-dmp.ai, tekma.io, partners.akedo.gg. Entités liées : Akedo, Volasim Ltd (Chypre), MyIPInfo, Adtimizer Ltd, Tekma. 📋 Type d’article Publication de recherche technique approfondie du Citizen Lab, visant à exposer publiquement une infrastructure de spyware mercenaire exploitant l’écosystème publicitaire programmatique, avec divulgation coordonnée aux acteurs de l’industrie. ...