AdFection : Candiru livre un spyware zero-click via des publicités ciblées contre Al Jazeera

Wed, 28 Oct 2026 00:00:00 +0100

🔍 Contexte

Publié le 15 octobre 2026 par le Citizen Lab (Université de Toronto), ce rapport co-publié avec Confiant constitue la première confirmation technique publique d’une attaque zero-click par spyware mercenaire livrée via des publicités ciblées. Les chercheurs nomment cette technique AdFection.

🎯 Acteurs et victimes

Discover-Tech Ltd (Israël, fondée en 2020) : société se présentant comme un acteur publicitaire légitime, identifiée comme facilitateur de spyware mercenaire via sa plateforme Controlium.
Candiru (rebaptisé Integrity Labs après acquisition par Integrity Partners en 2025) : fournisseur de spyware mercenaire dont les outils ont été déployés via Discover-Tech.
Al Jazeera : au moins 45 appareils infectés en 2024-2025 via des publicités Discover-Tech contenant le spyware Candiru.
Autres partenaires identifiés : Bindecy (spyware zero-click, clients en Italie, Mexique, Colombie), Intelos (ADINT mercenaire), DARK CARTOGRAPHER (dé-anonymisation de masse via MSISDN).

⚙️ Mécanisme technique : AdFection

Discover-Tech remporte une enchère RTB (Real-Time Bidding) et pousse une publicité vers un site ou une application.
La publicité contient un script pointant vers un serveur NOAS (getAd server) de Discover-Tech.
Le serveur NOAS évalue l’IP et l’identifiant publicitaire de l’appareil ; si la cible est éligible, il retourne du JavaScript malveillant.
Ce JavaScript charge un exploit navigateur ou une iframe pointant vers un serveur validateur Candiru, puis vers un serveur C&C Candiru.
L’infection est zero-click : le simple affichage de la publicité suffit.

🧰 Infrastructure Discover-Tech / Controlium

Plateforme Controlium : interface permettant aux clients de cibler des utilisateurs par MAID (iOS/Android), cookie ID ou adresse IP, et de pousser des contenus malveillants via des « controlled ads ».
MyDSP : DSP propriétaire connecté à Google, Yandex, Vungle, Sunteng.
DSPs tiers utilisés : Beeswax (Comcast/FreeWheel), Eskimi.
Synchronisation d’identifiants avec Yandex, Beeswax (bidr.io), Xandr (Microsoft Advertising).
Fonctionnalité Infinite FIFO : permet de cibler un utilisateur précis une seule fois avec un payload.
3 637 213 utilisateurs éligibles identifiés sur 5 mois (janvier–juin 2026) via le serveur ppv2.mtrtb.com.

📊 Échelle des opérations

Analyse de ~4 milliards d’enregistrements d’enchères (mars–juin 2026).
Publicités affichées sur plus de 70 000 applications mobiles et 120 000 sites web.
718 748 885 enchères (~19%) contenaient des script tags NOAS malveillants.
Pays les plus ciblés (bids NOAS) : Yémen, Pakistan, Monténégro, Brésil, Mexique, Chine, Biélorussie, Arménie, Tchéquie, Israël.
Impressions détectées dans des réseaux sensibles : NATO, ONU, Parlement européen, Commission européenne, ministères de la défense, forces armées, agences cyber nationales, infrastructures critiques (Suède, Norvège, Danemark, Australie, Israël, Italie, Tchéquie, Arménie…).
Applications touchées : MX Player, Lark Player, Viber, Truecaller, Snap VPN, Duolingo, Yahoo Mail, Opera Mini, Grindr, Badoo.

🦠 Attribution du spyware Candiru

DLL Windows isolée sur un appareil compromis d’Al Jazeera : SHA256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8.
C&C hardcodés : fearevolve[.]com, jobmarcher[.]com (Fingerprint C1).
Techniques : COM hijack pour persistance, obfuscation XOR 48 octets avec null-terminator factice, vérification de connectivité via google.com et microsoft.com.
305 domaines validateurs Candiru identifiés sur 319 adresses IP (août 2022 – juillet 2026).

🏢 Réseau corporate Discover-Tech

CEO : Dekel Boni ; administrateur historique : Eric Banoun (co-fondateur de Circles/NSO, Senpai/Intellexa, actionnaire d’Intelos).
Actionnaire historique : Chaia Services Ltd (BVI), liée à Sara Hamou (gestionnaire du réseau Intellexa, condamnée en Grèce dans le scandale Predatorgate).
Liens Wix partagés entre discover-tech.io, intelos.io, tekma-dmp.ai, tekma.io, partners.akedo.gg.
Entités liées : Akedo, Volasim Ltd (Chypre), MyIPInfo, Adtimizer Ltd, Tekma.

📋 Type d’article

Publication de recherche technique approfondie du Citizen Lab, visant à exposer publiquement une infrastructure de spyware mercenaire exploitant l’écosystème publicitaire programmatique, avec divulgation coordonnée aux acteurs de l’industrie.

MyDSP on CyberVeille