Publicité Malveillante

🔍 Contexte Publié le 15 octobre 2026 par le Citizen Lab (Université de Toronto), ce rapport co-publié avec Confiant constitue la première confirmation technique publique d’une attaque zero-click par spyware mercenaire livrée via des publicités ciblées. Les chercheurs nomment cette technique AdFection. 🎯 Acteurs et victimes Discover-Tech Ltd (Israël, fondée en 2020) : société se présentant comme un acteur publicitaire légitime, identifiée comme facilitateur de spyware mercenaire via sa plateforme Controlium. Candiru (rebaptisé Integrity Labs après acquisition par Integrity Partners en 2025) : fournisseur de spyware mercenaire dont les outils ont été déployés via Discover-Tech. Al Jazeera : au moins 45 appareils infectés en 2024-2025 via des publicités Discover-Tech contenant le spyware Candiru. Autres partenaires identifiés : Bindecy (spyware zero-click, clients en Italie, Mexique, Colombie), Intelos (ADINT mercenaire), DARK CARTOGRAPHER (dé-anonymisation de masse via MSISDN). ⚙️ Mécanisme technique : AdFection Discover-Tech remporte une enchère RTB (Real-Time Bidding) et pousse une publicité vers un site ou une application. La publicité contient un script pointant vers un serveur NOAS (getAd server) de Discover-Tech. Le serveur NOAS évalue l’IP et l’identifiant publicitaire de l’appareil ; si la cible est éligible, il retourne du JavaScript malveillant. Ce JavaScript charge un exploit navigateur ou une iframe pointant vers un serveur validateur Candiru, puis vers un serveur C&C Candiru. L’infection est zero-click : le simple affichage de la publicité suffit. 🧰 Infrastructure Discover-Tech / Controlium Plateforme Controlium : interface permettant aux clients de cibler des utilisateurs par MAID (iOS/Android), cookie ID ou adresse IP, et de pousser des contenus malveillants via des « controlled ads ». MyDSP : DSP propriétaire connecté à Google, Yandex, Vungle, Sunteng. DSPs tiers utilisés : Beeswax (Comcast/FreeWheel), Eskimi. Synchronisation d’identifiants avec Yandex, Beeswax (bidr.io), Xandr (Microsoft Advertising). Fonctionnalité Infinite FIFO : permet de cibler un utilisateur précis une seule fois avec un payload. 3 637 213 utilisateurs éligibles identifiés sur 5 mois (janvier–juin 2026) via le serveur ppv2.mtrtb.com. 📊 Échelle des opérations Analyse de ~4 milliards d’enregistrements d’enchères (mars–juin 2026). Publicités affichées sur plus de 70 000 applications mobiles et 120 000 sites web. 718 748 885 enchères (~19%) contenaient des script tags NOAS malveillants. Pays les plus ciblés (bids NOAS) : Yémen, Pakistan, Monténégro, Brésil, Mexique, Chine, Biélorussie, Arménie, Tchéquie, Israël. Impressions détectées dans des réseaux sensibles : NATO, ONU, Parlement européen, Commission européenne, ministères de la défense, forces armées, agences cyber nationales, infrastructures critiques (Suède, Norvège, Danemark, Australie, Israël, Italie, Tchéquie, Arménie…). Applications touchées : MX Player, Lark Player, Viber, Truecaller, Snap VPN, Duolingo, Yahoo Mail, Opera Mini, Grindr, Badoo. 🦠 Attribution du spyware Candiru DLL Windows isolée sur un appareil compromis d’Al Jazeera : SHA256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8. C&C hardcodés : fearevolve[.]com, jobmarcher[.]com (Fingerprint C1). Techniques : COM hijack pour persistance, obfuscation XOR 48 octets avec null-terminator factice, vérification de connectivité via google.com et microsoft.com. 305 domaines validateurs Candiru identifiés sur 319 adresses IP (août 2022 – juillet 2026). 🏢 Réseau corporate Discover-Tech CEO : Dekel Boni ; administrateur historique : Eric Banoun (co-fondateur de Circles/NSO, Senpai/Intellexa, actionnaire d’Intelos). Actionnaire historique : Chaia Services Ltd (BVI), liée à Sara Hamou (gestionnaire du réseau Intellexa, condamnée en Grèce dans le scandale Predatorgate). Liens Wix partagés entre discover-tech.io, intelos.io, tekma-dmp.ai, tekma.io, partners.akedo.gg. Entités liées : Akedo, Volasim Ltd (Chypre), MyIPInfo, Adtimizer Ltd, Tekma. 📋 Type d’article Publication de recherche technique approfondie du Citizen Lab, visant à exposer publiquement une infrastructure de spyware mercenaire exploitant l’écosystème publicitaire programmatique, avec divulgation coordonnée aux acteurs de l’industrie. ...

📅 Source : PIXM Security, blog publié le 11 juillet 2026. Analyse basée sur des centaines de campagnes de phishing vérifiées observées sur les flottes d’entreprises protégées par PIXM en 2026. Contexte Les équipes de sécurité concentrent traditionnellement leurs défenses anti-phishing sur la messagerie d’entreprise (SEG, DMARC, sandboxes, bannières d’avertissement). PIXM documente un glissement structurel : les attaquants ont abandonné ce vecteur comme point d’entrée principal. Chiffre clé 60% des clics sur des pages de phishing vérifiées en 2026 proviennent de canaux extérieurs à la messagerie d’entreprise. Environ 40% des pages analysées portaient des empreintes de clic publicitaire directement dans leurs URLs (preuve directe, sans inférence). ...

Selon Malwarebytes, s’appuyant sur des documents internes fuités, un billet du Google Threat Analysis Group (TAG) et des vérifications d’Amnesty International, Intellexa — vendeur de spyware mercenaire — continue d’opérer sa plateforme Predator et de viser de nouvelles cibles malgré des sanctions américaines et une enquête en Grèce. Des chercheurs décrivent l’usage continu par Intellexa de zero‑days contre les navigateurs mobiles, avec une liste de 15 zero‑days uniques publiée par Google TAG. Le modèle économique repose sur l’achat de failles puis leur « brûlage » une fois patchées. Les prix évoqués incluent 100 000 à 300 000 $ pour un RCE Chrome avec contournement du sandbox prêt pour un déploiement à l’échelle, tandis que le courtier Zerodium a offert plusieurs millions (2019) pour des chaînes zero‑click complètes et persistantes sur Android et iOS. ...

Contexte: BleepingComputer rapporte que sur X, des acteurs malveillants utilisent l’assistant IA intégré Grok pour contourner des restrictions de publication de liens mises en place afin de réduire la publicité malveillante. Des acteurs malveillants exploitent Grok, l’assistant IA d’X, pour contourner les restrictions de publication de liens destinées à limiter la publicité malveillante. 🤖🔗🚫 Cette utilisation abusive permet de faire passer des liens malgré les limitations imposées par la plateforme, sapant les efforts de modération déployés pour réduire les campagnes publicitaires nuisibles. ...