Citizen Lab relacionó al menos 45 dispositivos de Al Jazeera atacados entre 2024 y 2025 con spyware atribuido a Candiru, y describe una vía sin clic: el código de un anuncio dirigido podía ejecutarse al mostrarse y cargar un exploit. El informe de Citizen Lab explica la cadena técnica y las pruebas que respaldan esa atribución.
Cómo podía funcionar un ataque sin clic
Según Citizen Lab, el código del anuncio podía ejecutarse cuando este aparecía en una aplicación o página web. Los identificadores servían para seleccionar objetivos elegibles; después, el código podía recuperar JavaScript adicional y cargar un exploit del navegador, es decir, código que aprovecha una vulnerabilidad. La persona no tenía que pulsar el anuncio.
La secuencia descrita por los investigadores ayuda a entender por qué la publicidad dirigida podía servir para una infección selectiva: el sistema podía enviar código solo a los objetivos elegidos. Citizen Lab llamó AdFection a esta vía de entrega de spyware.
Qué pruebas relacionó Citizen Lab con Candiru
Los registros de red de dispositivos de Al Jazeera mostraron contactos primero con infraestructura de Discover-Tech y después con un servidor validador y servidores de mando y control de Candiru. Además, una DLL de Windows recuperada de un dispositivo comprometido contenía servidores de mando y control que coincidían con la huella técnica de Candiru identificada por Citizen Lab. Los investigadores calificaron la atribución como de alta confianza.
El análisis de la muestra también describió una técnica de persistencia basada en COM hijacking, ofuscación XOR repetida cada 48 bytes y comprobaciones de conectividad en el mismo orden que una muestra anterior de Candiru. Son detalles técnicos que complementan la secuencia de red: la atribución no se apoya únicamente en que un dispositivo recibiera un anuncio.
Qué cuentan las cifras de alcance
Entre marzo y junio de 2026, los anuncios con etiquetas de script atacante aparecieron en 75.373 aplicaciones Android e iOS y 120.768 sitios web, según Citizen Lab. Esas cifras cuentan ubicaciones de anuncios, no dispositivos infectados. El informe también señala que no necesariamente todos los anuncios de Discover-Tech estaban armados.
Otra cifra mide algo distinto: de enero a junio de 2026, un endpoint de infraestructura contabilizó 3.637.213 usuarios elegibles. Se trata de personas que podían ser seleccionadas por ese sistema, no de infecciones confirmadas. Tampoco debe mezclarse con los al menos 45 dispositivos de Al Jazeera vinculados a los ataques de 2024 y 2025.
Las respuestas de las plataformas y la medida recomendada
Google bloqueó a Discover-Tech en sus plataformas publicitarias y activó avisos de Safe Browsing para sitios web vinculados al grupo. Google comunicó esas medidas a WIRED y dijo que surgieron de una investigación conjunta con Citizen Lab y Confiant. Citizen Lab sitúa a comienzos de octubre de 2026 la terminación del acceso de Discover-Tech a las plataformas de intercambio publicitario de Google.
Citizen Lab fecha el 8 de octubre de 2026 la retirada de Discover-Tech de la Global Vendor List de IAB Europe. También informó de que Beeswax retiró a la empresa de su plataforma, Eskimi bloqueó cuentas, usuarios y dominios relacionados, y Vungle/Liftoff pausó el acceso mientras revisaba el caso.
Para reducir la exposición, Citizen Lab recomienda bloquear anuncios tanto en los propios dispositivos como en las redes de las organizaciones. La medida reduce una vía de riesgo, pero no constituye una garantía frente a AdFection.
