Citizen Lab rapporte qu’au moins 45 appareils d’Al Jazeera ont été ciblés en 2024 et 2025 par une chaîne de spyware sans clic, liée à des publicités de Discover-Tech et à Candiru. Dans le scénario décrit, le code pouvait s’exécuter dès l’affichage de l’annonce : cliquer n’était pas nécessaire. Le rapport de Citizen Lab attribue le logiciel espion à Candiru avec un haut niveau de confiance.
Comment une publicité pouvait charger un exploit sans clic
Le code intégré à une annonce pouvait s’exécuter au moment de son affichage, puis récupérer du JavaScript supplémentaire et charger un exploit de navigateur — un code qui tire parti d’une faille pour compromettre un appareil. Des identifiants servaient à sélectionner les cibles : le serveur pouvait transmettre le code aux personnes éligibles et ne rien renvoyer aux autres.
Citizen Lab décrit Controlium, la plateforme de Discover-Tech, comme un outil de profilage et d’identification des appareils, utilisé pour sélectionner des cibles d’infection automatique lors de l’affichage d’une publicité. Ce mécanisme explique pourquoi l’utilisateur n’avait pas besoin de cliquer sur l’annonce.
Les traces qui relient la campagne à Candiru
Les journaux réseau des appareils étudiés ont montré des connexions à l’infrastructure de Discover-Tech, puis à un serveur de validation et à un serveur de commande et de contrôle associés à Candiru. Une DLL Windows récupérée sur un appareil compromis contenait des adresses de serveurs correspondant à l’empreinte de Candiru utilisée par Citizen Lab.
Les chercheurs ont aussi relevé dans cet échantillon un détournement de COM pour assurer la persistance, une obfuscation XOR répétée sur 48 octets et des vérifications de connectivité réseau dans le même ordre que dans un échantillon antérieur de Candiru. Citizen Lab s’appuie sur ces éléments pour attribuer le spyware à Candiru avec un haut niveau de confiance. Le rapport indique que Candiru a ensuite été rebaptisée Integrity Labs.
Ce que mesurent les chiffres de portée
Entre mars et juin 2026, Citizen Lab a recensé des annonces comportant des scripts d’attaque dans 75 373 applications Android et iOS et 120 768 sites web. Ces nombres comptent des emplacements où des publicités ont été diffusées, pas des appareils infectés. Les annonces de Discover-Tech n’étaient pas nécessairement toutes piégées.
Un autre chiffre porte sur une autre mesure et une autre période : de janvier à juin 2026, un point de terminaison d’une infrastructure a comptabilisé 3 637 213 utilisateurs éligibles. Ce total désigne des utilisateurs susceptibles d’être ciblés, et non des infections confirmées.
Les réponses des plateformes
Google a indiqué à WIRED avoir bloqué Discover-Tech sur ses plateformes publicitaires après une enquête menée avec Citizen Lab et Confiant. Google a également mis en place des avertissements Safe Browsing pour les sites liés au groupe, selon le compte rendu de WIRED. Citizen Lab situe la fin de l’accès de Discover-Tech aux plateformes d’échange publicitaire de Google au début d’octobre 2026.
Le 8 octobre 2026, IAB Europe a retiré Discover-Tech de sa Global Vendor List, selon Citizen Lab ; WIRED décrit la mesure comme une suspension. Beeswax a déclaré avoir retiré l’entreprise de sa plateforme. Citizen Lab rapporte aussi qu’Eskimi a bloqué des comptes, des utilisateurs et des domaines associés, tandis que Vungle/Liftoff a suspendu l’accès dans l’attente d’un examen.
Pour réduire le risque, Citizen Lab recommande de bloquer les publicités sur les appareils et aux passerelles des organisations. Le laboratoire présente cette mesure comme une mitigation, pas comme une garantie contre AdFection.
