Citizen Lab descrive AdFection, una catena in cui annunci mirati potevano avviare la distribuzione di spyware mercenario senza che l’utente cliccasse. Gli attacchi hanno preso di mira almeno 45 dispositivi di Al Jazeera nel 2024–2025; la ricerca collega quel caso a un sistema di selezione dei bersagli, non a un’infezione automatica di chiunque vedesse un annuncio. L’analisi tecnica di Citizen Lab ricostruisce anche la portata dell’attività pubblicitaria e le contromisure adottate da diverse piattaforme.
Come un annuncio poteva avviare la catena
Nel sistema descritto da Citizen Lab, un annuncio visualizzato poteva richiedere JavaScript all’infrastruttura di Discover-Tech. Un controllo lato server stabiliva poi se il dispositivo rientrasse tra quelli selezionati. Per la selezione, Controlium poteva usare identificativi pubblicitari dei dispositivi mobili, identificativi dei cookie associati a MyDSP o Beeswax e indirizzi IP.
La maggior parte degli utenti non veniva selezionata e non riceveva JavaScript. La visualizzazione dell’annuncio poteva comunque raccogliere dati del browser, cookie e l’indirizzo IPv6 pubblico del dispositivo. Per i bersagli scelti, la catena proseguiva dall’infrastruttura di Discover-Tech a un server di convalida di Candiru, poi attraverso ulteriori attività di profilazione e infezione fino a un server di comando e controllo di Candiru.
Che cosa indica il dato sui dispositivi di Al Jazeera
Citizen Lab riferisce che gli attacchi del 2024–2025 hanno preso di mira almeno 45 dispositivi di Al Jazeera e attribuisce con alto grado di confidenza la catena a spyware di Candiru distribuito tramite annunci di Discover-Tech. La ricerca riferisce anche che alcuni dispositivi dell’organizzazione sono stati infettati; il numero di 45 riguarda i dispositivi presi di mira.
Questo aiuta a distinguere l’esposizione pubblicitaria dal percorso seguito contro bersagli selezionati: vedere un annuncio non equivale, da solo, a essere infettati.
Quanto si è estesa l’attività pubblicitaria
Per il periodo marzo–giugno 2026, Citizen Lab ha analizzato quasi quattro miliardi di record di aste pubblicitarie. MyDSP ha partecipato a 3.770.286.576 aste per impression pubblicitarie e ne ha vinte 441.954.291, pari all’11,7%. Nello stesso periodo gli annunci di Discover-Tech sono comparsi in oltre 70.000 app mobili e 120.000 siti web.
Almeno 718.748.885 offerte, circa il 19%, contenevano un tag script diretto a un server NOAS; gli annunci associati sono comparsi in 161 Paesi. Queste cifre descrivono aste, impression e diffusione degli annunci: non sono conteggi di dispositivi infettati.
Le misure adottate dalle piattaforme
All’inizio di ottobre 2026, Google e IAB Europe hanno rimosso Discover-Tech dai rispettivi registri di fornitori. Google ha inoltre interrotto l’accesso della società al proprio ad exchange. La voce di Discover-Tech nel registro di IAB Europe risulta terminata l’8 ottobre 2026.
Le altre risposte hanno riguardato servizi diversi: Beeswax ha rimosso Discover-Tech da Buyer Cloud, Vungle (Liftoff) ne ha sospeso l’accesso durante una revisione ed Eskimi ha bloccato account, utenti e domini associati. Le misure sono riportate da Citizen Lab.
Come ridurre il rischio
Citizen Lab raccomanda di usare un’estensione affidabile per bloccare gli annunci e di valutare il blocco a livello di rete, anche nelle organizzazioni. Suggerisce inoltre di installare tempestivamente gli aggiornamenti, reimpostare gli identificativi pubblicitari mobili e disattivare il tracciamento pubblicitario. Sono misure di riduzione del rischio, non una garanzia contro le infezioni da spyware.
