Citizen Lab collega almeno 45 dispositivi di Al Jazeera, presi di mira nel 2024 e nel 2025, a una campagna di spyware senza clic veicolata tramite annunci di Discover-Tech. Il laboratorio attribuisce con alta confidenza lo spyware a Candiru e descrive un meccanismo in cui il codice pubblicitario poteva attivarsi appena l’annuncio veniva mostrato, senza che la persona dovesse toccarlo. Il rapporto di Citizen Lab ricostruisce sia il percorso tecnico sia le tracce che collegano i dispositivi alla campagna.
Come un annuncio poteva caricare un exploit senza clic
Nel meccanismo descritto da Citizen Lab, il codice eseguito al caricamento dell’annuncio poteva recuperare altro JavaScript, cioè codice aggiuntivo, e caricare un exploit del browser: un programma che sfrutta una vulnerabilità per avviare l’attacco. Gli identificatori usati per selezionare i bersagli permettevano di inviare altro codice agli utenti ritenuti idonei; agli altri il server poteva rispondere senza fornire codice. Per questo, nella catena ricostruita, bastava che l’annuncio venisse visualizzato: non era necessario cliccarlo.
Il rapporto descrive Controlium, la piattaforma di Discover-Tech, come uno strumento per profilare e identificare i dispositivi e selezionare i bersagli dell’infezione automatica. La sequenza non equivale a dire che ogni annuncio dell’azienda fosse armato: Citizen Lab precisa che non tutti gli annunci erano necessariamente usati per distribuire lo spyware.
Le tracce che collegano la campagna a Candiru
Nei log di rete dei dispositivi di Al Jazeera, Citizen Lab ha ricostruito contatti prima con l’infrastruttura di Discover-Tech, poi con un server di validazione di Candiru e con i suoi server di comando e controllo, che impartiscono istruzioni allo spyware. Una DLL per Windows recuperata da un dispositivo compromesso conteneva indirizzi di server di comando e controllo corrispondenti all’impronta tecnica che il laboratorio associa a Candiru.
Il campione esaminato usava inoltre il COM hijacking, una tecnica di Windows, per mantenere la persistenza; applicava una semplice offuscazione XOR ripetuta ogni 48 byte e svolgeva controlli di connettività nello stesso ordine di un precedente campione attribuito a Candiru. Citizen Lab ha valutato con alta confidenza l’attribuzione dello spyware a Candiru, indicata nel rapporto come poi ribattezzata Integrity Labs.
Che cosa misurano i numeri di portata
Tra marzo e giugno 2026, gli annunci con script dell’attaccante sono comparsi in 75.373 app Android e iOS e su 120.768 siti web, secondo l’analisi di Citizen Lab. Sono conteggi di posizionamenti pubblicitari, non di dispositivi infettati. Separatamente, un endpoint dell’infrastruttura ha contato 3.637.213 utenti idonei tra gennaio e giugno 2026: il dato riguarda persone che potevano essere selezionate, non infezioni confermate.
Il rapporto analizza inoltre quasi quattro miliardi di registrazioni pubbliche delle aste pubblicitarie. In questo insieme, MyDSP ha presentato 3.770.286.576 offerte e ne ha vinte 441.954.291, pari all’11,7% delle offerte. Almeno 718.748.885 offerte, circa il 19%, sembravano riguardare annunci con uno script diretto a un server NOAS. Questi volumi descrivono l’attività pubblicitaria osservata e non quantificano le infezioni.
Le risposte delle piattaforme e la misura consigliata
Google ha dichiarato a WIRED di aver bloccato Discover-Tech dalle proprie piattaforme pubblicitarie e di aver attivato avvisi di Navigazione sicura per i siti collegati al gruppo; Citizen Lab colloca la cessazione dell’accesso agli ad exchange di Google all’inizio di ottobre 2026. WIRED ha riportato la dichiarazione di Google. Citizen Lab riferisce inoltre che IAB Europe ha rimosso Discover-Tech dalla Global Vendor List l’8 ottobre 2026.
Beeswax ha dichiarato di aver rimosso Discover-Tech dalla propria piattaforma. Citizen Lab riferisce anche che Eskimi ha bloccato account, utenti e domini collegati, mentre Vungle/Liftoff ha sospeso l’accesso in attesa di una revisione.
Per ridurre il rischio, Citizen Lab raccomanda di bloccare gli annunci sia sui dispositivi sia ai gateway delle organizzazioni. È una misura di mitigazione, non una garanzia di protezione da AdFection.
