Citizen Lab meldt dat minstens 45 apparaten van Al Jazeera in 2024 en 2025 doelwit waren van spywareaanvallen via gerichte advertenties van Discover-Tech. De onderzoekers noemen de route AdFection: advertentiecode kon al bij het tonen van een advertentie worden uitgevoerd en zo een aanval starten zonder dat iemand hoefde te klikken. Citizen Lab schrijft de spyware met hoge zekerheid toe aan Candiru. Lees het rapport van Citizen Lab.
Hoe een advertentie zonder klik een exploit kon laden
Een zero-click-aanval vereist geen handeling van het slachtoffer. In de beschreven route kon code worden uitgevoerd zodra een advertentie werd weergegeven. Identificatoren konden bepalen of een apparaat een doelwit was; bij een geschikte match kon de advertentiecode extra JavaScript ophalen en een browserexploit laden. Een exploit is code die misbruik maakt van een kwetsbaarheid in software.
Citizen Lab beschrijft Controlium, een platform van Discover-Tech, als een systeem om apparaten te profileren, te identificeren en te selecteren voor automatische infectie via advertenties. De onderzoekers zeggen niet dat iedere advertentie van Discover-Tech voor dit doel werd ingezet.
Welk technisch bewijs Citizen Lab aan Candiru koppelt
De netwerklogs van de onderzochte apparaten lieten eerst contact met Discover-Tech-infrastructuur zien, gevolgd door verbindingen met een Candiru-validatieserver en een command-and-controlserver. Dat laatste is een server waarmee spyware opdrachten kan ontvangen of gegevens kan versturen.
Op een gecompromitteerd apparaat vonden de onderzoekers een Windows-DLL met vooraf ingestelde command-and-controlservers die overeenkwamen met de Candiru-kenmerken die Citizen Lab had vastgesteld. De analyse wees ook op COM-hijacking om aanwezig te blijven, herhaalde XOR-versleuteling met een patroon van 48 bytes en netwerkcontroles in dezelfde volgorde als bij een eerder Candiru-sample. Citizen Lab baseerde zijn toeschrijving op die combinatie van netwerksporen en malwarekenmerken.
Wat de bereikcijfers tellen
Tussen maart en juni 2026 verschenen advertenties met aanvallerscripts volgens Citizen Lab in 75.373 Android- en iOS-apps en op 120.768 websites. Dat zijn aantallen advertentieplaatsingen, geen bevestigde infecties. Een afzonderlijk cijfer van 3.637.213 betreft gebruikers die tussen januari en juni 2026 als geschikt voor targeting werden geteld bij één infrastructuur-endpoint; ook dat is geen infectietotaal.
De cijfers beschrijven dus verschillende stappen: advertenties konden op veel plekken verschijnen, terwijl identificatoren de codelevering tot geselecteerde doelen konden beperken. De onderzoekers waarschuwen bovendien dat niet alle advertenties van Discover-Tech noodzakelijkerwijs waren bewapend.
Welke platforms ingrepen
Google blokkeerde Discover-Tech van zijn advertentieplatforms en stelde Safe Browsing-waarschuwingen in voor websites die aan de groep waren gelinkt. Google beschreef die acties na een gezamenlijk onderzoek met Citizen Lab en Confiant tegenover WIRED. WIRED berichtte ook over de platformreacties.
Citizen Lab dateert de verwijdering van Discover-Tech uit de Global Vendor List van IAB Europe op 8 oktober 2026. WIRED omschreef die ingreep als een schorsing; een woordvoerder van IAB Europe zei dat verdere bevestiging van de spywarebevindingen een definitieve verwijdering kon rechtvaardigen. Beeswax verwijderde Discover-Tech van zijn platform. Citizen Lab meldt daarnaast dat Eskimi accounts, gebruikers en domeinen blokkeerde en dat Vungle/Liftoff de toegang pauzeerde in afwachting van een beoordeling.
Als voorzorgsmaatregel adviseert Citizen Lab advertenties zowel op apparaten als via de gateways van organisaties te blokkeren.
