Citizen Lab beschrijft AdFection, een methode waarbij gerichte advertenties spyware konden afleveren zonder dat iemand op de advertentie klikte. De aanval richtte zich op geselecteerde apparaten: Citizen Lab meldt dat in 2024 en 2025 minstens 45 apparaten van Al Jazeera doelwit waren. Dat aantal betreft doelwitten, niet een telling van geslaagde infecties. De technische analyse van Citizen Lab noemt AdFection de eerste publieke technische bevestiging van mercenary spyware die via gerichte advertenties werd afgeleverd.
Hoe de advertentieketen werkte
Een weergegeven advertentie kon JavaScript opvragen bij de infrastructuur van Discover-Tech. Een server controleerde vervolgens of de bezoeker voor de aanval was geselecteerd. De meeste gebruikers kregen geen JavaScript, maar de advertentie kon bij het laden wel browsergegevens, cookies en het publieke IPv6-adres van het apparaat verzamelen.
Voor die selectie ondersteunde Controlium het gebruik van mobiele advertentie-ID’s, cookie-ID’s en IP-adressen. Bij geselecteerde doelwitten liep de beschreven route van Discover-Tech naar een validatieserver van spywareleverancier Candiru, daarna via verdere profilering en infectie naar een command-and-controlserver. Candiru heet inmiddels Integrity Labs; Citizen Lab schrijft de aanvallen op Al Jazeera met hoge mate van zekerheid aan Candiru toe.
Wat een advertentie en de Al Jazeera-cijfers betekenen
Een advertentie zien betekende dus niet automatisch dat een apparaat met spyware werd besmet. De keten maakte onderscheid tussen het laden van advertenties, het verzamelen van gegevens en het selecteren van doelwitten voor de aanval. Citizen Lab meldt dat apparaten van Al Jazeera geïnfecteerd raakten en dat in 2024–2025 minstens 45 apparaten doelwit waren. Die 45 is het aantal doelwitten, niet een bevestigde telling van infecties.
Wat de advertentiegegevens over het bereik laten zien
Citizen Lab analyseerde bijna vier miljard biedingsrecords uit maart tot en met juni 2026. MyDSP, het advertentieplatform van Discover-Tech, deed in die periode 3.770.286.576 biedingen op advertentievertoningen en won er 441.954.291: 11,7 procent van zijn biedingen. Advertenties van Discover-Tech verschenen in meer dan 70.000 mobiele apps en op 120.000 websites.
Minstens 718.748.885 biedingen, ongeveer 19 procent, bevatten een scriptverwijzing naar een NOAS-server. Advertenties met die verwijzing verschenen in 161 landen. Deze cijfers beschrijven biedingen en advertentiebereik; ze tellen geen spyware-infecties.
Welke stappen advertentieplatforms zetten
In oktober 2026 beperkten verschillende partijen de toegang van Discover-Tech, maar niet op dezelfde manier. Google verwijderde het bedrijf uit zijn registers en beëindigde de toegang tot zijn advertentiebeurs. Ook IAB Europe haalde Discover-Tech uit zijn leveranciersregister; de vermelding eindigde op 8 oktober 2026. Beeswax verwijderde het bedrijf uit Buyer Cloud, Vungle (Liftoff) pauzeerde de toegang tijdens een beoordeling en Eskimi blokkeerde accounts, gebruikers en domeinen.
Maatregelen om risico te beperken
Citizen Lab beveelt het gebruik aan van een betrouwbare advertentieblokkerende browserextensie en blokkering op netwerk- of organisatieniveau. Het adviseert ook apparaten op tijd bij te werken, mobiele advertentie-ID’s opnieuw in te stellen en advertentietracking uit te schakelen. De aanbevelingen sluiten aan op de beschreven route: ze beperken advertentieweergave of het gebruik van advertentie-identificatoren, terwijl updates een afzonderlijke beschermingsmaatregel zijn.
