Reklama kierowana mogła uruchomić łańcuch dostarczania spyware bez kliknięcia. Citizen Lab opisało tę metodę, nazwaną AdFection, w analizie technicznej dotyczącej Discover-Tech. W latach 2024–2025 celem ataków były urządzenia w Al Jazeera; co najmniej 45 urządzeń objęto targetowaniem.
Jak reklama mogła uruchomić łańcuch spyware
Po wyświetleniu reklamy urządzenie mogło zażądać kodu JavaScript z infrastruktury Discover-Tech. Serwer sprawdzał, czy odbiorca kwalifikuje się do dalszego etapu. Większość użytkowników nie otrzymywała JavaScriptu, ale reklama mogła zbierać dane przeglądarki, pliki cookie i publiczny adres IPv6 urządzenia.
Discover-Tech używało platform Controlium i MyDSP. Controlium pozwalało kierować reklamy na podstawie mobilnych identyfikatorów reklamowych, identyfikatorów plików cookie MyDSP lub Beeswax oraz adresów IP. W przypadku wybranego celu infrastruktura Discover-Tech kontaktowała się z serwerem weryfikacyjnym Candiru. Następowały dalsze profilowanie i infekcja, a potem połączenie z serwerem dowodzenia i kontroli Candiru.
Co oznacza liczba urządzeń Al Jazeera
Citizen Lab przypisało ataki na urządzenia Al Jazeera z lat 2024–2025 z dużą pewnością spyware Candiru dostarczanemu przez reklamy Discover-Tech. Co najmniej 45 urządzeń było celem kampanii; ta liczba dotyczy urządzeń wytypowanych do ataku. Citizen Lab odnotowało również infekcje urządzeń w organizacji.
Skala aktywności reklamowej
W okresie od marca do czerwca 2026 roku Citizen Lab przeanalizowało niemal 4 miliardy ujawnionych rekordów aukcji reklamowych. MyDSP złożyło 3 770 286 576 ofert dotyczących wyświetleń reklam i wygrało 441 954 291 aukcji, czyli 11,7 proc. swoich ofert.
W tym samym okresie reklamy Discover-Tech pojawiały się w ponad 70 000 aplikacji mobilnych i 120 000 witryn. Co najmniej 718 748 885 ofert — około 19 proc. — dotyczyło reklam ze znacznikiem skryptu wskazującym serwer NOAS. Takie reklamy wyświetlano w 161 krajach. To miary aktywności reklamowej i zasięgu emisji.
Jak platformy ograniczyły dostęp Discover-Tech
Na początku października 2026 roku Google i IAB Europe usunęły Discover-Tech ze swoich rejestrów. Google zakończyło również dostęp firmy do swojej giełdy reklam; wpis Discover-Tech w rejestrze IAB Europe wygasł 8 października 2026 roku. Beeswax usunęło firmę z Buyer Cloud, Vungle (Liftoff) wstrzymało jej dostęp na czas przeglądu, a Eskimi zablokowało jej konta, użytkowników i domeny.
Jak ograniczyć ryzyko
Citizen Lab zaleca korzystanie z zaufanych rozszerzeń blokujących reklamy oraz blokowanie reklam na poziomie sieci. Wskazuje też na aktualizowanie oprogramowania, resetowanie mobilnego identyfikatora reklamowego i wyłączanie śledzenia reklam. Są to środki ograniczające ryzyko, nie gwarancja ochrony przed spyware.
