A Citizen Lab descreve o AdFection, uma cadeia em que anúncios direcionados podiam levar spyware mercenário a dispositivos sem que a pessoa clicasse neles. Nos ataques à Al Jazeera, ocorridos em 2024 e 2025, pelo menos 45 dispositivos foram alvos — um número que não corresponde a 45 infecções confirmadas. A Citizen Lab atribui a campanha, com alto grau de confiança, ao spyware da Candiru entregue por meio de anúncios da Discover-Tech; a organização chama o caso de primeira confirmação técnica pública desse tipo de distribuição por publicidade direcionada. Leia a investigação técnica da Citizen Lab.
Como a cadeia de anúncios selecionava os alvos
O anúncio exibido podia solicitar JavaScript à infraestrutura da Discover-Tech. Um servidor verificava se o aparelho atendia aos critérios de seleção; segundo a Citizen Lab, a maioria das pessoas não era selecionada e não recebia JavaScript. Para escolher alvos, a plataforma Controlium podia usar identificadores de publicidade do celular, IDs de cookies do MyDSP ou da Beeswax e endereços IP.
A ausência de JavaScript não eliminava toda coleta: anúncios renderizados ainda podiam obter dados do navegador, cookies e o endereço IPv6 público do aparelho. Para os alvos selecionados, a cadeia descrita passava da infraestrutura da Discover-Tech a um servidor validador da Candiru, seguia com mais perfilamento e infecção e chegava a um servidor de comando e controle da Candiru.
O alcance da publicidade e o número de dispositivos
A Citizen Lab analisou quase 4 bilhões de registros expostos de lances publicitários referentes a março a junho de 2026. Nesse período, o MyDSP deu lances em 3.770.286.576 impressões e venceu 441.954.291, ou 11,7% dos lances. Anúncios da Discover-Tech apareceram em mais de 70 mil aplicativos móveis e 120 mil sites.
Pelo menos 718.748.885 lances — cerca de 19% — continham anúncios com uma tag de script apontando para um servidor NOAS. Esses anúncios apareceram em 161 países. Os números descrevem atividade e distribuição publicitária, não infecções de aparelhos.
No caso da Al Jazeera, a Citizen Lab identificou pelo menos 45 dispositivos como alvos em 2024 e 2025 e também relatou infecções na organização. O total de aparelhos visados não é um total de infecções bem-sucedidas.
O que as plataformas fizeram
No início de outubro de 2026, Google e IAB Europe retiraram a Discover-Tech de seus cadastros de fornecedores. O Google também encerrou o acesso da empresa à sua bolsa de anúncios; o registro da Discover-Tech na IAB Europe terminou em 8 de outubro de 2026.
As demais medidas tiveram escopos diferentes: a Beeswax removeu a Discover-Tech do Buyer Cloud; a Vungle (Liftoff) pausou o acesso durante uma análise; e a Eskimi bloqueou contas, usuários e domínios da empresa depois de detectar tags evasivas.
Medidas para reduzir o risco
A Citizen Lab recomenda usar uma extensão confiável de bloqueio de anúncios ou bloqueio de anúncios no nível da rede, instalar atualizações em tempo hábil, redefinir identificadores de publicidade móveis e desativar o rastreamento de anúncios. Para organizações, também recomenda controles de bloqueio de anúncios na rede.
