O Citizen Lab relata que pelo menos 45 dispositivos da Al Jazeera foram alvo de ataques sem clique em 2024 e 2025, com spyware atribuído à Candiru e anúncios da Discover-Tech usados como via de entrega. No método chamado AdFection, o código podia ser executado quando o anúncio aparecia — sem que a pessoa precisasse clicar. O relatório do Citizen Lab descreve a sequência técnica e as evidências que sustentam essa conclusão.
Como o anúncio podia iniciar o ataque sem clique
Segundo o Citizen Lab, o código de um anúncio exibido podia buscar JavaScript adicional e carregar um exploit — código que explora uma vulnerabilidade do navegador. Identificadores permitiam selecionar alvos: para quem não fosse elegível, o servidor podia não enviar código. Assim, a exibição do anúncio podia iniciar a cadeia sem interação da pessoa.
O Citizen Lab descreve uma etapa de validação antes da exploração: o código podia inserir um quadro invisível de 1 × 1 pixel que apontava para um servidor validador da Candiru. Após a validação, o dispositivo era redirecionado a um servidor de exploração; se o ataque fosse bem-sucedido, o spyware estabelecia comunicação com um servidor de comando e controle. A entidade também ressalta que nem todos os anúncios da Discover-Tech eram necessariamente armados.
As evidências que ligam os casos à Candiru
Nos registros de rede analisados pelo Citizen Lab, os dispositivos investigados contataram a infraestrutura da Discover-Tech e, em seguida, servidores de validação e de comando e controle associados à Candiru. Uma DLL do Windows recuperada de um dispositivo comprometido continha endereços de servidores de comando e controle que correspondiam à impressão digital técnica da Candiru identificada pelos pesquisadores. O Citizen Lab classificou a atribuição como de alta confiança.
A análise do arquivo também identificou técnicas que, segundo o relatório, coincidiam com uma amostra anterior da Candiru: sequestro de COM para persistência, ofuscação por XOR repetido em blocos de 48 bytes e verificações de conectividade em uma sequência específica. Esses elementos integram a análise técnica do Citizen Lab sobre a amostra e a campanha.
O que as cifras de alcance medem
Entre março e junho de 2026, anúncios com scripts do atacante apareceram em 75.373 aplicativos Android e iOS e 120.768 sites, segundo o Citizen Lab. Esses números contam locais em que os anúncios apareceram, não dispositivos infectados.
Outro número tem escopo diferente: um endpoint de infraestrutura associado à Infinite FIFO contabilizou 3.637.213 usuários elegíveis entre janeiro e junho de 2026. Elegíveis significa que podiam ser selecionados para receber o código; a contagem não representa infecções confirmadas.
O relatório também analisou quase quatro bilhões de registros públicos de leilões de anúncios. A plataforma MyDSP deu lances em 3.770.286.576 impressões e venceu 441.954.291, ou 11,7% dos lances. Pelo menos 718.748.885 lances — cerca de 19% — aparentemente envolviam anúncios com uma tag de script que apontava para um servidor NOAS. Lances, impressões, locais de veiculação e usuários elegíveis são medidas distintas; nenhuma dessas contagens, por si só, informa quantos dispositivos foram infectados.
Respostas das plataformas e a mitigação recomendada
O Citizen Lab relata que o Google encerrou o acesso da Discover-Tech às suas plataformas de leilão de anúncios no início de outubro de 2026. Em declaração à WIRED, o Google afirmou que bloqueou a empresa de suas plataformas de anúncios após uma investigação conjunta com o Citizen Lab e a Confiant, além de configurar avisos do Safe Browsing para sites ligados ao grupo. A reportagem da WIRED publicou a declaração do Google.
O Citizen Lab afirma que a IAB Europe retirou a Discover-Tech da Global Vendor List em 8 de outubro de 2026; a WIRED descreveu a medida como uma suspensão. O Citizen Lab também relata que a Beeswax removeu a empresa de sua plataforma, que a Eskimi bloqueou contas, usuários e domínios relacionados e que a Vungle/Liftoff suspendeu o acesso enquanto fazia uma revisão.
Como medida de mitigação, o Citizen Lab recomenda bloquear anúncios nos dispositivos e nos gateways de organizações. O relatório não apresenta essa recomendação como garantia de proteção contra o AdFection.
