Citizen Lab descubre que el spyware Candiru se distribuye mediante anuncios dirigidos, sin necesidad de clic

Citizen Lab publicó esta semana hallazgos que describe como el primer caso real confirmado públicamente de spyware mercenario distribuido a través de publicidad en línea dirigida, sin necesidad de clic del usuario. La investigación rastrea infecciones de spyware en al menos 45 dispositivos en Al Jazeera Media Network, registradas por la cadena entre 2024 y 2025, hasta Candiru, un proveedor israelí que dice vender exclusivamente a gobiernos.

Según Citizen Lab, una firma israelí llamada Discover-Tech compró espacios publicitarios ordinarios a través de redes y bolsas de intercambio publicitario convencionales. Los anuncios contenían JavaScript incrustado que contactaba a un servidor de Discover-Tech, denominado internamente “NOAS”, en cuanto el anuncio se renderizaba en un dispositivo — sin necesidad de clic. Ese servidor verificaba señales como la dirección IP del dispositivo e identificadores de anuncios para decidir si coincidía con un perfil objetivo. Los dispositivos que coincidían recibían código malicioso adicional; los que no coincidían no recibían nada, lo cual Citizen Lab dice que es lo que mantuvo la operación sin ser detectada por más tiempo. Los registros de red mostraron tráfico desde la infraestructura de Discover-Tech hacia servidores de validación de Candiru y luego hacia infraestructura de comando y control del spyware. Citizen Lab llama a esta técnica de entrega “AdFection”.

El malware de Windows de Candiru, conocido como DevilsTongue, puede robar archivos, credenciales y mensajes una vez instalado. Las herramientas del proveedor se han documentado previamente en ataques contra periodistas, activistas y políticos usando exploits de día cero de Windows y Chrome. Citizen Lab recuperó un archivo DLL malicioso de un sistema Windows comprometido y lo atribuyó a Candiru con alta confianza, basándose en superposiciones de infraestructura y código con muestras capturadas previamente. La firma también describe la plataforma “Controlium” de Discover-Tech como una que permite a los clientes dirigirse a dispositivos específicos y perfilar, desanonimizar y identificar a los usuarios mediante huellas digitales, y dice que Discover-Tech trabaja con múltiples proveedores de spyware, piratería y publicidad más allá de Candiru.

La escala de la operación publicitaria es lo que distingue esto de un hackeo estrechamente dirigido: solo entre marzo y junio de 2026, colocó 3.770 millones de pujas y ganó 442 millones de subastas publicitarias, con scripts que portaban las etiquetas del atacante apareciendo en más de 75.000 aplicaciones móviles y más de 120.000 sitios web. Citizen Lab subraya que esas cifras describen exposición a anuncios, no infecciones confirmadas, pero estima que cientos de miles a millones de usuarios fueron dirigidos hacia la infraestructura de ataque a través de anuncios colocados por Discover-Tech en algún momento.

Tras la divulgación de Citizen Lab, Google, IAB Europe, Beeswax, Eskimi y Vungle eliminaron las cuentas de anunciantes infractoras y bloquearon el acceso a los dominios involucrados. Según reportó primero BleepingComputer, el caso se asemeja a un método de entrega similar basado en anuncios llamado “Aladdin”, documentado por Amnistía Internacional a finales de 2025 para el spyware Predator — aunque aquel hallazgo anterior se basó en archivos internos filtrados en lugar de ataques en vivo observados, lo que convierte a este caso en la primera vez que la técnica se confirma mediante tráfico real.