Citizen Lab découvre que le logiciel espion Candiru est livré via des publicités ciblées, sans clic nécessaire

Citizen Lab a publié cette semaine des conclusions décrivant ce qu'il appelle le premier cas réel publiquement confirmé de logiciel espion mercenaire livré via de la publicité en ligne ciblée, sans clic requis de l'utilisateur. La recherche retrace des infections par logiciel espion sur au moins 45 appareils au sein d'Al Jazeera Media Network, enregistrées par le diffuseur entre 2024 et 2025, jusqu'à Candiru, un fournisseur israélien qui affirme vendre exclusivement à des gouvernements.

Selon Citizen Lab, une entreprise israélienne appelée Discover-Tech a acheté des emplacements publicitaires ordinaires via des réseaux et bourses publicitaires grand public. Les publicités contenaient du JavaScript intégré qui contactait un serveur Discover-Tech, nommé en interne « NOAS », dès que la publicité s'affichait sur un appareil — aucun clic nécessaire. Ce serveur vérifiait des signaux comme l'adresse IP de l'appareil et les identifiants publicitaires pour décider si celui-ci correspondait à un profil cible. Les appareils correspondants recevaient du code malveillant supplémentaire ; ceux qui ne correspondaient pas ne recevaient rien, ce qui, selon Citizen Lab, a permis à l'opération de rester indétectée plus longtemps. Les journaux réseau ont montré un trafic allant de l'infrastructure de Discover-Tech vers des serveurs de validation de Candiru, puis vers l'infrastructure de commande et contrôle du logiciel espion. Citizen Lab appelle cette technique de livraison « AdFection ».

Le logiciel malveillant Windows de Candiru, connu sous le nom de DevilsTongue, peut voler des fichiers, des identifiants et des messages une fois installé. Les outils du fournisseur ont déjà été documentés dans des attaques contre des journalistes, des militants et des politiciens utilisant des exploits zero-day Windows et Chrome. Citizen Lab a récupéré un fichier DLL malveillant sur un système Windows compromis et l'a attribué à Candiru avec une grande confiance, sur la base de recoupements d'infrastructure et de code avec des échantillons précédemment capturés. L'entreprise décrit également la plateforme « Controlium » de Discover-Tech comme permettant aux clients de cibler des appareils spécifiques et de profiler, désanonymiser et prendre l'empreinte des utilisateurs, et affirme que Discover-Tech travaille avec plusieurs fournisseurs de logiciels espions, de piratage et de publicité au-delà de Candiru seul.

L'ampleur de l'opération publicitaire est ce qui distingue ceci d'un piratage étroitement ciblé : entre mars et juin 2026 seulement, elle a placé 3,77 milliards d'enchères et gagné 442 millions d'enchères publicitaires, avec des scripts portant les balises de l'attaquant apparaissant sur plus de 75 000 applications mobiles et plus de 120 000 sites web. Citizen Lab souligne que ces chiffres décrivent l'exposition publicitaire, pas des infections confirmées, mais estime que des centaines de milliers à des millions d'utilisateurs ont été dirigés vers l'infrastructure d'attaque via des publicités placées par Discover-Tech à un moment donné.

Suite à la divulgation de Citizen Lab, Google, IAB Europe, Beeswax, Eskimi et Vungle ont supprimé les comptes publicitaires fautifs et bloqué l'accès aux domaines concernés. Comme l'a rapporté en premier BleepingComputer, ce cas fait écho à une méthode de livraison similaire basée sur la publicité appelée « Aladdin », documentée par Amnesty International à la fin de 2025 pour le logiciel espion Predator — bien que cette découverte antérieure se soit appuyée sur des fichiers internes divulgués plutôt que sur des attaques en direct observées, faisant de ce cas la première fois que la technique est confirmée via un trafic réel.