Citizen Lab descobre que o spyware Candiru é entregue por meio de anúncios direcionados, sem necessidade de clique

A Citizen Lab publicou esta semana descobertas que descreve como o primeiro caso real publicamente confirmado de spyware mercenário entregue por meio de publicidade online direcionada, sem necessidade de clique do usuário. A pesquisa rastreia infecções de spyware em pelo menos 45 dispositivos na Al Jazeera Media Network, registradas pela emissora entre 2024 e 2025, até a Candiru, uma fornecedora israelense que afirma vender exclusivamente para governos.

Segundo a Citizen Lab, uma empresa israelense chamada Discover-Tech comprou espaços publicitários comuns por meio de redes e bolsas de publicidade convencionais. Os anúncios continham JavaScript incorporado que contatava um servidor da Discover-Tech, chamado internamente “NOAS”, assim que o anúncio era renderizado em um dispositivo — sem necessidade de clique. Esse servidor verificava sinais como o endereço IP do dispositivo e identificadores de anúncios para decidir se correspondia a um perfil de alvo. Dispositivos correspondentes recebiam código malicioso adicional; os que não correspondiam não recebiam nada, o que a Citizen Lab diz ter mantido a operação não detectada por mais tempo. Os registros de rede mostraram tráfego da infraestrutura da Discover-Tech para servidores de validação da Candiru e depois para a infraestrutura de comando e controle do spyware. A Citizen Lab chama essa técnica de entrega de “AdFection”.

O malware Windows da Candiru, conhecido como DevilsTongue, pode roubar arquivos, credenciais e mensagens uma vez instalado. As ferramentas da fornecedora já foram documentadas em ataques contra jornalistas, ativistas e políticos usando exploits de dia zero do Windows e Chrome. A Citizen Lab recuperou um arquivo DLL malicioso de um sistema Windows comprometido e o atribuiu à Candiru com alta confiança, com base em sobreposições de infraestrutura e código com amostras capturadas anteriormente. A empresa também descreve a plataforma “Controlium” da Discover-Tech como permitindo que clientes visem dispositivos específicos e perfilem, desanonimizem e identifiquem usuários por impressão digital, e diz que a Discover-Tech trabalha com múltiplos fornecedores de spyware, invasão e publicidade além da Candiru.

A escala da operação publicitária é o que distingue isso de uma invasão estreitamente direcionada: apenas entre março e junho de 2026, a operação fez 3,77 bilhões de lances e venceu 442 milhões de leilões de anúncios, com scripts portando as tags do atacante aparecendo em mais de 75.000 aplicativos móveis e mais de 120.000 sites. A Citizen Lab enfatiza que esses números descrevem exposição a anúncios, não infecções confirmadas, mas estima que centenas de milhares a milhões de usuários foram direcionados à infraestrutura de ataque por meio de anúncios colocados pela Discover-Tech em algum momento.

Após a divulgação da Citizen Lab, Google, IAB Europe, Beeswax, Eskimi e Vungle removeram as contas de anunciantes infratoras e bloquearam o acesso aos domínios envolvidos. Conforme relatado primeiro pela BleepingComputer, o caso ecoa um método de entrega semelhante baseado em anúncios chamado “Aladdin”, documentado pela Anistia Internacional no final de 2025 para o spyware Predator — embora aquela descoberta anterior tenha se baseado em arquivos internos vazados em vez de ataques ativos observados, tornando este caso a primeira vez que a técnica é confirmada por meio de tráfego real.