Gli annunci online hanno distribuito lo spyware Candiru ai dispositivi tramite zero-click
Secondo il Citizen Lab dell’Università di Toronto, lo spyware Candiru ha infettato dispositivi di Al Jazeera attraverso annunci online mirati che non richiedevano clic o altre azioni da parte dell’utente. Il processo dannoso iniziava non appena veniva caricato un annuncio, anche quando il posizionamento si trovava fuori dalla parte visibile della pagina o veniva eseguito in background. Citizen Lab descrive questi casi come la prima conferma tecnica pubblica di mercenary spyware, software commerciale di hacking venduto ai governi, capace di raggiungere dispositivi reali tramite pubblicità mirata.
I ricercatori hanno recuperato lo spyware installato da un dispositivo, ma non hanno ottenuto l’exploit, ossia il codice che sfrutta una vulnerabilità del software per ottenere l’accesso iniziale attraverso un browser o un’app. Di conseguenza, la prima fase dell’intrusione è stata ricostruita sulla base della configurazione di distribuzione e dell’attività di rete, anziché tramite il codice dell’exploit acquisito. Citizen Lab ha attribuito gli attacchi a Candiru con un elevato grado di confidenza, ma non ha identificato quale governo fosse responsabile dell’operazione.
Gli annunci erano stati collocati da Discover-Tech, un’azienda israeliana che si presentava come una normale società di pubblicità digitale. Citizen Lab ha scoperto che ogni posizionamento conteneva un piccolo script che inviava a un server di Discover-Tech l’advertising ID del dispositivo, un numero usato per riconoscere un telefono o un computer a fini pubblicitari, e il suo IP address, ossia il suo indirizzo su internet. Quel server verificava se il dispositivo corrispondeva a un obiettivo selezionato. In caso di corrispondenza, il browser o l’app ricevevano codice da eseguire, mentre gli altri dispositivi non ricevevano nulla. Il componente dannoso, quindi, non doveva essere memorizzato all’interno dell’annuncio distribuito dalla rete pubblicitaria, limitando ciò che tali reti potevano individuare ispezionando l’annuncio stesso.
Citizen Lab afferma che almeno 45 dispositivi di Al Jazeera sono stati presi di mira nel corso del 2024 e del 2025. I log del traffico forniti dall’organizzazione mostravano una sequenza ricorrente sui dispositivi infetti: una connessione a un server pubblicitario di Discover-Tech, seguita dal contatto con un server di screening di Candiru e poi con un command-and-control server, un’infrastruttura usata per controllare lo spyware su un dispositivo compromesso. Al Jazeera ha inoltre recuperato da uno dei sistemi interessati il file di un programma Windows. Citizen Lab ha rilevato che utilizzava tecniche distintive corrispondenti a quelle di uno strumento Candiru analizzato dal gruppo di ricerca nel 2021, avvalorando l’attribuzione con elevato grado di confidenza.
L’organizzazione giornalistica aveva già subito un altro incidente legato a spyware. Nel 2020, decine di iPhone dei suoi giornalisti erano stati compromessi con Pegasus di NSO Group durante un’operazione che utilizzava un metodo di infezione diverso. Le ultime scoperte riguardano Candiru e il canale di distribuzione pubblicitario, e non la prosecuzione di quella precedente operazione.
Discover-Tech figurava nell’elenco dei fornitori pubblicitari approvati da Google e dall’associazione di settore IAB Europe dal 2020 fino al mese in cui sono state pubblicate le rivelazioni. L’azienda era stata registrata in Israele nel 2020. Dopo che Citizen Lab ha condiviso i propri risultati, Google e IAB Europe l’hanno rimossa dai rispettivi elenchi di fornitori all’inizio di ottobre. Google ha inoltre revocato alla società l’accesso ai propri ad exchange, Beeswax l’ha rimossa, Vungle ha sospeso l’accesso durante lo svolgimento di una verifica ed Eskimi ne ha bloccato gli account. Google ha dichiarato a Reuters che la rimozione era dovuta a violazioni sistematiche delle proprie regole, mentre IAB Europe ha citato violazioni individuate tramite un audit. Comcast, proprietaria di Beeswax, ha dichiarato che il suo intervento è seguito ad attività recenti.
Candiru è stata aggiunta nel 2021 a una blacklist commerciale degli Stati Uniti a causa dell’impiego del suo spyware contro funzionari pubblici, giornalisti e attivisti. Nel 2025 i suoi asset sono stati acquistati dalla società d’investimento statunitense Integrity Partners e trasferiti a una nuova azienda, indicata come Integrity Labs, che non è soggetta alle sanzioni. Discover-Tech, i proprietari di Candiru, Al Jazeera e la rete pubblicitaria russa Yandex non hanno risposto a Reuters. Giovedì il sito web di Discover-Tech era ancora accessibile e non conteneva riferimenti alla ricerca.
L’operazione pubblicitaria aveva una portata sostanzialmente più ampia rispetto ai casi confermati. Citizen Lab afferma che, tra marzo e giugno 2026, Discover-Tech ha presentato quasi quattro miliardi di ad bids, ossia offerte per mostrare un annuncio, attraverso un’unica piattaforma. I posizionamenti contenenti lo script di callback sono apparsi in circa 75.000 app mobili e 120.000 siti web. Confiant, un’azienda statunitense specializzata nella sicurezza pubblicitaria che ha condotto l’indagine insieme a Citizen Lab, ha stimato che il volume di Discover-Tech fosse pari a circa 10 milioni di annunci al giorno.
Citizen Lab ha osservato gli annunci su reti appartenenti alla NATO, alle Nazioni Unite, a organismi dell’Unione europea, a uffici governativi di circa due dozzine di Paesi, a produttori di semiconduttori e a organizzazioni giornalistiche. Ciò non dimostra che i dispositivi presenti su quelle reti siano stati infettati, ma evidenzia la possibile portata del sistema. Confiant ha rilevato che il piccolo gruppo di annunci collegabile direttamente a Candiru veniva distribuito in volumi ridotti e raggiungeva soprattutto connessioni internet residenziali e mobili, anziché le stesse reti istituzionali sensibili.
Citizen Lab e Confiant hanno pubblicato domini e file associati alla campagna, affinché i responsabili della difesa possano bloccare le infrastrutture note e cercare riscontri nei registri storici. Gli indicatori includono il dominio del server di Discover-Tech mtrtb[.]com e il valore SHA-256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8 relativo allo spyware recuperato. SHA-256 è un’impronta digitale usata per identificare un file specifico. Il rapporto di Confiant contiene l’elenco più ampio, inclusi i command-and-control server. I responsabili della difesa possono inoltre cercare la sequenza di connessioni segnalata, tenendo presente che la comparsa di un annuncio su un sito web o una rete non dimostra di per sé una compromissione.
I risultati sono rilevanti per i gestori di siti web, perché posizionamenti pubblicitari legittimi possono diventare un canale di distribuzione iniziale senza che il sito stesso sia necessariamente compromesso. I ricercatori di sicurezza avevano già avvertito che l’acquisto automatizzato di spazi pubblicitari poteva essere utilizzato in questo modo. Documenti trapelati a dicembre hanno collegato il produttore di spyware Intellexa a uno strumento simile basato sulla pubblicità, chiamato Aladdin, anche se non era stata dimostrata alcuna infezione reale attraverso quel sistema. Le organizzazioni che stanno rivalutando il proprio approccio complessivo alla sicurezza possono utilizzare AEU-I per security-first IT, infrastruttura e consulenza.
Per le aziende e i team IT, il problema centrale è che il traffico pubblicitario apparentemente normale potrebbe dover essere preso in considerazione durante le indagini sugli incidenti, in particolare quando si proteggono giornalisti o altre persone esposte a rischi elevati. Gli aggiornamenti e la riduzione dell’esposizione alla pubblicità di terze parti restano precauzioni pratiche, ma il rapporto non identifica l’exploit che non è stato recuperato e non dimostra che ogni dispositivo esposto a questi annunci sia stato attaccato.