Una entidad vinculada a la empresa israelí Discovere-Tech utilizó anuncios digitales dirigidos para distribuir el spyware Candiru a dispositivos pertenecientes a Al Jazeera Media Network, en un ataque «sin hacer clic» que solo requería que la víctima visualizara el anuncio en su dispositivo. Los investigadores de Citizen Lab describieron esta técnica como AdFection y la consideraron la primera confirmación técnica pública de la distribución de spyware mercenario mediante anuncios dirigidos.
La investigación se basó en pruebas proporcionadas por Al Jazeera, registros de red y un archivo DLL recuperado de un sistema Windows comprometido. Las pruebas apuntan a que se dirigió el ataque contra al menos 45 dispositivos entre 2024 y 2025, con una secuencia de comunicaciones que comenzó en la infraestructura de Discovere-Tech, pasó después por los servidores de verificación de Candiru y terminó en los servidores de mando y control del spyware.
¿Cómo funcionó la cadena de infección?
La entidad atacante compró espacios publicitarios a través de redes y plataformas de intercambio publicitario conocidas, e incorporó en los anuncios código JavaScript que, al mostrarse, se conectaba a un servidor al que Discovere-Tech denominó NOAS, o servidor getAd. El servidor utilizaba indicadores como la dirección IP y los identificadores publicitarios para determinar si el dispositivo cumplía las especificaciones del objetivo.
Si el dispositivo superaba el proceso de verificación, se le enviaba código adicional; los demás dispositivos mostraban el anuncio sin recibir la carga maliciosa. Esta selección reduce el ruido y ayuda a ocultar la operación dentro del tráfico publicitario habitual.
El alcance de la operación no equivale al número de infecciones
Entre marzo y junio de 2026, la operación presentó 3.770 millones de pujas publicitarias y ganó 442 millones de subastas, según las estimaciones de Citizen Lab. Los anuncios que contenían etiquetas del código atacante aparecieron en 75.373 aplicaciones para Android e iOS y en 120.768 sitios web. Estas cifras no significan que todas esas aplicaciones y sitios web, ni sus usuarios, fueran infectados.
Los investigadores estimaron que entre cientos de miles y millones de usuarios fueron dirigidos a dominios vinculados a los anuncios de Discovere-Tech. Después de recibir los informes de Citizen Lab, Google, IAB Europe, Beeswax, Eskimi y Vungle tomaron medidas que incluyeron la retirada de cuentas infractoras y el bloqueo del acceso a dominios específicos.
¿Por qué importa este método?
El incidente revela que la cadena de publicidad digital puede convertirse en un canal para distribuir spyware avanzado, incluso sin interacción directa del usuario. Además, dirigir el ataque contra dispositivos concretos hace que la campaña sea más difícil de detectar que las campañas maliciosas de amplio alcance, mientras que la compra de anuncios a través de redes principales amplía el alcance potencial.
Candiru está vinculada a spyware que la empresa vende oficialmente a gobiernos, entre ellos DevilsTongue para Windows, capaz de robar archivos, credenciales y mensajes. Anteriormente, las herramientas de la empresa se habían relacionado con la explotación de vulnerabilidades de tipo zero-day en Windows y Chrome para atacar a periodistas, activistas y políticos.
Un método similar, denominado Aladdin, ya había sido documentado a finales de 2025, cuando se utilizaron anuncios para infectar objetivos con el spyware Predator sin hacer clic, pero esa investigación se basó en archivos y documentos de marketing filtrados de la empresa Intellexa. En cambio, AdFection se basó en ataques reales y pruebas forenses que lo vincularon con Discovere-Tech, a la que Citizen Lab describió como un enlace entre las empresas de spyware mercenario y el ecosistema publicitario.