Une entité liée à l’entreprise israélienne Discovere-Tech a utilisé des publicités numériques ciblées pour transmettre le logiciel espion Candiru à des appareils appartenant à Al Jazeera Media Network, dans le cadre d’une attaque « sans clic » qui ne nécessitait de la victime que l’affichage de la publicité sur son appareil. Les chercheurs de Citizen Lab ont baptisé cette technique AdFection, la considérant comme la première confirmation technique publique de la transmission de logiciels espions mercenaires par l’intermédiaire de publicités ciblées.
L’enquête s’est appuyée sur des éléments fournis par Al Jazeera, des journaux réseau et un fichier DLL récupéré d’un système Windows compromis. Les éléments disponibles indiquent qu’au moins 45 appareils ont été ciblés entre 2024 et 2025, selon une séquence de communications qui a commencé par l’infrastructure de Discovere-Tech, est passée par les serveurs de vérification de Candiru, puis s’est terminée sur les serveurs de commande et de contrôle du logiciel.
Comment la chaîne d’infection fonctionnait-elle ?
L’entité attaquante a acheté des espaces publicitaires par l’intermédiaire de réseaux et de plateformes d’échange publicitaire connus, et a intégré aux publicités du code JavaScript qui, lors de leur affichage, se connectait à un serveur que Discovere-Tech appelait NOAS, ou serveur getAd. Le serveur utilisait des indicateurs tels que l’adresse IP et les identifiants publicitaires pour déterminer si l’appareil correspondait aux caractéristiques de la cible.
Si l’appareil passait le processus de vérification, du code supplémentaire lui était envoyé ; les autres appareils affichaient la publicité sans recevoir la charge utile malveillante. Cette sélection réduit le bruit et contribue à dissimuler l’opération au sein du trafic publicitaire habituel.
L’ampleur de l’opération ne correspond pas au nombre d’infections
Entre mars et juin 2026, l’opération a généré 3,77 milliards d’impressions publicitaires et remporté 442 millions d’enchères, selon les estimations de Citizen Lab. Les publicités contenant les balises du code attaquant sont apparues dans 75 373 applications sur Android et iOS, ainsi que sur 120 768 sites web. Ces chiffres ne signifient pas que toutes ces applications et tous ces sites, ni leurs utilisateurs, ont été infectés.
Les chercheurs ont estimé que des centaines de milliers à plusieurs millions d’utilisateurs ont été redirigés vers des domaines liés aux publicités de Discovere-Tech. Après avoir reçu les rapports de Citizen Lab, Google, IAB Europe, Beeswax, Eskimi et Vungle ont pris des mesures, notamment la suppression de comptes contrevenants et le blocage de l’accès à certains domaines.
Pourquoi cette méthode est-elle importante ?
Cette affaire montre que la chaîne de la publicité numérique peut se transformer en canal de diffusion de logiciels espions avancés, même sans interaction directe de l’utilisateur. Le ciblage d’appareils précis rend également la détection de la campagne plus difficile que celle de campagnes malveillantes à grande échelle, tandis que l’achat de publicités par l’intermédiaire de réseaux majeurs élargit la portée potentielle.
Candiru est associée à des logiciels espions que l’entreprise vend officiellement aux gouvernements, notamment DevilsTongue pour Windows, capable de voler des fichiers, des identifiants et des messages. Les outils de l’entreprise ont déjà été associés à l’exploitation de vulnérabilités de type zero-day dans Windows et Chrome pour cibler des journalistes, des militants et des responsables politiques.
Une méthode similaire, appelée Aladdin, avait déjà été documentée à la fin de 2025, lorsque des publicités avaient été utilisées pour infecter des cibles avec le logiciel espion Predator sans clic. Cette enquête reposait toutefois sur des fichiers et des documents marketing ayant fuité de l’entreprise Intellexa. AdFection, en revanche, s’appuyait sur des attaques réelles et des éléments forensiques qui l’ont reliée à Discovere-Tech, que Citizen Lab a décrite comme un intermédiaire entre les entreprises de logiciels espions mercenaires et l’écosystème publicitaire.