O Citizen Lab, laboratório ligado à Universidade de Toronto, revelou uma campanha cibernética que usou anúncios direcionados para instalar spyware avançado em dispositivos iOS e Android, sem que a vítima clicasse no anúncio ou interagisse com ele. O laboratório chamou a campanha de “AdFection” e afirmou que ela infectou 45 dispositivos da organização de mídia Al Jazeera durante 2024 e 2025.
A importância da campanha está no fato de que ela representa, de acordo com os resultados da investigação, a primeira confirmação provável da distribuição de spyware mercenário por meio de anúncios direcionados. Nesse cenário, basta carregar uma página da web ou abrir um aplicativo instalado para iniciar a cadeia de exploração, enquanto a infecção normalmente não é visível para o usuário sem ferramentas ou softwares forenses especializados.
Como o ecossistema de publicidade foi usado?
O Citizen Lab afirmou que os anúncios foram fornecidos pela empresa israelense Discover-Tech, que se apresenta como uma empresa de publicidade legítima, mas descreveu a companhia como uma intermediária entre compradores de anúncios e editores ou desenvolvedores de aplicativos, desempenhando um papel na conexão do mercado publicitário ao ecossistema de spyware mercenário.
Esse tipo de intermediação depende de leilões de publicidade que têm como alvo categorias específicas usando identificadores de dispositivos móveis, localização, endereços IP e outros dados. O laboratório obteve mais de 4 bilhões de registros de lances processados pela Discover-Tech, que mostraram a exibição de anúncios da empresa em mais de 70 mil aplicativos móveis e 120 mil sites entre março e junho de 2026.
Os resultados indicaram que a Discover-Tech usou estruturas de consentimento associadas ao Regulamento Geral sobre a Proteção de Dados europeu para atingir usuários dentro da União Europeia, além de exibir seus anúncios por meio das redes Google, Yandex e Beeswax. Google e IAB Europe haviam listado a empresa como fornecedora “aprovada” ou “verificada” antes de remover seu nome dos registros, enquanto o Google encerrou seu acesso às plataformas de troca de anúncios. A Beeswax também removeu a empresa de sua plataforma, e a Vungle, da Liftoff, suspendeu temporariamente seu acesso para análise, enquanto a Eskimi bloqueou suas contas e domínios.
O que mudou na prática?
Segundo a investigação, os anúncios eram exibidos para alvos que correspondiam a determinados perfis; em seguida, um código JavaScript ou outro código se conectava aos servidores de comando e controle da Candiru, que por sua vez retornavam uma exploração capaz de instalar a carga maliciosa sem interação do usuário. O Citizen Lab afirmou que a Candiru desenvolveu e distribuiu o software e atualmente opera sob o nome Integrity Labs.
O relatório não revelou as vulnerabilidades exploradas nem o software final instalado pela campanha. A fonte acredita que se tratava de vulnerabilidades de “dia zero” corrigidas depois que o Citizen Lab descobriu a campanha, mas esse ponto não foi comprovado por detalhes técnicos publicados. Discover-Tech e Candiru também não responderam aos pedidos de comentário.
Por que esta notícia é importante?
O Citizen Lab afirmou que anúncios associados à Discover-Tech apareceram em redes ligadas à Organização do Tratado do Atlântico Norte e às Nações Unidas, em órgãos legislativos europeus, além de provedores de infraestrutura crítica na Austrália e agências e forças armadas governamentais na Noruega e na Suécia. O laboratório alerta que redações, jornalistas, editores e seus funcionários podem ser alvos diretos.
A campanha revela um problema que vai além do dispositivo da vítima: ferramentas de direcionamento publicitário criadas para identificar grandes públicos comerciais podem se transformar em um canal para distribuir spyware altamente especializado. Por isso, o Citizen Lab pediu que anunciantes e autoridades governamentais adotem medidas proativas para impedir esse tipo de campanha.
Para reduzir os riscos, a fonte recomendou usar bloqueadores de anúncios, redefinir o identificador de publicidade no iOS e no Android e instalar ferramentas de bloqueio nas redes domésticas ou corporativas, além de instalar as atualizações do sistema e dos programas assim que estiverem disponíveis. Isso não significa que essas medidas comprovadamente impeçam a infecção em todos os casos, especialmente porque os detalhes das vulnerabilidades e da carga final não foram publicados.