Uma entidade ligada à empresa israelense Discovere-Tech usou anúncios digitais direcionados para entregar o spyware Candiru a dispositivos pertencentes à Al Jazeera Media Network, em um ataque “sem clique” que exigia da vítima apenas a exibição do anúncio em seu dispositivo. Pesquisadores do Citizen Lab deram a essa técnica o nome de AdFection, considerando-a a primeira confirmação técnica pública da entrega de spyware mercenário por meio de publicidade direcionada.
A investigação baseou-se em evidências fornecidas pela Al Jazeera, registros de rede e um arquivo DLL recuperado de um sistema Windows comprometido. As evidências indicam que pelo menos 45 dispositivos foram alvo entre 2024 e 2025, com uma sequência de comunicações que começou na infraestrutura da Discovere-Tech, passou pelos servidores de verificação da Candiru e terminou nos servidores de comando e controle do malware.
Como funcionou a cadeia de infecção?
A entidade atacante comprou espaços publicitários por meio de redes e plataformas conhecidas de troca de anúncios e incorporou aos anúncios um código JavaScript que, quando exibido, se conectava a um servidor que a Discovere-Tech chamou de NOAS, ou servidor getAd. O servidor usava indicadores como o endereço IP e identificadores de publicidade para determinar se o dispositivo correspondia às especificações do alvo.
Se o dispositivo passasse pelo processo de verificação, recebia código adicional; os demais dispositivos exibiam o anúncio sem receber a carga maliciosa. Essa seleção reduz o ruído e ajuda a ocultar a operação no tráfego publicitário normal.
O alcance da operação não equivale ao número de infecções
Entre março e junho de 2026, a operação enviou 3,77 bilhões de impressões publicitárias para leilão e venceu 442 milhões de leilões, segundo estimativas do Citizen Lab. Os anúncios que continham as tags do código atacante apareceram em 75.373 aplicativos para Android e iOS e em 120.768 sites. Esses números não significam que todos esses aplicativos e sites, ou seus usuários, tenham sido infectados.
Os pesquisadores estimaram que centenas de milhares a milhões de usuários foram direcionados a domínios relacionados aos anúncios da Discovere-Tech. Após receber relatórios do Citizen Lab, Google, IAB Europe, Beeswax, Eskimi e Vungle adotaram medidas que incluíram a remoção de contas em violação e o bloqueio do acesso a domínios específicos.
Por que esse método é importante?
O incidente revela que a cadeia de publicidade digital pode se transformar em um canal para a entrega de spyware avançado, mesmo sem interação direta do usuário. Além disso, o direcionamento a dispositivos específicos torna a detecção da campanha mais difícil do que em campanhas maliciosas de grande escala, enquanto a compra de anúncios por meio de redes principais amplia o alcance potencial.
A Candiru está associada a spyware que a empresa vende oficialmente a governos, incluindo o DevilsTongue para Windows, capaz de roubar arquivos, credenciais e mensagens. As ferramentas da empresa já haviam sido associadas à exploração de vulnerabilidades zero-day no Windows e no Chrome para atingir jornalistas, ativistas e políticos.
Um método semelhante, chamado Aladdin, foi documentado no fim de 2025, quando anúncios foram usados para infectar alvos com o spyware Predator sem clique, mas aquela investigação baseou-se em arquivos e documentos de marketing vazados da empresa Intellexa. Já o AdFection baseou-se em ataques reais e evidências forenses que o vincularam à Discovere-Tech, descrita pelo Citizen Lab como um elo entre empresas de spyware mercenário e o ecossistema de publicidade.