Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads
The Hacker News · 15 oct, 18:01
Qué hacer: Bloquea el dominio mtrtb[.]com y revisa tus registros de tráfico para detectar conexiones a servidores de Discover-Tech, Candiru y command-and-control conforme a los indicadores publicados por Citizen Lab y Confiant.
El laboratorio Citizen Lab documentó por primera vez infecciones de spyware Candiru en dispositivos de Al Jazeera a través de anuncios en línea dirigidos que no requerían interacción del usuario. Los ataques fueron colocados por Discover-Tech, una empresa israelí de publicidad que enviaba código malicioso cuando el anuncio se cargaba, incluso fuera de la vista del usuario. Al menos 45 dispositivos fueron comprometidos en 2024 y 2025, y Google, IAB Europe y otras plataformas de publicidad retiraron a Discover-Tech de sus listas de proveedores en octubre tras conocer los hallazgos.
Los investigadores recuperaron el malware Candiru en uno de los dispositivos comprometidos, aunque no el exploit inicial que permitió la instalación. El método de ataque funcionaba en dos fases: primero, el anuncio enviaba el identificador de publicidad del dispositivo y su dirección IP a servidores de Discover-Tech; si el dispositivo coincidía con los objetivos, el servidor respondía con código de ataque para ejecutar en el navegador o aplicación. Como el anuncio mismo no llevaba código malicioso, las redes de distribución de anuncios no detectaban nada sospechoso.
Descubre-Tech colocó casi cuatro mil millones de pujas publicitarias entre marzo y junio de 2026, con anuncios llegando a aproximadamente 75.000 aplicaciones móviles y 120.000 sitios web. Confiant, una empresa de seguridad publicitaria, estimó 10 millones de anuncios diarios. Aunque los anuncios aparecieron en redes de gobiernos, la ONU, la UE y otras instituciones, Confiant encontró que los pocos anuncios directamente vinculados a Candiru fueron de bajo volumen y alcanzaron principalmente conexiones de hogar e Internet móvil.
Puntos clave
- Al menos 45 dispositivos en Al Jazeera fueron infectados en 2024-2025 mediante anuncios sin clic
- Discover-Tech fue retirada de listas de proveedores de Google, IAB Europe, Beeswax, Vungle y Eskimi en octubre
- Los anuncios alcanzaron 75.000 aplicaciones y 120.000 sitios web globalmente entre marzo y junio 2026
- Dominio malicioso identificado: mtrtb[.]com
- Hash SHA-256 del spyware: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
Figuras de la fuente
