Zero-click attacks used targeted ads to deliver Candiru spyware

Discover-Tech utilizaba su plataforma Controlium para orientar dispositivos específicos con código malicioso, perfilándolos y desanonimizándolos a través de parámetros como dirección IP e identificadores de anuncios. Los servidores NOAS determinaban si un objetivo era elegible para recibir código JavaScript adicional, mientras que otros dispositivos donde se renderizaba el anuncio no recibían nada, manteniendo los ataques sigilosos.

Los registros de red de Al Jazeera mostraron una secuencia desde la infraestructura de Discover-Tech hacia servidores de validación de Candiru y luego hacia servidores de comando y control del spyware. Los investigadores también recuperaron un archivo DLL de un sistema Windows comprometido y lo atribuyeron con alta confianza a Candiru basándose en superposiciones de infraestructura y código. Candiru es un vendedor israelí de spyware que, según reportes anteriores, ha desplegado sus herramientas a través de exploits zero-day en Windows y Chrome contra periodistas, activistas y políticos.