1. Het simpel bekijken van een online advertentie kan een apparaat infecteren met krachtige spyware, zonder dat de gebruiker hoeft te klikken, een bestand te downloaden of een waarschuwing te zien. Deze methode, genaamd "AdFection", maakt gebruik van de mogelijkheid van moderne advertenties om code te bevatten voor het meten van weergaven en het volgen van gebruikers.
2. Onderzoekers van Citizen Lab documenteerden de eerste openbare technische bewijs van "zero-click" spionagesoftware die via gerichte advertenties werd geleverd. Ze analyseerden ongeveer vier miljard biedrecords van Discover-Tech die vier maanden in 2026 bestreken.
3. De advertenties van Discover-Tech verschenen op bijna 200.000 unieke websites en in Android- of iOS-apps in tientallen landen. Real-time biedsystemen delen gegevens binnen een fractie van een seconde, waardoor adverteerders kunnen beslissen of ze een advertentieruimte kopen, waarbij apparaat-ID, IP-adres, locatie en browsert details kunnen worden gedeeld.
4. Discover-Tech, een Israëlisch bedrijf dat zich voordoet als een advertentiebedrijf, fungeerde als schakel tussen de online advertentiemarkt en diverse commerciële spionagesoftwaregroepen. Het Controlium-platform van Discover-Tech stelde klanten in staat om individuen te targeten via mobiele advertentie-ID's, browsercookies en IP-adressen. AdFection gebruikte dit systeem om geselecteerde apparaten te vinden en code alleen naar hen te sturen, wat de activiteit moeilijker te detecteren maakte voor advertentieplatforms en beveiligingsonderzoekers.
5. Nadat een advertentie geladen was, kon code daarin contact opnemen met een Discover-Tech server, die vervolgens bepaalde of de bezoeker een gekozen doelwit was. Als de details overeenkwamen, kon de server JavaScript terugsturen dat verdere code laadde en het infectieproces begon, zonder dat er een klik nodig was.
6. Netwerklogboeken toonden aan dat geïnfecteerde systemen na het tonen van een advertentie eerst contact legden met Discover-Tech infrastructuur. Vervolgens verbonden deze systemen met een Candiru-validatieserver, die het apparaat controleerde, gevolgd door een command-and-control server die door de spyware werd gebruikt.
7. Deze methode infecteerde apparaten van het internationale nieuwsnetwerk Al Jazeera met spyware die gekoppeld is aan de Israëlische leverancier Candiru, dat nu opereert als Integrity Labs. Volgens de Citizen Lab-onderzoek, gepubliceerd op 15 oktober 2026, werden in 2024 en 2025 minstens 45 Al Jazeera-apparaten getarget.
8. Van één gecompromitteerd apparaat werd een Windows DLL geborgen die met hoge zekerheid aan Candiru werd gekoppeld. De gevonden DLL gebruikte COM hijacking om actief te blijven en een specifieke 48-byte herhalende XOR-methode om strings te verbergen. De DLL bevatte twee command-and-control domeinen en vertoonde gedrag dat overeenkwam met een eerdere Candiru toolchain. De SHA-256 hash van de DLL is 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8.
9. Miljoenen apparaten werden ook richting Candiru-gerelateerde servers geleid, waarschijnlijk voor tracking en controles voorafgaand aan mogelijke targeting. Het zien van een Discover-Tech advertentie bewijst niet dat een apparaat geïnfecteerd werd; de meeste kijkers werden niet geselecteerd om de spionagesoftwarecode te ontvangen.
10. Citizen Lab koppelde Discover-Tech ook aan Intelos en Bindecy. Een andere entiteit genaamd DARK CARTOGRAPHER gebruikte naar verluidt dezelfde infrastructuur om advertentie-ID's te koppelen aan telefoonnummers door misbruik te maken van kwetsbaarheden bij mobiele providers. Deze activiteit kon de werkelijke identiteit achter een advertentieprofiel onthullen.
11. Discover-Tech stond op goedgekeurde of gecertificeerde leverancierslijsten en serveerde advertenties via grote netwerken, waaronder Google, Yandex en Beeswax. Nadat onderzoekers hun bevindingen deelden, verwijderde Google Discover-Tech van zijn advertentieplatforms. IAB Europe schortte Discover-Tech op van hun goedgekeurde leverancierslijst, terwijl Beeswax het van hun platform verwijderde. Vungle pauzeerde de toegang, en Eskimi blokkeerde gerelateerde accounts en domeinen.
12. Voor gebruikers en organisaties toont deze zaak aan dat zorgvuldig klikken alleen niet elke infectie kan voorkomen. AdFection verandert het risico rond online adverteren omdat slachtoffers mogelijk niets anders doen dan een normale webpagina of app openen.
13. De bevestigde Al Jazeera-infecties tonen aan dat gerichte advertenties een onderdeel kunnen worden van een spionagesoftware-leveringsketen. De enorme reikwijdte van deze advertenties onderstreept waarom het probleem verder reikt dan één nieuwsredactie.
14. Beveiligingsteams wordt geadviseerd om bekende Discover-Tech en Candiru infrastructuur te blokkeren, ongebruikelijk advertentie-gerelateerd verkeer te inspecteren, mobiele advertentie-ID's te beperken en vertrouwde advertentieblokkering te gebruiken. Browserisolatie en strikte controle op scripts van derden kunnen extra bescherming bieden op gevoelige netwerken.
15. Gebruikers wordt geadviseerd om mobiele advertentie-ID's te resetten en gepersonaliseerde advertenties uit te schakelen waar mogelijk.
16. Citizen Lab drong er bij advertentiebedrijven op aan om leverancierscontroles te verbeteren, advertentiecode te scannen, dreigingsgegevens te delen en te voorkomen dat onbekende derden code uitvoeren zonder grondige beoordeling. Er is nu behoefte aan sterkere advertentiecontroles, snellere actie van platforms en betere netwerkmonitoring om te voorkomen dat online advertenties verborgen paden naar gebruikersapparaten worden.