Un attacco zero-click particolarmente insidioso ha distribuito spyware Candiru su dispositivi appartenenti ad Al Jazeera Media Network senza richiedere alcuna interazione da parte delle vittime. Lo riporta BleepingComputer, che cita una nuova ricerca di Citizen Lab.
Secondo quanto pubblicato da BleepingComputer, un file DLL recuperato da un sistema Windows compromesso è stato attribuito con alta confidenza a Candiru, un noto fornitore di spyware israeliano. L'attacco, denominato AdFection, sfrutta un'infrastruttura pubblicitaria online per distribuire codice malevolo attraverso annunci mirati.
La tecnica utilizzata è particolarmente sofisticata: le pubblicità contenenti script malevoli venivano rese sui dispositivi delle vittime senza la necessità di cliccare sugli annunci. Questo rende AdFection un attacco zero-click, poiché l'infezione avveniva semplicemente caricando la pubblicità.
Citizen Lab collega l'infrastruttura pubblicitaria a Discover-Tech, un'azienda israeliana che avrebbe fornito servizi di distribuzione ad Aladdin, uno spyware di livello statale. Gli attacchi, condotti tra il 2024 e il 2025, hanno colpito almeno 45 dispositivi appartenenti ad Al Jazeera.
Tra marzo e giugno 2026, Discover-Tech ha effettuato 3.77 miliardi di offerte e vinto 442 milioni di aste pubblicitarie. Le pubblicità con script malevoli sono apparse su 75,373 app Android/iOS e 120,768 siti web.
Citizen Lab sottolinea come Discover-Tech appaia come un ponte tra le aziende di spyware mercenarie e l'ecosistema pubblicitario, permettendo agli attori di minaccia di sfruttare le infrastrutture pubblicitarie legittime per attacchi sofisticati.
Candiru, noto anche come Saito Tech, è un fornitore di spyware israeliano che vende strumenti di sorveglianza ufficialmente solo a governi. È noto per aver sviluppato DevilsTongue, un malware per Windows utilizzato in attacchi zero-click in passato.
Amnesty International aveva già documentato un metodo simile chiamato Aladdin nel 2025, che ha infettato obiettivi con lo spyware Predator senza richiedere clic, utilizzando una tecnica di offuscamento del codice chiamata "unpackable".