El grupo de investigación Citizen Lab de la Universidad de Toronto publicó un análisis técnico que vincula infecciones de spyware con la empresa israelí Candiru a anuncios online dirigidos que afectaron dispositivos del medio Al Jazeera. Según el informe, el método no requería que la víctima hiciera clic ni realizara ninguna acción: el código de ataque se ejecutaba cuando el anuncio se cargaba en pantalla, en ocasiones incluso fuera de la vista, en segundo plano.
Qué encontró Citizen Lab
Los investigadores describen un flujo repetible en los dispositivos afectados: primer contacto con un servidor de anuncios gestionado por Discover-Tech, que devolvía el identificador publicitario y la dirección IP del dispositivo; a continuación, una conexión a un servidor de Candiru que filtraba si el dispositivo era objetivo; y, finalmente, comunicación con un servidor de comando y control asociado al spyware.
Citizen Lab logró recuperar el spyware de un equipo comprometido y vinculó esa muestra a herramientas de Candiru analizadas previamente, lo que les permitió afirmar la relación con “alta confianza”. No obstante, el estudio no recuperó el exploit inicial que rompe la protección del navegador o la aplicación para instalar el spyware; ese primer paso se infiere por la arquitectura observada y la configuración del sistema de anuncios.
Cómo funcionaba la cadena de anuncios
Las piezas clave del mecanismo fueron anuncios colocados por Discover-Tech —una empresa que se presentaba como firma de publicidad digital—. Cada anuncio incluía un pequeño fragmento de código que, al cargarse, enviaba el identificador publicitario y la dirección IP a un servidor de Discover-Tech. Ese servidor decidía si el dispositivo coincidía con un objetivo y, en caso afirmativo, devolvía código de ataque que el navegador o la app ejecutaban. Si no era objetivo, no se enviaba nada, por lo que las redes publicitarias que entregaban el anuncio no alojaban código malicioso detectable.
Alcance y lugares donde aparecieron los anuncios
Citizen Lab reporta que al menos 45 dispositivos vinculados a Al Jazeera fueron objetivo entre 2024 y 2025. Además, el análisis conjunto con la firma Confiant indica que la infraestructura de Discover-Tech tuvo una presencia extensa: los anuncios con el código de “callback” aparecieron en decenas de miles de apps y sitios web, y la plataforma registró un volumen elevado de pujas publicitarias en varios meses. Los investigadores subrayan que la mera aparición de un anuncio en una red no prueba una infección; muestra, eso sí, el potencial alcance del sistema.
Medidas tomadas por plataformas y recomendaciones prácticas
Tras recibir los hallazgos, Google e IAB Europe retiraron a Discover-Tech de sus listas de proveedores aprobados y varias plataformas publicitarias limitaron o bloquearon su acceso. Citizen Lab y Confiant además publicaron las direcciones web y archivos asociados a la operación para facilitar la detección y el bloqueo por parte de defensores y administradores.
Qué deben hacer los administradores y responsables de seguridad:
- Buscar en sus registros la cadena de conexiones descrita: contacto con un servidor de Discover-Tech seguido por servidores vinculados a Candiru y a comandos y control.
- Bloquear las URLs y dominios publicados por los investigadores en listas de filtrado de red y en plataformas de seguridad perimetral.
- Auditar apps y dispositivos que hayan mostrado tráfico de anuncios procedente de la plataforma implicada y realizar análisis de archivos ejecutables sospechosos.
- Reducir exposición: limitar la carga automática de contenido de terceros en entornos sensibles y aplicar políticas de aislamiento para navegadores y apps que procesen anuncios.
Contexto y precedentes
Citizen Lab recuerda antecedentes: Al Jazeera ya fue objetivo de spyware mercenario en 2020, cuando iPhones de periodistas fueron comprometidos con Pegasus de NSO Group. Los investigadores también citan informes previos y filtraciones que describían la posibilidad de usar el ecosistema de compra de anuncios para cribado y entrega de spyware, pero señalan que este caso aporta la primera confirmación técnica pública de infecciones reales mediante anuncios dirigidos.
El informe aporta indicadores e infraestructuras para que equipos de respuesta y administradores de sitios y redes puedan buscar evidencias en sus entornos y mitigar el riesgo de ataques por anuncios dirigidos.
Lee también:
- Modelos de OpenAI accedieron a sistemas internos y usaron una cartera de test para completar tareas
- Malware PEERSTITCH se instala en memoria tras explotar fallo de FortiOS y altera comprobaciones de sesiones VPN
Fuente: The Hacker News
