Onderzoekers van Citizen Lab (Universiteit van Toronto) hebben technisch bewijs gepresenteerd dat zero-click Candiru-spyware in de praktijk echte apparaten kan besmetten via gerichte online advertenties. In de onderzochte campagne werd er geen klik van de gebruiker verwacht: de aanval startte zodra de advertentie werd geladen, soms zelfs als die niet zichtbaar was.
Het rapport richt de aandacht niet alleen op het spionageprogramma zelf, maar ook op de keten eromheen: ad-plaatsing, selectie van doelwitten en het terugsturen van schadelijke code. Daarmee wordt een scenario bevestigd waar beveiligingsonderzoekers al langer voor waarschuwen: het advertentie-ecosysteem kan worden misbruikt als leverkanaal voor geavanceerde aanvallen.
Wat Citizen Lab beschrijft: infectie zonder actie
De kern van de bevindingen is dat de schadelijke component verborgen zat in de advertentieflow. Zodra de advertentie binnenkwam, draaide de aanvalscode op de achtergrond. Gebruikers hoefden dus niets te downloaden of op een link te klikken om in beeld te komen.
Volgens het onderzoek was er sprake van een opzet waarin de advertentie zelf geen volledige “exploit” bevatte. In plaats daarvan fungeerde de advertentie als transportmiddel en als triggermoment voor verdere stappen.
De aanvalsketen: van adserver tot command-and-control
Citizen Lab legt een herkenbare volgorde bloot in de netwerkactiviteiten van geïnfecteerde toestellen. Het gaat daarbij om een reeks contacten die telkens in dezelfde logische stappen terugkomt:
- Contact met een Discover-Tech adserver zodra de advertentie laadt.
- Contact met een Candiru-screener die bepaalt of het apparaat tot de beoogde doelwitten behoort.
- Contact met een command-and-control server wanneer het apparaat “in aanmerking komt”, waarna de spyware kan worden gestart.
De onderzoekers konden de spyware zelf terugvinden op één van de besmette apparaten. De eerste stap die nodig is om de browser of app te laten breken en de installatie mogelijk te maken, werd in het rapport niet als “gevangen code” gedeeld. Die stap wordt wel beschreven op basis van hoe de aanval was ingericht.
Al Jazeera gericht via gewone advertenties
Citizen Lab stelt dat Al Jazeera in 2024 en 2025 doelwit was. Daarbij ging het volgens het onderzoek om minstens 45 gerichte apparaatbesmettingen. Het rapport koppelt de campagne aan Candiru met hoge betrouwbaarheid.
Welke actor of overheid achter de operatie zat, wordt niet publiek gespecificeerd in de beschikbare informatie. Wel wordt duidelijk dat dit een andere methode is dan een eerder bekende compromittering van Al Jazeera-personeel.
Discover-Tech als schakel in het advertentie-ecosysteem
De advertenties zouden zijn ingekocht en uitgezet via een partij die zich presenteert als normale digitale adverteerder: Discover-Tech. Het onderzoek noemt het een Israëlische onderneming die in 2020 is geregistreerd en wordt geleid door CEO Dekel Boni.
Bijzonder detail: de ad leverde volgens Citizen Lab niet direct een complete aanval aan. In plaats daarvan stuurde de code die meereisde met de advertentie onder meer de advertising ID en het IP-adres terug naar de server van Discover-Tech. Vervolgens werd per apparaat besloten of de schadelijke vervolgstap werd geactiveerd.
Dat verklaart ook waarom het voor het ad-netwerk lastig was om de campagne “automatisch” als schadelijk te herkennen: er zat geen zichtbaar aanvalspatroon in de advertentie zelf dat een ad-ecosysteem doorgaans kan detecteren.
Google en IAB Europe nemen acties tegen Discover-Tech
Na de publicatie van de bevindingen hebben Google en brancheorganisatie IAB Europe Discover-Tech volgens Citizen Lab verwijderd uit hun lijsten van goedgekeurde adverteerders.
Verschillende bedrijven pasten daarna hun toegang aan. Google zou de ad-handelaar afkoppelen van ad exchanges nadat volgens het bedrijf “systematisch” beleid werd geschonden. Ook zouden partijen als Beeswax (Comcast), Vungle en Eskimi stappen hebben gezet, waaronder pauzeren, herzien of blokkeren.
De betrokken organisaties reageerden niet op vragen, en Discover-Tech zou op dat moment nog bereikbaar zijn met een eigen website zonder inhoudelijke reactie op de onderzoekers.
Waarom de impact groter lijkt dan alleen Al Jazeera
Citizen Lab en een aanvullende onderzoekspartner (Confiant) beschrijven dat de advertentie-infrastructuur van Discover-Tech een zeer brede reikwijdte had. In één platform zou Discover-Tech tussen maart en juni 2026 bijna vier miljard biedingen hebben geplaatst.
De advertenties met de verborgen “callback”-code zouden in die periode op grofweg 75.000 phone apps en 120.000 websites zijn aangetroffen. Confiant schat dat de hoeveelheid verkeer rond de tien miljoen ads per dag lag.
Daaruit volgt een belangrijke nuance: dat een advertentie op een netwerk zichtbaar is geweest, bewijst niet dat iedereen daar daadwerkelijk is geïnfecteerd. Het toont vooral hoe groot het bereik kon zijn, terwijl de screening-server pas later besloot of een apparaat doelwit was.
Wat organisaties kunnen checken (concrete indicatoren)
Een nuttig onderdeel van het onderzoek is dat de groepen webadressen en bestandsinformatie publiceren. Daarmee kunnen organisaties hun eigen logs en systemen beter doorzoeken, en mogelijk blokkades implementeren.
Citizen Lab raadt vooral aan om te letten op de volgorde van verbindingen in netwerkverkeer: eerst de Discover-Tech adserver, daarna een Candiru-screener, en vervolgens de command-and-control server.
In de gepubliceerde indicatoren staat onder andere:
- SHA-256 van het teruggevonden spyware-bestandsfragment: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
- Domein van de Discover-Tech adserver: mtrtb[.]com
Daarnaast worden er volgens het onderzoek meer indicatoren gedeeld, waaronder command-and-control adressen. Wie intern incidenten onderzoekt, kan deze lijst gebruiken om gerichte jacht (threat hunting) uit te voeren.
Zero-click dreigingen: herken het risico van “advertentie als kanaal”
Het idee dat advertentie- en targeting-systemen kunnen worden ingezet als aanvalstrap is niet nieuw. Tegelijk blijft het schokkend wanneer er technisch bewijs opduikt dat het daadwerkelijk op echte apparaten werd uitgevoerd. De campagne rond zero-click Candiru illustreert dat het niet per se “de gebruiker” is die iets fout doet; de aanval kan al starten tijdens normale surf- of contentweergave.
Voor defenders betekent dat: het is niet genoeg om alleen browserplugins of downloads te monitoren. Ook de keten rondom adverkeer, externe requests en ongebruikelijke serverbezoeken hoort in het onderzoeksscope te zitten.
Heb je te maken met een bredere verzameling softwarekwetsbaarheden of exploitketens? Dan kan het helpen om te kijken naar eerdere analyses van Citizen Lab-achtige scenario’s of openbare patch-updates. Als je zoekt naar voorbeelden van hoe patches en exploitketens in praktijk worden benaderd, is ook relevant: Bron: https://thehackernews.com/2026/10/citizen-lab-traces-zero-click-candiru.html
1 reactie