Los anuncios dirigidos explotan vulnerabilidades de zero-click para desplegar spyware mercenario

Image: Ars Technica · Source

Citizen Lab revela que la empresa israelí Discover-Tech facilitó anuncios dirigidos con exploits de zero-click que instalaron el spyware Candiru en dispositivos iOS y Android de Al Jazeera y otros.

Investigación detallada descubre campaña de spyware a través de anuncios dirigidos

Una investigación detallada realizada por Citizen Lab de la Universidad de Toronto ha descubierto una sofisticada campaña de spyware que utiliza publicidad dirigida para entregar exploits de zero-click en dispositivos móviles. La campaña, denominada AdFection, infectó al menos 45 dispositivos pertenecientes al personal de Al Jazeera durante 2024 y 2025, marcando el primer caso confirmado de despliegue de spyware mercenario mediante anuncios dirigidos.

Distribución y modus operandi

El informe de Citizen Lab indica que el spyware se distribuyó a través de anuncios suministrados por Discover-Tech, una empresa israelí que actúa como intermediaria entre anunciantes que buscan perfiles específicos de usuarios y editores o desarrolladores de aplicaciones. Este acuerdo permitió a Discover-Tech servir anuncios maliciosos que incorporaban código de ataque zero-click, infectando dispositivos iOS y Android cuando los usuarios simplemente cargaban un sitio web o una aplicación sin interacción directa.

Alcance global y técnicas de perfilado

Mediante un análisis exhaustivo de más de 4 mil millones de registros de pujas gestionados por Discover-Tech, la investigación reveló que los anuncios de la empresa aparecieron en más de 70,000 aplicaciones móviles y 120,000 sitios web a nivel mundial entre marzo y junio de 2026. La campaña enfocó a usuarios al aprovechar perfiles detallados construidos a partir de identificadores móviles únicos, datos de geolocalización, direcciones IP y otros identificadores. Destacadamente, Discover-Tech también explotó mecanismos de GDPR para dirigir los ataques dentro de la Unión Europea.

Exposición a entidades sensibles y fallas del ecosistema publicitario

Generando mayores alarmas, las impresiones publicitarias de Discover-Tech se detectaron en redes vinculadas con gobiernos, seguridad nacional e infraestructura crítica, incluyendo la OTAN, las Naciones Unidas, cuerpos legislativos europeos y varias fuerzas armadas. Esta amplia exposición enfatiza vulnerabilidades intrínsecas dentro del ecosistema de publicidad en línea, que no logró identificar ni bloquear el uso indebido.

Respuesta de la industria

Tras la divulgación, actores principales de la industria como Google, IAB Europe, Beeswax, Vungle y Eskimi actuaron rápidamente para eliminar o suspender a Discover-Tech de sus plataformas, limitando las capacidades de distribución de anuncios de la empresa.

Atribución y detalles técnicos

Citizen Lab atribuye el spyware subyacente a Candiru (también conocido como Integrity Labs), una firma de hacking mercenario. Candiru suministró los exploits zero-click y las cargas útiles de spyware entregadas mediante la infraestructura publicitaria de Discover-Tech.

La investigación no detalla las vulnerabilidades exactas explotadas, pero sugiere que probablemente se trató de ataques zero-day que posteriormente fueron parchados tras la exposición de la campaña. Los intentos de obtener comentarios de Discover-Tech y Candiru no tuvieron respuesta.

Recomendaciones y llamado a reformas

En respuesta a estos hallazgos, Citizen Lab insta a anunciantes y agencias gubernamentales a implementar salvaguardas robustas contra tales amenazas. Recomiendan que los usuarios individuales empleen bloqueadores de anuncios, reinicien regularmente los identificadores publicitarios móviles y aseguren actualizaciones oportunas del software para reducir riesgos de infección. La investigación subraya la necesidad crítica de reformas sistémicas dentro de la publicidad digital para prevenir que campañas de spyware mercenario se propaguen a través de canales comerciales confiables.