Citizen Lab bevestigt dat Candiru-spyware via onzichtbare online advertenties apparaten bij Al Jazeera infecteerde zonder gebruikersinteractie.
Onderzoekers van Citizen Lab hebben vastgesteld dat spyware van de Israëlische leverancier Candiru via gerichte online advertenties apparaten bij het mediabedrijf Al Jazeera heeft geïnfecteerd. Deze aanvallen vereisten geen klik of enige andere handeling van de gebruiker. De schadelijke code werd direct uitgevoerd zodra de advertentie werd geladen, soms zelfs onzichtbaar op de achtergrond.
De advertenties werden geplaatst door Discover-Tech, een Israëlisch bedrijf dat zich presenteert als een reguliere digitale advertentieleverancier. Elke advertentie bevatte een klein stukje code dat bij het laden stilletjes het advertentie-ID en het internetadres van het apparaat naar een server van Discover-Tech stuurde. Deze server bepaalde vervolgens of het apparaat een doelwit was. Indien dat zo was, stuurde de server aanvalscode terug die door de browser of app werd uitgevoerd. Omdat de advertentie zelf geen aanvalscode bevatte, konden advertentienetwerken geen schadelijke inhoud detecteren.
Volgens Citizen Lab werden in 2024 en 2025 minstens 45 apparaten bij Al Jazeera op deze wijze aangevallen. De onderzoekers koppelen deze aanvallen met grote zekerheid aan Candiru, mede op basis van een Windows-programmabestand dat Al Jazeera van een geïnfecteerd apparaat wist te bemachtigen. Dit bestand vertoonde dezelfde karakteristieke technieken als een eerder door Citizen Lab geanalyseerde Candiru-tool uit 2021. Welke overheid achter de operatie zit, is niet bekendgemaakt.
Discover-Tech stond sinds 2020 als geautoriseerde advertentieleverancier geregistreerd bij Google en IAB Europe, maar werd begin oktober van deze lijsten verwijderd nadat de bevindingen van Citizen Lab bekend werden. Google en andere platforms hebben de toegang van Discover-Tech tot hun advertentienetwerken geblokkeerd vanwege schending van hun beleidsregels. Candiru staat sinds 2021 op een Amerikaanse handelszwarte lijst vanwege het gebruik van spyware tegen overheidsfunctionarissen, journalisten en activisten. In 2025 werden de activa van Candiru overgenomen door een Amerikaanse investeringsmaatschappij en ondergebracht in een nieuw bedrijf dat niet onder de sancties valt.
