Candiru : un espiogiciel zéro-clic livré par la publicité ciblée

Le Citizen Lab affirme que l'espiogiciel mercenaire Candiru a infecté des appareils d'Al Jazeera via de simples publicités en ligne, sans le moindre clic ni action de la victime. La source primaire est le rapport n° 195 du Citizen Lab, Exposing AdFection (15 octobre), publié de concert avec l'entreprise de cybersécurité Confiant. Côté français, Next a relayé la découverte. Les chercheurs parlent de « pubfection » ou « adfection ».

Les faits

45 appareils d'Al Jazeera ont été ciblés entre 2024 et 2025. Le Citizen Lab rattache l'activité à Candiru — société israélienne concurrente de NSO, que le rapport dit rebaptisée « Integrity Labs » — avec un niveau de confiance élevé, sur la base d'empreintes d'infrastructure et d'un échantillon Windows considéré comme une version récente de la chaîne Candiru documentée en 2021 (persistance par détournement COM, clé XOR répétée de 48 octets, mêmes domaines de contrôle de connectivité).

Le vecteur de livraison est Discover-Tech, présentée par le Citizen Lab comme une société publicitaire israélienne qui se fait passer pour un acteur légitime tout en servant de pont entre régies publicitaires et éditeurs d'espiogiciels. Sa plateforme, Controlium, permet de viser une personne précise par identifiant publicitaire mobile, identifiant de navigateur ou adresse IP.

Comment fonctionne la chaîne zéro-clic

La publicité elle-même ne contient aucun code d'exploitation — ce qui explique que les régies n'avaient rien de malveillant à détecter :

1. Une publicité Discover-Tech embarque une balise de script pointant vers un serveur « NOAS ».
2. Au chargement, elle transmet les identifiants publicitaires du visiteur à Discover-Tech.
3. Le serveur NOAS décide, selon l'IP et les identifiants, de renvoyer du JavaScript ou une réponse vide. Un non-cible ne reçoit rien.
4. Un appareil ciblé est aiguillé vers un serveur de validation Candiru, puis vers un serveur de commande et de contrôle.

Le Citizen Lab insiste sur la limite de sa télémétrie : « Une impression publicitaire de Discover-Tech ne confirme pas en soi un ciblage ou une infection. »

Ampleur

Entre mars et juin 2026, Discover-Tech aurait diffusé ses publicités auprès d'utilisateurs de 75 373 applications et 120 768 sites web, à partir d'environ quatre milliards d'enregistrements d'enchères. Android a été davantage exposé : selon Next, l'application Viber a servi 700 000 publicités Discover-Tech sur Android, contre 200 000 sur iOS. Confiant indique que ces publicités ont atteint les réseaux de grandes entités publiques, dont le département de la Défense américain — une portée, pas une compromission confirmée.

Google, IAB Europe, Beeswax, Vungle et Eskimi ont coupé l'accès de Discover-Tech après avoir été informés ; Google l'a retirée de ses places de marché publicitaires début octobre 2026.

Indicateurs

Le Citizen Lab et Confiant ont publié des indicateurs de compromission. L'échantillon Candiru récupéré :

SHA-256  255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
C2       fearevolve[.]com, jobmarcher[.]com
Valid.   keyadapter[.]com, sharethere[.]net

La liste complète, y compris l'infrastructure Discover-Tech (controlium[.]net, powerium[.]net, ppv2[.]mtrtb[.]com), figure dans le rapport du Citizen Lab et l'analyse de Confiant.

Que faire

1. Profils à risque (journalistes, sources, leurs contacts) : appareil récent et à jour, et mode de confinement limitant l'exposition du moteur de rendu web et publicitaire.
2. Défenseurs en entreprise : passez les domaines et le condensat publiés dans vos journaux DNS, proxy et EDR, et regardez les chemins de navigation chargés en publicités, pas seulement la messagerie.
3. Bloquez la publicité au niveau réseau. Le conseil direct du chercheur John Scott-Railton est de bloquer les publicités dès maintenant : cela supprime la surface de livraison dont dépend cette chaîne.

Contexte

Al Jazeera est une cible récurrente : Pegasus, de NSO Group, avait frappé ses journalistes en 2020 via un exploit zéro-clic iMessage. De Pegasus à AdFection, le modèle économique est le même — la surveillance sur commande vendue à des clients étatiques — mais le vecteur change : ce n'est plus une faille de messagerie, c'est la chaîne d'approvisionnement de la publicité en ligne. La nouveauté est l'attribution d'un chemin d'infection zéro-clic à l'écosystème publicitaire lui-même.