Des chercheurs de Citizen Lab ont documenté le premier cas confirmé publiquement de diffusion d'un logiciel espion mercenaire par le biais de publicités en ligne ciblées, sans nécessiter de clic. Cette technique, appelée AdFection, a servi à infecter des appareils d'Al Jazeera avec le logiciel espion Candiru.
Au moins 45 appareils de l'organisation de presse ont été ciblés en 2024 et 2025. Les chercheurs ont établi avec un haut degré de confiance que les attaques étaient liées à des publicités malveillantes achetées par Discover-Tech, une entreprise israélienne qui, selon Citizen Lab, a facilité les opérations de plusieurs fournisseurs de solutions de surveillance. Les chercheurs ont confirmé des infections, sans établir que les 45 appareils ciblés avaient tous été compromis.
Les enchères publicitaires en temps réel traitent chaque jour des centaines de milliards d'offres. Selon l'enquête de Citizen Lab publiée le 15 octobre, cette infrastructure a servi à établir le profil de millions d'utilisateurs et à diffuser discrètement des logiciels espions auprès de cibles sélectionnées.
Qu'est-ce que l'attaque de logiciel espion AdFection sans clic ?
AdFection exploite le fonctionnement des systèmes de publicité en ligne qui diffusent du contenu aux navigateurs et aux applications.
Lorsqu'une publicité de Discover-Tech se charge, le code intégré contacte les serveurs de l'entreprise et envoie des informations pouvant inclure des identifiants publicitaires, des cookies et l'adresse IP de l'appareil.
Si l'appareil correspond à une cible visée, le serveur peut renvoyer du code JavaScript malveillant qui s'exécute dans le navigateur ou l'application et diffuse un exploit. La plupart des appareils ne reçoivent aucun code malveillant, même si leurs informations peuvent tout de même être collectées.
L'utilisateur n'a pas besoin de cliquer sur la publicité, de télécharger un fichier ou d'approuver une installation. Dans certains cas, la publicité peut s'afficher en arrière-plan sans être visible.
Les précédentes attaques de logiciels espions sans clic ont exploité des plateformes de messagerie. AdFection utilise au contraire les systèmes publicitaires déjà intégrés aux sites web et aux applications.
Citizen Lab qualifie cette première publique confirmation technique d'une infection par logiciel espion au moyen de publicités ciblées, et non d'une preuve que de telles attaques ne se sont jamais produites auparavant.
L'ampleur du système de diffusion dépasse largement le cas d'Al Jazeera.
Les chercheurs ont analysé près de 4 milliards d'enregistrements d'enchères de Discover-Tech couvrant la période de mars à juin 2026. Ces données montrent que ses publicités sont apparues sur plus de 120 000 sites web et 70 000 applications mobiles dans des dizaines de pays.
Une simple impression publicitaire ne confirme ni le ciblage ni l'infection par un logiciel espion. Citizen Lab indique que ces impressions témoignent d'une exposition à l'infrastructure de profilage de Discover-Tech, tandis que l'exploitation effective nécessite des éléments supplémentaires.
Comment des publicités ciblées ont diffusé le logiciel espion Candiru à Al Jazeera
Citizen Lab a confirmé que des appareils d'Al Jazeera avaient été infectés par un logiciel espion associé à Candiru, un fournisseur commercial de solutions de surveillance qui opère désormais sous le nom d'Integrity Labs.
L'enquête s'est appuyée sur des journaux réseau fournis par Al Jazeera, qui ont permis aux chercheurs de reconstituer la séquence de l'infection.
Les appareils concernés ont d'abord contacté l'infrastructure de Discover-Tech lorsqu'une publicité s'est chargée. Ils se sont ensuite connectés à un serveur de validation de Candiru, qui a vérifié l'appareil avant de poursuivre le profilage et l'infection.
Les appareils infectés avec succès ont ensuite communiqué avec les serveurs de commande et de contrôle de Candiru.
Ces connexions successives ont aidé les chercheurs à identifier le lien entre le système publicitaire et la diffusion du logiciel espion.
La distinction entre ciblage et infection reste importante. Citizen Lab a identifié au moins 45 appareils ciblés, mais ses conclusions publiées n'établissent pas que chaque appareil ciblé a été infecté.
Candiru possède un historique bien établi de fourniture de technologies de surveillance à des gouvernements.
En novembre 2021, le ministère américain du Commerce a ajouté Candiru à sa liste des entités en raison d'éléments montrant que son logiciel espion avait servi à cibler des journalistes, des responsables, des militants et d'autres personnes.
Citizen Lab avait également documenté des opérations de Candiru visant des organisations de la société civile. L'entreprise a ensuite adopté le nom d'Integrity Labs après son acquisition présumée par Integrity Partners, basée aux États-Unis.
Le cas d'Al Jazeera établit que cette technologie de surveillance a été diffusée par une infrastructure publicitaire ordinaire, plutôt que par un lien malveillant envoyé directement à une cible.
Au cœur de la plateforme Controlium de Discover-Tech
Citizen Lab décrit Discover-Tech comme une entreprise de publicité qui assurait la liaison entre des places de marché publicitaires légitimes et des fournisseurs commerciaux de logiciels espions, notamment Candiru, Bindecy et Intelos.
Sa plateforme Controlium permettait aux clients de sélectionner des cibles à l'aide d'identifiants tels que des adresses IP, des identifiants publicitaires mobiles et des cookies de navigateur.
Les partenaires pouvaient ensuite configurer des publicités qui récupéraient du code supplémentaire uniquement lorsqu'elles étaient affichées sur les appareils sélectionnés.
Les chercheurs ont constaté que Discover-Tech utilisait des infrastructures publicitaires associées à Google, Yandex, Beeswax, Vungle et Eskimi.
La conception de la plateforme contribuait à dissimuler les activités malveillantes aux services qui diffusaient les publicités. Une publicité soumise à une place de marché ne contenait pas nécessairement l'exploit lui-même. Le code malveillant pouvait au contraire être fourni ultérieurement par les serveurs de Discover-Tech.
Dans une autre enquête technique publiée parallèlement au rapport de Citizen Lab, l'entreprise spécialisée dans la sécurité publicitaire Confiant a identifié une empreinte numérique sophistiquée des appareils, des canaux de commande chiffrés et des mécanismes permettant de diffuser du code à des utilisateurs sélectionnés.
Confiant a également constaté que certaines publicités collectaient des cookies de sites web propriétaires, notamment des identifiants de session, dans des conditions où les restrictions de sécurité des navigateurs autorisaient cet accès.
L'opération a atteint des réseaux sensibles.
Citizen Lab a identifié des impressions publicitaires de Discover-Tech associées à des réseaux de l'OTAN et de l'ONU, à des institutions de l'Union européenne, à des agences gouvernementales au Danemark, en Norvège et en Suède, ainsi qu'à des organisations participant à des activités de défense et de recherche nucléaire.
Les chercheurs ont également observé des impressions sur des réseaux associés à de grandes entreprises technologiques.
Ces constatations n'établissent pas que l'une de ces organisations a été compromise. Les données publicitaires au niveau des réseaux ne permettent pas d'identifier chaque personne ayant reçu une publicité ni de prouver qu'un logiciel espion a été installé.
Citizen Lab indique qu'un autre acteur, désigné sous le nom de DARK CARTOGRAPHER, a utilisé l'infrastructure de Discover-Tech pour relier des identifiants publicitaires à des numéros de téléphone en exploitant des vulnérabilités des réseaux mobiles. D'autres conclusions sont attendues dans un rapport ultérieur.
La réaction du secteur publicitaire
Citizen Lab a constaté que Discover-Tech figurait sur des listes de fournisseurs approuvés ou certifiés tenues par Google et par l'association sectorielle IAB Europe.
Ces inscriptions ont aidé l'entreprise à participer à grande échelle aux systèmes publicitaires, malgré des liens entre sa direction et des acteurs du secteur de la surveillance qui, selon les chercheurs, étaient publiquement accessibles.
À la suite de l'enquête, Google a mis fin à l'accès de Discover-Tech à ses places de marché publicitaires et a retiré l'entreprise de ses registres de fournisseurs.
Google a également indiqué à Citizen Lab avoir déployé des protections Safe Browsing pour les domaines connus associés à l'opération.
IAB Europe a retiré Discover-Tech de sa Global Vendor List le 8 octobre.
Beeswax a retiré l'entreprise de sa plateforme publicitaire après une validation de sécurité indépendante. Vungle, propriété de Liftoff, a suspendu son accès pendant l'examen des conclusions.
Eskimi a bloqué les comptes et les domaines associés à Discover-Tech. Dans sa réponse à Citizen Lab, Eskimi a déclaré que les balises publicitaires de l'entreprise diffusaient un code différent selon l'appareil, l'adresse IP et la localisation, permettant à certaines campagnes d'échapper à l'analyse automatisée.
L'enquête a révélé des failles dans les systèmes de vérification utilisés par les entreprises de publicité. Les menaces de malvertising ont montré comment les réseaux publicitaires peuvent diffuser du contenu malveillant, mais AdFection ajoute un ciblage motivé par la surveillance et une exploitation sans clic.
Ce qui est confirmé — et ce qui ne l'est pas
Citizen Lab est très convaincu que le logiciel espion Candiru a infecté des appareils d'Al Jazeera par l'intermédiaire de publicités de Discover-Tech.
Les chercheurs n'ont pas établi quel gouvernement avait commandité ces attaques ni combien des millions d'appareils profilés avaient été effectivement compromis.
Les impressions publicitaires observées sur des réseaux sensibles sont la preuve d'une exposition et d'un profilage potentiel, et non la confirmation d'une infection par un logiciel espion.
Citizen Lab appelle les autorités de régulation à enquêter pour déterminer si Discover-Tech et Candiru ont enfreint les lois applicables et à renforcer la surveillance du secteur publicitaire.
Pour les organisations, les chercheurs recommandent de bloquer la publicité et le suivi au niveau des passerelles réseau et sur les appareils administrés lorsque cela est possible. Ils conseillent également de restreindre les identifiants publicitaires au moyen de politiques de gestion des appareils mobiles.
Les personnes présentant un risque élevé devraient envisager d'utiliser des bloqueurs de publicités fiables, désactiver le suivi publicitaire personnalisé lorsque cela est possible et maintenir leurs appareils à jour. Ces mesures peuvent réduire l'exposition, mais ne peuvent pas garantir une protection contre tous les exploits sans clic.
Les équipes de sécurité devraient également conserver les éléments pertinents provenant du réseau et des terminaux lorsqu'elles enquêtent sur des infections présumées. Des fonctionnalités plus récentes telles que la journalisation des intrusions de logiciels espions d'Android peuvent faciliter les enquêtes, même si elles n'empêchent pas directement les attaques de type AdFection.
Les conclusions concernant Al Jazeera montrent qu'un appareil peut être compromis par une publicité avec laquelle l'utilisateur n'a jamais interagi. La prévention d'attaques similaires nécessitera un contrôle plus rigoureux de l'infrastructure publicitaire qui diffuse du code aux navigateurs et aux applications.
À lire aussi : la récente attaque de logiciel espion DarkSword visant l'iPhone a documenté des menaces ciblant des informations sensibles stockées sur les appareils, notamment les identifiants du trousseau et les données de portefeuilles de cryptomonnaies.