Investigadores de Citizen Lab han revelado "AdFection", el primer caso técnico documentado de un spyware mercenario de "cero clics" distribuido a través de anuncios publicitarios dirigidos. Este método permite infectar dispositivos simplemente con visualizar un anuncio en línea, sin que el usuario necesite hacer clic, descargar archivos ni recibir ninguna advertencia previa.

Simplemente ver un anuncio en línea puede ser suficiente para infectar un dispositivo con un potente spyware, sin que tú tengas que hacer clic, descargar un archivo o ver ninguna advertencia.

Investigadores de Citizen Lab documentaron lo que llaman la primera prueba técnica pública de spyware mercenario de "cero clics" entregado a través de anuncios segmentados. El método, denominado “AdFection”, infectó dispositivos de la red de noticias internacional Al Jazeera con un spyware vinculado al proveedor israelí Candiru, que ahora opera como Integrity Labs.

Según la investigación de Citizen Lab, publicada el 15 de octubre de 2026, al menos 45 dispositivos de Al Jazeera fueron atacados durante 2024 y 2025. Los registros de red mostraron que los sistemas infectados contactaron primero con la infraestructura de Discover-Tech después de que se mostrara un anuncio. Luego se conectaron a un servidor de validación de Candiru, que verificó el dispositivo, seguido de un servidor de comando y control utilizado por el spyware.

Spyware de 0 clics infecta dispositivos

Discover-Tech es una empresa israelí que se presenta como un negocio de publicidad. Citizen Lab afirma que actuó como enlace entre el mercado de anuncios en línea y varios grupos de spyware comercial. Su plataforma Controlium permitía a los clientes dirigirse a personas a través de IDs de publicidad móvil, cookies del navegador y direcciones IP.

Una vez que el anuncio se cargaba, el código interno podía contactar con un servidor de Discover-Tech. Ese servidor decidía si el visitante era un objetivo seleccionado. Si los detalles coincidían, podía devolver JavaScript que cargaba más código e iniciaba el proceso de infección. No era necesario ningún clic.

Este método funciona porque los anuncios modernos no siempre son simples imágenes o vídeos. Pueden incluir código para medir visualizaciones, rastrear usuarios y cargar contenido de otras empresas.

Los sistemas de pujas en tiempo real también comparten datos en una fracción de segundo para que los anunciantes decidan si compran un espacio publicitario. Esos datos pueden incluir el ID del dispositivo, la dirección IP, la ubicación y detalles del navegador. AdFection utilizó este diseño para encontrar dispositivos seleccionados y enviar el código solo a ellos, haciendo que la actividad fuera más difícil de detectar para las plataformas de anuncios y los investigadores de seguridad.

La escala de la operación fue mucho mayor que las infecciones confirmadas. Los investigadores examinaron unos cuatro mil millones de registros de pujas de Discover-Tech que cubrían cuatro meses de 2026.

Los anuncios de la empresa aparecieron en casi 200,000 sitios web y aplicaciones de Android o iOS únicos en docenas de países. Millones de dispositivos también fueron dirigidos silenciosamente hacia servidores vinculados a Candiru, probablemente para rastreo y verificaciones antes de un posible ataque. Sin embargo, ver un anuncio de Discover-Tech no prueba que tu dispositivo haya sido infectado. La mayoría de los espectadores no fueron seleccionados para recibir el código del spyware.

Los investigadores recuperaron una DLL de Windows de un dispositivo comprometido y la vincularon a Candiru con alta confianza. La muestra utilizaba el secuestro de COM para permanecer activa y un método XOR repetitivo distintivo de 48 bytes para ocultar cadenas. También contenía dos dominios de comando y control y compartía comportamientos clave con una cadena de herramientas anterior de Candiru.

Su hash SHA-256 es 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8. Puedes encontrar más información en la cobertura sobre el spyware DevilsTongue de Candiru y en la guía sobre los tipos de malware peligrosos.

Citizen Lab también vinculó a Discover-Tech con Intelos y Bindecy. Según se informa, un actor independiente llamado DARK CARTOGRAPHER utilizó la misma infraestructura para vincular IDs publicitarios con números de teléfono abusando de debilidades en los operadores móviles. Esa actividad podría revelar la identidad real detrás de un perfil publicitario. Citizen Lab planea publicar más hallazgos técnicos sobre esta operación en un informe aparte.

Los hallazgos también plantean serias dudas sobre los controles de seguridad dentro de la industria publicitaria. Discover-Tech había aparecido en listas de proveedores aprobados o certificados y servía anuncios a través de redes importantes, incluyendo Google, Yandex y Beeswax. Después de que los investigadores compartieran sus hallazgos, Google eliminó a Discover-Tech de sus plataformas publicitarias.

IAB Europe lo suspendió de su lista de proveedores aprobados, mientras que Beeswax lo eliminó de su plataforma. Vungle pausó el acceso y Eskimi bloqueó las cuentas y dominios relacionados.

Para ti y para las organizaciones, este caso demuestra que el hecho de hacer clic con cuidado no basta para detener todas las infecciones. Los equipos de seguridad deberían bloquear la infraestructura conocida de Discover-Tech y Candiru, inspeccionar el tráfico inusual relacionado con anuncios, limitar los IDs publicitarios y utilizar bloqueadores de anuncios confiables.

El aislamiento del navegador y los controles estrictos sobre los scripts de terceros pueden añadir protección en redes sensibles. También deberías restablecer tus IDs de publicidad móvil y desactivar los anuncios personalizados cuando sea posible. Citizen Lab instó a las empresas de publicidad a mejorar las verificaciones de proveedores, escanear el código de los anuncios, compartir datos sobre amenazas y evitar que terceros desconocidos ejecuten código sin una revisión rigurosa.

AdFection cambia el riesgo de la publicidad en línea porque tú podrías ser víctima sin hacer nada más que abrir una página web o aplicación normal. Las infecciones confirmadas en Al Jazeera muestran que la publicidad segmentada puede convertirse en parte de una cadena de entrega de spyware, mientras que el enorme alcance de estos anuncios demuestra por qué el problema va más allá de una sola redacción.

Ahora se necesitan controles publicitarios más fuertes, una acción más rápida de las plataformas y un mejor monitoreo de red para evitar que los anuncios en línea se conviertan en caminos ocultos hacia tus dispositivos.

Fuentes:
https://cybersecuritynews.com/0-click-spyware-infects-devices/