Onderzoekers van Citizen Lab melden een verontrustende besmettingsroute: Candiru via zero-click advertenties. In hun technische analyse zouden apparaten van medewerkers en/of kijkers van de nieuwsorganisatie Al Jazeera zijn benaderd via normale online advertenties — zonder dat gebruikers hoefden te klikken, downloaden of een actie moesten ondernemen.
De kern van de aanpak is dat verborgen aanvalscode niet in de advertentie zelf “zichtbaar” is voor advertentienetwerken. In plaats daarvan draait een klein stukje code zodra een advertentie laadt, waarna een beslisproces op een server bepaalt of er vervolgcode wordt teruggestuurd voor het doelapparaat.
Wat is er gevonden aan Candiru via zero-click advertenties?
Citizen Lab beschrijft dat de aanval draait zodra de advertentie wordt geladen op het scherm. In sommige gevallen zou de advertentie zelfs buiten beeld kunnen verschijnen, terwijl de uitvoering op de achtergrond toch plaatsvindt.
Het rapport noemt dit de eerste publieke, technische bevestiging dat “mercenary spyware” — spyware die wordt verkocht aan overheden — daadwerkelijk terechtkomt op echte apparaten via gerichte advertenties. Eerder werden vergelijkbare ideeën al genoemd op basis van gelekte documenten, maar nu ontbreekt de “live” demonstratie niet meer: de onderzoekers koppelen het tot in de keten van adlevering en besmetting.
Hoe de aanval werkte: van advertentie naar spionagesoftware
Citizen Lab legt het proces uit als een reeks stappen die telkens terugkomen in de volgorde van netwerkverzoeken op geïnfecteerde apparaten.
1) Advertentieketen met een verborgen callback
De advertenties zouden afkomstig zijn van een aanbieder die zichzelf presenteert als reguliere digitale adverteerder: Discover-Tech. Elke advertentie bevatte volgens de onderzoekers een klein stukje code. Zodra de advertentie laadt, verstuurt die code stilletjes informatie zoals het advertising ID en het internetadres van het apparaat richting een Discover-Tech-server.
2) Doelselectie op basis van het apparaat
Vervolgens kiest de Discover-Tech-server of het apparaat binnen een doelgroep valt. Als dat zo is, stuurt de server de volgende stap terug: aanvalscode voor de browser of een app. Is het apparaat niet interessant, dan zou de server geen aanvalcode terugsturen.
3) Daarna volgen controle en command-and-control
Na de screeningserver volgt een command-and-control-server die verantwoordelijk is voor het uitvoeren van de spyware. Citizen Lab zegt dat de geïnfecteerde devices telkens dezelfde volgorde tonen: contact met een Discover-Tech-adserver, daarna een Candiru-screeningserver en vervolgens de command-and-control stap.
Waarom detectie lastig is: geen “aanval in de advertentie”
Een belangrijk detail uit het Citizen Lab-onderzoek is dat de advertentie zelf geen herkenbare aanvalscode zou bevatten. Daardoor zouden de ad-netwerken die de advertentie leveren in theorie minder “haakjes” hebben om het schadelijke gedrag automatisch te blokkeren. De echte beslis- en uitvoeringslogica verplaatst zich naar servers die alleen reageren wanneer het doelapparaat wordt herkend.
Onderzoekers benadrukken bovendien dat de advertoning op een netwerk iets anders bewijst dan daadwerkelijke infecties. Dat er een advertentie op bijvoorbeeld een overheids- of institutioneel netwerk verscheen, betekent niet automatisch dat daar ook iemand besmet werd.
Doelwit en context: Al Jazeera en het bredere advertentie-bereik
Citizen Lab meldt dat er in de periode 2024 en 2025 ten minste 45 apparaten werden gericht bij Al Jazeera. De onderzoekers koppelen de aanvallen aan Candiru met “hoge” betrouwbaarheid. Welke overheid precies achter de operatie zat, wordt in het rapport niet met naam genoemd.
Daarnaast beschrijven de onderzoekers dat Discover-Tech een veel breder bereik had dan alleen deze casus. Op een van hun platforms zouden er in maart tot juni 2026 bijna vier miljard ad-bids zijn geplaatst, met advertentie-uitingen die in de buurt kwamen van tientallen duizenden apps en websites.
Wat vonden ze op besmette apparaten?
Citizen Lab zegt één keer de spyware zelf te hebben kunnen terugvinden op een geïnfecteerd apparaat. De onderzoekers konden echter niet dezelfde exploit terughalen die de eerste stap verzorgt om de browser of app te doorbreken en vervolgens de spyware te installeren.
Die initiële stap wordt volgens de analyse beschreven via hoe de aanval was opgezet, maar niet direct bewezen met een volledig gevangen exploitcode-voorbeeld.
Wel noemt het rapport een vergelijkbaarheid met een techniekset die eerder door Citizen Lab is geanalyseerd (rond 2021). Al Jazeera zou ook een Windows-programmafragment hebben opgehaald van een gecompromitteerd apparaat; de code gebruikte volgens de onderzoekers dezelfde karakteristieke werkwijze.
Wie waren de partijen: Discover-Tech en Candiru
Discover-Tech wordt beschreven als een Israëlisch bedrijf dat tot voor kort als goedgekeurde adverteerder/vendor zou zijn opgenomen in lijsten. Citizen Lab meldt dat zowel Google als de brancheorganisatie IAB Europe Discover-Tech vanaf 2020 tot begin oktober als goedgekeurde partij lieten staan.
Candiru is een bekende naam in de spywarehandel. In 2021 plaatste de Verenigde Staten Candiru op een handelszwarte lijst vanwege spyware die zou zijn gebruikt om onder meer overheidsfunctionarissen, journalisten en activisten te benaderen. In 2025 zouden Candiru’s assets zijn overgenomen door een Amerikaanse investeringspartij, waarna de activiteiten zouden zijn verplaatst naar een nieuwe entiteit, die niet onder dezelfde sancties zou vallen.
Reactie van platforms na publicatie
Na het delen van de bevindingen door de onderzoekers zouden Google en IAB Europe Discover-Tech in de vroege periode van oktober hebben verwijderd of geschorst. Citizen Lab noemt concrete acties: Google stopte toegang tot ad exchanges, Beeswax verwijderde toegang voor review, Vungle pauzeerde toegang en Eskimi blokkeerde accounts.
Google stelt volgens het bericht met Reuters dat het bedrijf Discover-Tech verwijderde omdat het “systematisch” in strijd zou zijn met hun beleid. Ook IAB Europe zou Discover-Tech hebben geschorst na een audit die beleidsafwijkingen vond.
Wat kunnen verdedigers nu checken?
Citizen Lab en een aanvullende onderzoeksgroep publiceren webadressen en bestanden die aan de operatie worden gekoppeld. Dat betekent dat organisaties hun eigen logging en verdacht verkeer kunnen doorzoeken en waar mogelijk blokkeren.
Als je personeel (of bezoekers) mogelijk op de relevante advertentienetwerken zag, is het verstandig om te letten op de volgorde van verbindingen die de onderzoekers beschrijven:
- eerst contact met een Discover-Tech-adserver;
- vervolgens contact met een Candiru-screeningserver;
- tot slot contact met de command-and-control-infrastructuur.
De onderzoekers delen ook indicators. Een voorbeeld dat in het nieuwsbericht staat:
- Domain (Discover-Tech ad server): mtrtb[.]com
- SHA-256 (teruggevonden spyware sample): 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
Voor volledige indicatoren verwijzen de onderzoekers naar een aanvullende publicatie van Confiant. Verdedigers kunnen deze IO’s gebruiken om hun eigen systemen en records te doorzoeken.
Relatie met eerdere ad-gedreven aanvallen
Het beveiligingsdomein waarschuwt al langer dat advertentiebekrachtigings- en ad-buying systemen misbruikt kunnen worden als distributiekanaal. Citizen Lab noemt bovendien dat er eerder gelekte documenten waren die spywaremaker Intellexa koppelden aan een vergelijkbare advertentie-gedreven werkwijze (met een tool genaamd Aladdin), al liet die eerdere informatie volgens het bericht geen live infectie zien.
Als je wilt verdiepen in hoe aanvallen via webketens en browsercontext kunnen doorwerken, kan ook het bericht over AI confidence is geen validatie nuttig zijn voor teams die forensische bevindingen willen toetsen aan harde bewijzen.
Praktische vervolgstappen voor organisaties
Wanneer je een campagne als Candiru via zero-click serieus neemt, draait het niet alleen om het blokkeren van één domein. Je wilt vooral zicht krijgen op de volgorde en het patroon van connecties dat past bij de aanvalsketen.
Concreet kun je beginnen met het doorzoeken van proxy- of DNS-logs rond advertentieverkeer, het controleren van endpoints (waar mogelijk) op communicatiepatronen en het nalopen van incidentprocedures voor “niets geklikt, toch besmet”-scenario’s.
Daarnaast is het verstandig om intern afspraken te maken met marketing- en webteams: hoewel de advertentieaanvoer normaliter legitiem hoort te zijn, kan gerichte selectie en server-side terugkoppeling het verschil maken tussen normale ad delivery en misbruik.
Conclusie
Citizen Lab toont met hun analyse aan hoe Candiru via zero-click advertenties een apparaat kan bereiken zonder dat een gebruiker iets doet. De aanval gebruikt een schijnbaar regulier advertentiekanaal, verstuurt apparaatgegevens zodra een advertentie laadt en schakelt pas daarna over naar de volgende besmettingsstap.
Voor verdedigers is de boodschap duidelijk: onderzoek niet alleen op “klikbare” downloads of duidelijke exploitmomenten, maar ook op netwerkpatronen in de advertentieketen en de daarbij horende indicators. Daarmee verklein je de kans dat deze vorm van spionage onopgemerkt binnenkomt.
Bron: https://thehackernews.com/2026/10/citizen-lab-traces-zero-click-candiru.html
