A Candiru, empresa israelense que vende spyware a governos, infectou dispositivos da rede de notícias Al Jazeera por meio de anúncios comuns na internet. Os ataques não exigiam que as vítimas clicassem ou realizassem qualquer outra ação, segundo pesquisadores do Citizen Lab, que divulgaram as descobertas na quinta-feira.
O código malicioso oculto era executado assim que o anúncio aparecia na tela. Em alguns casos, porém, o anúncio era carregado em segundo plano, fora do campo de visão.
O Citizen Lab, grupo de pesquisa da Universidade de Toronto, afirmou que esta é a primeira confirmação técnica pública de que spyware mercenário, ou seja, ferramentas de invasão vendidas a governos, chegou a dispositivos reais por meio de anúncios direcionados. O método já havia sido descrito em documentos vazados de empresas, mas ainda não tinha sido identificado em um ataque em andamento.
Os pesquisadores recuperaram o próprio spyware de um dispositivo, mas não o exploit usado para invadir o navegador ou o aplicativo e instalá-lo. Essa etapa inicial foi descrita com base na estrutura do ataque, e não em código capturado.
Como o ataque funcionava
Os anúncios eram veiculados pela Discover-Tech, empresa israelense que se apresenta como uma companhia comum de publicidade digital. Cada anúncio continha um pequeno trecho de código que, quando carregado, enviava silenciosamente o identificador de publicidade e o endereço de internet do dispositivo a um servidor da Discover-Tech, descobriram os pesquisadores.
O servidor verificava se o dispositivo pertencia a um alvo. Em caso positivo, enviava código de ataque para ser executado pelo navegador ou aplicativo. Caso contrário, não enviava nada. Como o próprio anúncio não continha o código de ataque, as redes de anúncios que o distribuíam não tinham conteúdo malicioso para detectar.
Pelo menos 45 dispositivos da Al Jazeera foram alvos em 2024 e 2025, informou o Citizen Lab. O grupo atribuiu os ataques à Candiru com alto grau de confiança, mas não identificou o governo responsável pela operação.
A rede forneceu seus logs de tráfego aos pesquisadores. Nos dispositivos infectados, os registros mostraram a mesma sequência: primeiro, o contato com um servidor de anúncios da Discover-Tech; depois, com um servidor da Candiru que fazia a triagem do dispositivo; por fim, com um servidor de command and control que executava o spyware.
A Al Jazeera também extraiu de um dispositivo comprometido um arquivo de programa do Windows. O código usava as mesmas técnicas incomuns de uma ferramenta da Candiru analisada pelo Citizen Lab em 2021. Essa semelhança embasa a atribuição com alto grau de confiança.
Funcionários da Al Jazeera já haviam sido alvo de uma operação anterior. Em 2020, dezenas de iPhones de jornalistas da rede foram invadidos com o spyware Pegasus, da NSO Group, em uma operação diferente, que empregou outro método.
Quem são a Discover-Tech e a Candiru
O Google e a associação do setor de publicidade IAB Europe listaram a Discover-Tech como fornecedora de anúncios aprovada de 2020 até outubro de 2026. Registrada em Israel em 2020, a empresa é liderada por seu diretor-executivo, Dekel Boni.
A Candiru é um dos nomes mais conhecidos do mercado de spyware. Em 2021, os Estados Unidos incluíram a empresa em uma lista de restrições comerciais por causa do uso de seu spyware contra autoridades governamentais, jornalistas e ativistas. Em 2025, seus ativos foram comprados pela empresa de investimentos americana Integrity Partners e transferidos para uma nova companhia, que, segundo relatos, se chama Integrity Labs e não está sujeita às sanções.
O que fizeram as plataformas
Depois que os pesquisadores compartilharam as descobertas, o Google e a IAB Europe removeram a Discover-Tech de suas listas de fornecedores no início de outubro, informou o Citizen Lab. O Google bloqueou o acesso da empresa às suas bolsas de anúncios, a Beeswax a removeu, a Vungle suspendeu o acesso para fazer uma análise e a Eskimi bloqueou suas contas.
Segundo a Reuters, o Google afirmou que trabalhou com os pesquisadores e removeu a Discover-Tech “por violar sistematicamente nossas políticas”. A IAB Europe informou que suspendeu a empresa após uma auditoria identificar violações. A Comcast, proprietária da Beeswax, disse que tomou medidas “após atividades recentes”.
A Reuters informou que a Discover-Tech, os proprietários da Candiru, a Al Jazeera e a rede russa de anúncios Yandex não responderam aos pedidos de comentário. Na quinta-feira, o site da Discover-Tech continuava no ar e não mencionava as descobertas.
O alcance dos anúncios
A presença da Discover-Tech ia muito além da Al Jazeera. Em uma de suas plataformas, a empresa fez quase 4 bilhões de ofertas por anúncios entre março e junho de 2026, segundo o Citizen Lab. Os anúncios com o código oculto de callback apareceram em cerca de 75.000 aplicativos para celular e 120.000 sites.
A Confiant, empresa americana de segurança de anúncios que investigou o caso junto com o Citizen Lab, estimou que o tráfego da Discover-Tech chegava a aproximadamente 10 milhões de anúncios por dia.
Os anúncios apareceram em redes de governos e grandes instituições, incluindo a OTAN, as Nações Unidas, órgãos da União Europeia, escritórios governamentais de cerca de duas dezenas de países, fabricantes de chips e organizações de notícias, informou o Citizen Lab. A aparição de um anúncio em uma rede não prova que alguém conectado a ela tenha sido infectado. Ela indica apenas o alcance potencial do sistema.
A Confiant identificou poucos anúncios que podiam ser associados diretamente à Candiru. Eles tinham baixo volume e alcançavam principalmente conexões domésticas e de internet móvel, em vez de redes sensíveis.
O que as equipes de defesa podem verificar
O Citizen Lab e a Confiant publicaram os endereços de internet e arquivos associados à operação para que as equipes de defesa possam bloqueá-los e procurá-los em seus próprios registros. Organizações cujos funcionários possam ter visto os anúncios, especialmente as redes mencionadas no relatório, podem buscar a sequência de conexões do ataque: um dispositivo acessando um servidor de anúncios da Discover-Tech, seguido por um servidor de triagem da Candiru e, depois, por um servidor de command and control.
Entre os indicadores publicados estão:
- SHA-256, hash da amostra de spyware recuperada: `255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8`
- Domínio do servidor de anúncios da Discover-Tech: `mtrtb[.]com`
- Lista completa: indicadores no relatório da Confiant, incluindo os servidores de command and control.
Pesquisadores de segurança alertam há anos que o sistema de compra de anúncios poderia ser usado para esse tipo de operação. Em dezembro, documentos vazados associaram a fabricante de spyware Intellexa a uma ferramenta semelhante, baseada em anúncios e chamada Aladdin, embora nenhuma infecção em andamento tenha sido demonstrada.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...