Candiru : des publicités en ligne ont suffi à installer un logiciel espion

Selon un rapport de Citizen Lab, relayé le 16 octobre 2026 par Bleeping Computer, le logiciel espion Candiru a été livré à des appareils d’Al Jazeera Media Network par des publicités ciblées. L’attaque ne demande aucun clic : il suffit que l’annonce s’affiche sur l’appareil. Les chercheurs nomment cette technique AdFection et y voient la première confirmation technique publique d’un logiciel espion de mercenaires diffusé par la publicité ciblée.

Cette information repose sur une source unique, le rapport de Citizen Lab tel que repris par Bleeping Computer. Nous ne l’avons pas recoupée auprès d’une deuxième source indépendante ; les éléments ci-dessous sont donc ceux que décrit ce rapport.

Un précédent documenté en 2025

Fin 2025, Amnesty International avait documenté une méthode voisine : des annonces ayant infecté des cibles avec le logiciel espion Predator, là encore sans aucun clic. Ce mécanisme, baptisé Aladdin, était apparu à partir de fichiers marketing et de documents issus de la société de surveillance Intellexa, fuités puis étudiés par des chercheurs. AdFection s’en distingue sur un point : il a été observé dans de véritables attaques, et rattaché à l’entreprise israélienne Discover-Tech.

Une annonce, puis un tri

Selon Citizen Lab, Discover-Tech achetait des espaces publicitaires auprès de réseaux et de plateformes d’enchères grand public. Ses annonces embarquaient du JavaScript qui contactait un serveur de la société, appelé NOAS ou getAd, dès leur affichage. Ce serveur évaluait, à partir de paramètres comme l’adresse IP ou les identifiants publicitaires, si l’appareil pouvait recevoir du code supplémentaire. Les cibles retenues le recevaient ; les autres appareils ne recevaient rien, ce qui rend l’opération difficile à repérer.

La plateforme de l’entreprise, nommée Controlium, permettait à ses clients de viser des appareils précis avec du code malveillant, ou de les profiler, de les désanonymiser et d’en établir une empreinte. Les journaux réseau fournis par Al Jazeera montrent une chaîne allant de l’infrastructure de Discover-Tech vers des serveurs de validation de Candiru, puis vers les serveurs de commande du logiciel espion.

Candiru, et des cibles au-delà d’une rédaction

Candiru est une société israélienne qui vend des outils de surveillance, officiellement aux seuls gouvernements. Elle a développé DevilsTongue, un logiciel malveillant pour Windows capable de voler fichiers, identifiants et messages. Selon des rapports antérieurs, ses outils ont été déployés via des failles zero-day sous Windows et Chrome contre des journalistes, des militants et des responsables politiques.

Al Jazeera a fourni à Citizen Lab des éléments sur des attaques ayant visé au moins 45 appareils entre 2024 et 2025. Sur un système Windows compromis, les chercheurs ont récupéré une bibliothèque DLL qu’ils attribuent à Candiru avec un haut degré de confiance, à partir de recoupements d’infrastructure et de code avec des échantillons déjà capturés.

Une campagne à grande échelle

Entre mars et juin 2026, l’opération publicitaire a placé 3,77 milliards d’enchères et en a remporté 442 millions, selon Citizen Lab. Des annonces jugées porter des balises de script de l’attaquant sont apparues sur 75 373 applications Android et iOS et 120 768 sites web. Ces chiffres ne comptent pas des infections : Citizen Lab estime que des centaines de milliers à des millions d’utilisateurs ont été dirigés vers ces domaines via les annonces de Discover-Tech.

Après la réception de ces rapports, Google, IAB Europe, Beeswax, Eskimi et Vungle ont retiré les comptes concernés et bloqué l’accès à des domaines. Ne pas cliquer ne protège donc pas dans ce cas : il suffisait que l’annonce s’affiche à l’écran. L’article source ne décrit aucune parade à la portée de l’utilisateur.