Pe scurt
- Compania israeliană Discover-Tech, aparent o firmă de publicitate digitală, a funcționat simultan ca vector de livrare pentru spyware-ul zero-click dezvoltat de Candiru, potrivit SecurityWeek.
- Tehnologia folosită permitea identificarea și urmărirea dispozitivelor la scară largă, apoi infectarea selectivă a țintelor alese, fără ca utilizatorul să acceseze vreun link sau să execute vreo acțiune.
- Candiru este o companie israeliană de supraveghere digitală, sancționată de Departamentul de Comerț al Statelor Unite în noiembrie 2021, după ce a vândut instrumente de spionaj unor guverne care le-au folosit împotriva jurnaliștilor și activiștilor.
- Schema combina infrastructura legitimă a publicității online cu capacitățile ofensive ale unui producător de spyware, creând un canal de atac practic invizibil pentru victimă.
Potrivit SecurityWeek, compania israeliană Discover-Tech, înregistrată ca furnizor de servicii de publicitate digitală, a servit în paralel drept canal de distribuție pentru spyware-ul zero-click produs de Candiru. Concret, reclamele difuzate prin rețeaua Discover-Tech permiteau actorilor ostili să identifice și să urmărească dispozitivele utilizatorilor la scară industrială, iar apoi să infecteze țintele selectate fără ca acestea să fie nevoite să apese pe nimic.
Candiru este o companie cu sediul în Israel, specializată în dezvoltarea de instrumente de supraveghere digitală ofensivă. În noiembrie 2021, Departamentul de Comerț al Statelor Unite a plasat Candiru pe lista neagră a entităților (Entity List), după ce cercetătorii de la Microsoft și Citizen Lab au documentat utilizarea instrumentelor sale împotriva jurnaliștilor, avocaților și opozanților politici din mai multe țări. Includerea pe această listă restricționează accesul companiei la tehnologie și componente americane.
Descoperirea legăturii dintre Discover-Tech și Candiru adaugă un nou strat de complexitate unui sector deja opac: cel al companiilor de supraveghere comercială care operează în zona gri dintre publicitate, culegere de date și spionaj digital. Investigația publicată de SecurityWeek arată că infrastructura publicitară, considerată în mod obișnuit benignă, poate fi transformată într-un instrument de atac precis și greu de detectat.
Cum funcționează schema
Atacurile de tip zero-click reprezintă categoria cea mai periculoasă din arsenalul spyware-ului comercial: victima nu trebuie să facă nimic pentru a fi compromisă. Nu există un link de phishing de accesat, nu există un fișier de deschis. Dispozitivul este infectat prin simpla afișare a unui conținut, în acest caz o reclamă digitală livrată prin rețeaua Discover-Tech.
Mecanismul descris de SecurityWeek funcționează în două etape. În prima etapă, reclamele difuzate de Discover-Tech colectează date tehnice despre dispozitivele care le afișează: tipul de browser, versiunea sistemului de operare, configurația hardware, adresa IP și alți parametri care formează împreună o amprentă digitală unică (device fingerprinting). Această amprentă permite identificarea și urmărirea unui dispozitiv specific în timp, chiar dacă utilizatorul șterge cookie-urile sau folosește navigare privată. În a doua etapă, odată ce o țintă de interes este identificată în mulțimea de utilizatori obișnuiți, sistemul livrează automat exploit-ul zero-click către acel dispozitiv, instalând spyware-ul Candiru fără nicio interacțiune din partea victimei.
Această arhitectură are un avantaj tactic major pentru atacatori: folosește infrastructura legitimă a publicității online, ceea ce face ca traficul malițios să fie extrem de dificil de distins de cel publicitar obișnuit. Serverele Discover-Tech apar în jurnalele de rețea ca niște servere de reclame, nu ca servere de comandă și control ale unui grup de atac.
Cine plătește
Victimele directe sunt persoanele vizate de clienții Candiru: jurnaliști care investighează subiecte sensibile, avocați care reprezintă opozanți politici, activiști pentru drepturile omului și, potrivit documentației anterioare a Citizen Lab, uneori oameni de afaceri implicați în dispute comerciale cu entități legate de state autoritare. Odată infectat, dispozitivul victimei devine transparent pentru atacator: mesaje, apeluri, locație în timp real, parole, documente, totul devine accesibil.
Victimele indirecte sunt mult mai numeroase: toți utilizatorii ale căror dispozitive au fost amprentate de reclamele Discover-Tech, chiar dacă nu au fost în cele din urmă infectați. Datele lor tehnice au fost colectate și stocate fără consimțământ, formând o bază de date de profilare cu utilizări imprevizibile. Prejudiciul este imposibil de cuantificat în bani, dar consecințele pentru persoanele vizate pot include arest, tortură sau moarte, în funcție de regimul care a comandat supravegherea.
De ce contează
Cazul Discover-Tech și Candiru ilustrează o tendință documentată în ultimii ani: companiile de spyware comercial nu mai operează izolat, ci construiesc ecosisteme în care infrastructuri aparent legitime, rețele de publicitate, furnizori de servicii cloud, companii de analiză a datelor, sunt integrate în lanțul de atac. Această abordare complică enorm atribuirea și răspunderea juridică, deoarece fiecare verigă din lanț poate pretinde că nu știa ce face veriga următoare.
Precedentul cel mai apropiat este cazul NSO Group și spyware-ul Pegasus, unde aceeași logică a fost aplicată la scară mai mare: un producător israelian vinde unui guvern, guvernul vizează un jurnalist, jurnalistul dispare. Includerea Candiru pe lista neagră americană din 2021 nu a oprit activitatea companiei, după cum arată această investigație. Întrebarea care rămâne deschisă este câte alte companii de publicitate digitală funcționează simultan ca vectori de livrare pentru spyware comercial, fără ca acest lucru să fie cunoscut public.
Întrebări frecvente
Ce este Candiru și de ce a fost sancționată?
Candiru este o companie israeliană de supraveghere digitală care dezvoltă și vinde instrumente de spionaj cibernetic ofensiv unor guverne și agenții de stat. În noiembrie 2021, Statele Unite au inclus Candiru pe lista entităților restricționate după ce cercetătorii de la Microsoft și Citizen Lab au documentat că instrumentele companiei au fost folosite pentru a spiona jurnaliști, avocați și activiști din mai multe țări.
Ce înseamnă un atac zero-click și de ce este periculos?
Un atac zero-click este o metodă de infectare a unui dispozitiv care nu necesită nicio acțiune din partea victimei: nu trebuie accesat un link, nu trebuie deschis un fișier. Dispozitivul este compromis automat, de exemplu prin simpla afișare a unei reclame, ceea ce face ca atacul să fie practic imposibil de evitat prin vigilență individuală și extrem de dificil de detectat ulterior.
Ce este tehnica de device fingerprinting folosită de Discover-Tech?
Device fingerprinting este o metodă de identificare unică a unui dispozitiv pe baza caracteristicilor sale tehnice: tipul și versiunea browserului, sistemul de operare, rezoluția ecranului, fonturile instalate, configurația hardware și alți parametri. Combinați, acești parametri formează o amprentă suficient de unică pentru a urmări același dispozitiv în timp, chiar și atunci când utilizatorul șterge cookie-urile sau folosește modul de navigare privată.
Surse
- SecurityWeek: Israeli Ad Firm Doubled as Candiru’s Zero-Click Spyware Delivery Channel, 17 octombrie 2026
