Espionaje mercenario sin clics: spyware Candiru fue distribuido mediante anuncios web dirigidos
Investigadores de Citizen Lab confirmaron el despliegue del spyware Candiru mediante publicidad digital dirigida, logrando infecciones de cero clics sin que las víctimas interactuaran con el anuncio.
Investigadores de Citizen Lab, en colaboración con la firma Confiant, identificaron una campaña de espionaje digital que utilizó la infraestructura publicitaria de internet para desplegar el spyware mercenario Candiru. La técnica, denominada AdFection, representa la primera confirmación técnica pública de un ataque real donde herramientas de cibervigilancia gubernamental logran comprometer dispositivos a través de anuncios web sin requerir ningún clic o interacción por parte del usuario.
El caso documentado afectó al menos a 45 dispositivos de la cadena Al Jazeera entre 2024 y 2025. A diferencia de las filtraciones previas relacionadas con plataformas como Intellexa, este hallazgo demostró la explotación activa en entornos de producción: el código malicioso se ejecutaba de forma inmediata al renderizarse el anuncio en el navegador o aplicación móvil, incluso si este se cargaba en segundo plano fuera de la vista de la víctima.
La mecánica de AdFection y el rol de Discover-Tech
El esquema operaba mediante Discover-Tech, una compañía israelí que fungía formalmente como proveedor legítimo de tecnología publicitaria. A través de su plataforma Controlium, la empresa adquiría espacios publicitarios en intercambios comerciales convencionales y subastas en tiempo real, insertando etiquetas de JavaScript en anuncios distribuidos en decenas de miles de sitios web y aplicaciones.
Cuando un anuncio se desplegaba, el script enviaba silenciosamente la dirección IP y el identificador publicitario del dispositivo a un servidor de control (servidor NOAS o getAd). Si el dispositivo coincidía con los parámetros de un objetivo de interés predeterminado, el servidor retornaba el exploit para vulnerar el sistema; si no era un blanco designado, no enviaba carga alguna. Esta selectividad permitió evadir los filtros de seguridad de las plataformas publicitarias, ya que el anuncio en sí mismo no contenía código hostil visible en las inspecciones automatizadas.
Los registros de red analizados por Citizen Lab revelaron una secuencia de tres etapas: primero, la conexión inicial al servidor publicitario de Discover-Tech; segundo, una redirección hacia servidores de validación operados por Candiru; y finalmente, la comunicación con la infraestructura de comando y control (C2) del spyware. Los investigadores lograron extraer un archivo DLL en un equipo Windows comprometido, atribuyendo el artefacto a Candiru debido a patrones de código e infraestructura coincidentes con muestras previamente analizadas.
Alcance e impacto para organizaciones en México y la región
Entre marzo y junio de 2026, la red publicitaria de Discover-Tech participó en más de 3,700 millones de subastas y sus anuncios llegaron a desplegarse en más de 120,000 sitios web y 75,000 aplicaciones móviles. Aunque las cargas dirigidas de Candiru operaban con un volumen sumamente bajo y enfocado, la huella publicitaria abarcó redes de organismos internacionales, dependencias gubernamentales y medios de comunicación.
Para México y América Latina, donde el uso de software espía mercenario contra periodistas, activistas, defensores de derechos humanos y funcionarios ha sido ampliamente documentado a lo largo de los años, este vector representa un riesgo operativo crítico. La capacidad de perfilar y comprometer dispositivos a través de la navegación habitual o aplicaciones móviles comerciales invalida las recomendaciones tradicionales de concientización basadas exclusivamente en evitar enlaces sospechosos.
Tras el reporte técnico, proveedores como Google, Beeswax, Eskimi, Vungle y la asociación IAB Europe suspendieron y retiraron a Discover-Tech de sus ecosistemas y listas de proveedores aprobados.
Mitigaciones recomendadas
- Filtrado de publicidad a nivel de red y host: Implementar soluciones de bloqueo de anuncios y rastreadores (ad-blockers) a nivel de navegador y mediante resolución de DNS empresarial para restringir la carga de scripts no autorizados.
- Monitoreo de telemetría de red: Auditar conexiones salientes en busca de patrones que involucren redirecciones secuenciales desde dominios de ad-tech desconocidos hacia infraestructura no categorizada.
- Segmentación de dispositivos críticos: En entornos de alto riesgo (prensa de investigación, áreas legales y equipos directivos), utilizar navegadores aislados o entornos cerrados para mitigar la explotación en memoria.
Indicadores de compromiso (IOCs)
- Dominio del servidor publicitario (Discover-Tech):
mtrtb[.]com - Muestra de spyware Candiru (SHA-256):
255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8