ADINT em escala global

Análise2026-10-23, 11:52
Pesquisadores do Citizen Lab e da Confiant publicaram investigações sobre como a infraestrutura de publicidade digital foi usada para distribuir o spyware Candiru. Analistas acreditam que esta é a primeira evidência técnica de que a publicidade segmentada foi usada para entregar spyware mercenário.
A investigação concentra-se na empresa israelense Discover-Tech, que operava a plataforma MyDSP, usando-a para dar lances em leilões de publicidade no Google, Yandex, Vungle e outras plataformas. Por meio da plataforma Controlium, seus clientes — incluindo operadores de spyware mercenário — podiam selecionar dispositivos específicos de usuários para criação de perfil ou infecção com base em identificadores de publicidade móvel (no iOS ou Android), identificadores de navegador e/ou endereços IP das vítimas.
Os pesquisadores apelidaram essa técnica de infecção de AdFection. O pipeline funciona da seguinte forma:
  1. A Discover-Tech vence um leilão de anúncios, e o anúncio é exibido no dispositivo do usuário.
  2. Quando o anúncio é carregado, ele se conecta a um servidor da Discover-Tech e transmite os identificadores de publicidade do usuário.
  3. Se o dispositivo for selecionado como alvo, o servidor retorna código JavaScript a ser executado; caso contrário, retorna uma resposta vazia. O anúncio ainda coleta dados do navegador, incluindo cookies e o endereço IPv6 público.
Os pesquisadores confirmaram o uso prático desse esquema por meio do exemplo da rede de notícias Al Jazeera. Pelo menos 45 dispositivos na rede de mídia foram alvo de ataques usando a infraestrutura da Discover-Tech em 2024–2025.
A análise dos logs de rede mostrou que os dispositivos das vítimas inicialmente se conectaram a domínios da infraestrutura da Discover-Tech, o que os analistas atribuem à entrega de anúncios. Um servidor de validação então verificou os dispositivos antes de criar perfis e infectá-los. Por fim, o dispositivo comprometido se conectou aos servidores C2 do Candiru.
A Al Jazeera também forneceu um arquivo DLL de um dos dispositivos Windows comprometidos contendo endereços de servidores C2 codificados. O Citizen Lab atribuiu a amostra ao Candiru com alta confiança: seus mecanismos de persistência, ofuscação de strings e mecanismos de verificação de conexão correspondem aos descritos no relatório de 2021.
A escala da infraestrutura de publicidade — bilhões de lances. De março a junho de 2026, a MyDSP participou de leilões para 3,77 bilhões de impressões de anúncios e venceu aproximadamente 11,7% deles.
Pelo menos 718 milhões de lances (aproximadamente 19%) envolveram anúncios que mostraram sinais de contato com servidores NOAS, um componente usado para entregar seletivamente código JavaScript a dispositivos específicos. O sistema de publicidade Yandex foi responsável por 67,4% dos lances. Um exemplo foi um anúncio Akedo exibido em livelib[.]ru em maio de 2025.
A sincronização de IDs ampliou as capacidades de criação de perfil. Analistas descobriram que a Discover-Tech sincronizou identificadores de usuários com os sistemas de publicidade Beeswax da Comcast, Yandex e Xandr da Microsoft.
Isso torna possível corresponder o mesmo usuário em diferentes plataformas de publicidade e usar um identificador conhecido para encontrar e direcionar esse usuário em outro sistema. Por exemplo, a plataforma Controlium permite que um ID Beeswax seja especificado como o identificador de destino, potencialmente permitindo que dados de um sistema de publicidade sejam usados para direcionar um usuário por meio de outro.
A sincronização pode ocorrer mesmo quando o usuário não vê um anúncio: basta visitar um site onde as solicitações relevantes são executadas em segundo plano.
A infraestrutura de publicidade já havia sido usada para desanonimizar usuários em escala. Os pesquisadores descobriram que o ator de ameaça conhecido como DARK CARTOGRAPHER vinha usando plataformas como a Discover-Tech para essa finalidade desde 2019. Um método depende da autenticação sem atrito de operadoras móveis: quando certos sites são acessados, as operadoras adicionam um cabeçalho contendo o número de telefone do usuário a solicitações HTTP não criptografadas. Vulnerabilidades na validação de sites permitidos permitem que atacantes obtenham essas informações por meio de anúncios.
Anúncios foram exibidos em redes sensíveis ao redor do mundo. Os pesquisadores observam que os dados de lances contêm evidências de anúncios exibidos em endereços IP pertencentes a organizações de infraestrutura crítica, agências governamentais e organizações internacionais.
Os mencionados incluem: • Redes da OTAN e da ONU; • Redes do governo russo; • Armênia — a Comissão Eleitoral Central, o Banco Central e o Gabinete do Primeiro-Ministro; • Israel — o Ministério da Saúde, o Ministério das Relações Exteriores, o Ministério da Defesa e outras agências; • redes pertencentes à Intel, Nvidia, Broadcom e várias empresas de mídia.
No entanto, o simples fato de um anúncio ter sido exibido não confirma uma infecção ou um ataque direcionado — ele demonstra principalmente a escala da presença da infraestrutura da Discover-Tech.
Como resultado, Google, Beeswax, Vungle (Liftoff), Eskimi e IAB Europe tomaram medidas para restringir ou encerrar o acesso da Discover-Tech à sua infraestrutura de publicidade após interagirem com os pesquisadores e receberem os resultados de seu trabalho.
A supervisão insuficiente dos fornecedores de publicidade e as características técnicas da infraestrutura de publicidade digital criam condições para a disseminação de malvertising e tornam essas ameaças difíceis de combater. Para reduzir os riscos, as organizações precisam melhorar os mecanismos de detecção e bloqueio de campanhas maliciosas e fortalecer a cooperação entre pesquisadores e provedores de ad-tech.
Fornecedor
Mais
Produto
Mais