Ataques zero-click usam anúncios online para instalar spyware mercenário

Uma investigação divulgada pelo laboratório de cibersegurança Citizen Lab revelou que redes legítimas de publicidade programática foram exploradas para entregar códigos maliciosos do tipo zero-click contra alvos selecionados. No centro da operação está a empresa israelense Discover-Tech, que operava como fornecedora verificada em grandes plataformas e serviu como ponte para a distribuição de um spyware mercenário desenvolvido pela Candiru (companhia que passou a operar sob a marca Integrity Labs). Sem depender de qualquer clique ou interação das vítimas além da renderização comum de um anúncio em tela, a campanha foi batizada pelos pesquisadores de AdFection.

O vetor utilizado contornou as defesas usuais ao se apoiar no próprio mecanismo de distribuição de anúncios digitais para perfilar e atingir dispositivos específicos. De acordo com o Citizen Lab, os computadores e celulares visados recebiam banners carregados com JavaScript ou instruções equivalentes preparadas pela Discover-Tech. Assim que a publicidade era carregada pelo dispositivo, o script iniciava uma conexão silenciosa com os servidores de controle operados pela Candiru, que respondiam imediatamente com a exploração de vulnerabilidades e a injeção da carga maliciosa primária.

A dimensão da infraestrutura comprometida atingiu o núcleo do ecossistema de publicidade online mundial. Gigantes e associações de padronização mantinham a Discover-Tech com selos de conformidade técnica: a companhia figurava na lista de fornecedores certificados ou verificados tanto do Google quanto da entidade industrial IAB Europe. Além dessas credenciais formais, a empresa israelense mantinha tráfego ativo e distribuía impressões publicitárias por meio de redes e plataformas de compra automatizada como o Google, a russa Yandex e a provedora de tecnologia Beeswax.

A mecânica da campanha AdFection

A arquitetura documentada no relatório do Citizen Lab demonstra como a operação AdFection transformou a segmentação publicitária em uma ferramenta de precisão militar. Quando um usuário que correspondia aos parâmetros definidos pelos clientes da Candiru visitava uma página parceira das redes de anúncios, a Discover-Tech vencia o leilão e entregava o anúncio contaminado. A execução do código em JavaScript não exigia que a vítima tocasse no banner, permitindo a instalação imediata do exploit a partir dos servidores da Candiru.

Os pesquisadores do Citizen Lab observaram que o método subverte a separação tradicional entre ameaças digitais comuns e espionagem direcionada de alto nível. Em ataques típicos de engenharia social, o usuário precisa ser induzido a abrir links suspeitos ou baixar anexos; no caso da campanha AdFection viabilizada pela Discover-Tech, o simples carregamento da mídia em uma sessão legítima de navegação era suficiente para disparar a cadeia de comprometimento da Integrity Labs.

Embora o relatório do Citizen Lab não detalhe formalmente quais falhas de software específicas foram exploradas nem o código exato da carga final deixada nos dispositivos, a avaliação técnica indica que se tratava de vulnerabilidades do tipo zero-day (desconhecidas até então pelos desenvolvedores de software). A expectativa técnica é que essas falhas tenham sido corrigidas pelos fabricantes após a identificação das ações da Candiru e da Discover-Tech durante as investigações conduzidas pelo laboratório independente.

A relação entre Discover-Tech e Candiru

O modelo de negócios delineado na denúncia envolveu uma simbiose entre o mercado de adtech e a indústria de espionagem digital sob encomenda. A Discover-Tech fornecia a capilaridade de inventário necessária em sistemas operados pelo Google e pela IAB Europe, enquanto a Candiru — utilizando a fachada comercial Integrity Labs — fornecia o armamento digital responsável pela quebra das defesas dos sistemas operacionais.

Ao operar integrada às trocas automatizadas de publicidade de plataformas como Beeswax e Yandex, a Discover-Tech contava com canais confiáveis para disparar requisições diretamente para a infraestrutura de controle e comando da Candiru. Essa ponte permitia validar, em tempo real, se a impressão publicitária havia sido renderizada no dispositivo exato de um alvo monitorado pelos clientes governamentais da empresa mercenária.

“Discover-Tech’s mass abuse, privacy invasion, and facilitation for mercenary spyware attacks illustrates structural flaws with the online advertising system, which failed to detect or prevent the abuse documented in this report”

A declaração oficial do Citizen Lab sintetiza o tamanho do descompasso técnico que permitiu que o software espião da Candiru trafegasse sem bloqueio. Procuradas formalmente para prestar esclarecimentos e comentar as constatações técnicas da publicação, tanto a Discover-Tech quanto a Candiru não responderam às mensagens enviadas pelos pesquisadores e veículos de imprensa.

Alvos em governos e infraestrutura crítica

O mapeamento das impressões distribuídas pela Discover-Tech confirmou que os disparos de anúncios não eram casuais ou genéricos, mas concentrados em redes institucionais de extrema sensibilidade geopolítica. Conforme documentado pelo Citizen Lab, impressões vinculadas à infraestrutura da empresa israelense apareceram em redes operacionais da OTAN (NATO) e em sistemas internos das Nações Unidas (ONU).

O alcance da campanha operada junto à Candiru também se estendeu ao poder legislativo de diferentes países. O relatório identificou a presença de tráfego associado à Discover-Tech em órgãos legislativos da União Europeia, além de provedores essenciais de infraestrutura crítica na Austrália. Em cada um desses ambientes, os anúncios serviam como sensores para identificar terminais e abrir caminho para as cargas maliciosas da Integrity Labs.

Além dos órgãos multilaterais e legislativos, agências governamentais e forças armadas de nações nórdicas foram alvos confirmados das impressões da Discover-Tech. O levantamento cita nominalmente a presença da campanha nas forças armadas e em órgãos públicos da Noruega e da Suécia, demonstrando que os clientes da Candiru utilizavam as brechas no ecossistema de publicidade para obter inteligência contra redes de defesa do bloco europeu.

A reação imediata do ecossistema publicitário

A divulgação das descobertas desencadeou uma onda de suspensões e cortes imediatos de acesso nas plataformas de adtech citadas na investigação do Citizen Lab. O Google agiu de maneira direta ao remover a Discover-Tech de sua lista de fornecedores homologados e revogou integralmente a autorização da empresa israelense para operar em suas plataformas de ad exchange.

Seguindo a mesma linha de contenção, a associação IAB Europe retirou a Discover-Tech de seus registros de fornecedores de tecnologia certificados. A intermediadora Beeswax, cujo sistema de compra de anúncios vinha sendo empregado para direcionar os scripts que conectavam aos servidores da Candiru, removeu formalmente a conta e a integração técnica da empresa israelense de seu catálogo.

Outras empresas que atuavam como condutores secundários também adotaram providências para blindar suas redes. A plataforma Vungle, controlada pelo grupo Liftoff, suspendeu preventivamente o acesso da Discover-Tech e abriu uma auditoria interna para avaliar os logs de distribuição. Já a provedora Eskimi determinou o bloqueio absoluto de todas as contas corporativas e dos domínios web operados pela Discover-Tech para evitar qualquer tráfego residual da AdFection.

O papel do framework GDPR

Um dos aspectos mais reveladores do relatório do Citizen Lab é a forma como a conformidade regulatória foi distorcida para aprimorar os ataques. A Discover-Tech utilizou as estruturas e os formulários de consentimento do Regulamento Geral sobre a Proteção de Dados (o GDPR europeu) justamente para filtrar e segmentar com maior precisão os alvos localizados dentro do território da União Europeia.

O ecossistema criado sob a IAB Europe para coletar e transmitir preferências de rastreamento serviu de apoio técnico para que a Discover-Tech qualificasse se o visitante era de fato um cidadão ou servidor público localizado na jurisdição europeia. A partir dos dados validados pelo consentimento formal do GDPR, as chamadas para o código da Candiru eram disparadas com a certeza de que a vítima correspondia à localidade pretendida.

Essa utilização tática do GDPR expõe as falhas estruturais mencionadas pelos pesquisadores do Citizen Lab. Mecanismos criados para dar transparência ao tratamento de dados pessoais acabaram funcionando como parâmetros analíticos para validar os critérios de injeção dos exploits zero-click, driblando controles de tráfego do Google e de outras ad exchanges internacionais.

Medidas recomendadas para mitigação do risco

Diante da complexidade técnica de conter ameaças invisíveis baseadas em leilões programáticos, o Citizen Lab convocou governos e empresas do mercado de adtech a desenharem barreiras ativas contra ofensivas como a AdFection. Paralelamente às reformas no ecossistema mantido por grupos como a IAB Europe e o Google, os analistas listaram medidas defensivas que podem ser implementadas diretamente por usuários e equipes de infraestrutura.

Entre as recomendações imediatas está a redefinição regular do identificador de publicidade móvel (Advertising ID) presente nas configurações de dispositivos com Android e iOS. O relatório destaca que zerar esse parâmetro dificulta o rastreamento prolongado de um terminal por operadoras como a Discover-Tech — ainda que a equipe de pesquisa tenha apontado como curiosa a ausência de um conselho direto para desativar a personalização de anúncios por completo.

A contenção no nível de conectividade também foi frisada como prioritária para barrar as cargas da Candiru. O Citizen Lab sugere a adoção ampla de softwares bloqueadores de anúncios (ad blockers) tanto no nível do navegador quanto em roteadores de redes domésticas e corporativas. Por fim, a instalação tempestiva de atualizações de software nos sistemas operacionais permanece crucial para mitigar vulnerabilidades zero-day exploradas em ataques distribuídos por parceiros da Integrity Labs.