Blog
Por Dr Plaga | XSec
El panorama del espionaje cibernético y la vigilancia estatal acaba de sufrir una evolución brutal. Si pensabas que el fingerprinting de los navegadores solo servía para que te persiguieran con anuncios de zapatillas, es hora de actualizar el modelo de amenazas. Un reciente informe conjunto de Citizen Lab y Confiant dejó al descubierto cómo una firma israelí de ad-tech, llamada Discover-Tech, armó una infraestructura global para distribuir spyware zero-click a través de redes de anuncios legítimas.
La campaña, bautizada como AdFection, logró comprometer al menos 45 dispositivos de la red internacional de noticias Al Jazeera durante 2024 y 2025. No hizo falta que las víctimas abrieran un correo de phishing ni que instalaran una app maliciosa; bastó con que se les mostrara un banner publicitario, muchas veces en segundo plano.
Acá te desgloso a fondo cómo operaba esta red, la tecnología detrás de la infección y qué implica esto en el tablero geopolítico actual.
Para entender el ataque, primero hay que mirar a los facilitadores. Discover-Tech no es una empresa de malware tradicional, sino una firma de publicidad que desarrolló una plataforma de segmentación maliciosa llamada Controlium.
Controlium funciona como un puente clandestino (o pipeline) entre el ecosistema de pujas en tiempo real (Real-Time Bidding o RTB) de la publicidad online y los proveedores de vigilancia mercenaria. Discover-Tech vendía acceso a esta plataforma a firmas de spyware como Candiru (ahora renombrada como Integrity Labs), Intelos y Bindecy.
Básicamente, Controlium permitía a estos actores de amenazas utilizar la infraestructura global de anuncios para desanonimizar usuarios, perfilar dispositivos y ejecutar ataques quirúrgicos, camuflándose entre los miles de millones de peticiones publicitarias que ocurren cada segundo en la web.
El flujo de ataque de AdFection es una obra maestra de la evasión, diseñada específicamente para burlar los controles de seguridad de las redes publicitarias gigantes como Google Exchange, Beeswax o Liftoff. Así es como lograban la infección sin interacción del usuario:
La Puja (RTB): Discover-Tech gana una subasta publicitaria legítima para mostrar un anuncio en un sitio web o aplicación móvil que la víctima está visitando.
Carga Inicial Inocua: El anuncio se renderiza en el dispositivo (muchas veces de forma invisible o en segundo plano). En esta etapa, el anuncio no contiene ningún payload malicioso. Esto es crucial: las redes de anuncios no detectan nada extraño porque el código base está limpio.
Petición Selectiva: Al cargarse, el anuncio hace una solicitud de código JavaScript a un servidor controlado por Discover-Tech (por ejemplo, el dominio mtrtb[.]com).
Fingerprinting y Decisión: El servidor de Discover-Tech evalúa los metadatos de la conexión. Si el perfil del dispositivo no coincide con el objetivo designado, el servidor simplemente no envía nada o envía un script benigno. Si coincide, el servidor inyecta el código del exploit zero-click capaz de vulnerar el navegador o la app de la víctima.
Validación de Candiru: Una vez que el exploit inicial se ejecuta, el dispositivo comprometido establece conexión con un servidor "validador" de Candiru (como keyadapter[.]com o sharethere[.]net). Este servidor hace un chequeo de seguridad final para asegurarse de que no están cayendo en un honeypot o en el lab de un analista.
Infección y C2: Si pasa la validación, se descarga el implante final (spyware) y el dispositivo comienza a comunicarse (beaconing) con los servidores de Comando y Control (C2) de Candiru, como fearevolve[.]com.
El equipo de Citizen Lab logró recuperar una muestra del spyware de Candiru utilizado en estas campañas (SHA-256: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8). Aunque no consiguieron el exploit inicial del navegador, el análisis del payload final revela técnicas avanzadas de ofuscación y evasión que confirman la evolución de esta APT mercenaria.
La elección de Al Jazeera como objetivo no es casualidad. No es la primera vez que los periodistas de esta cadena están en la mira; en 2020 ya habían sido hackeados con Pegasus de NSO Group. La constante fricción geopolítica en Medio Oriente convierte a los medios de comunicación de la región en objetivos de alto valor para agencias de inteligencia que buscan identificar fuentes, anticipar coberturas o monitorear disidencias.
Lo que hace a AdFection tan peligroso desde el punto de vista táctico es la privatización extrema de la cadena de ataque. Ya no hablamos de un gobierno desarrollando sus propios exploits. Hablamos de un gobierno contratando a una empresa (Candiru), que a su vez contrata a un proveedor de servicios de segmentación (Discover-Tech) para usar la infraestructura de un gigante tecnológico estadounidense (Google, Comcast/Beeswax) y lanzar un ataque contra periodistas en Qatar.
Este modelo operativo le otorga una negación plausible casi total a los patrocinadores estatales de la campaña. Además, al combinar ADINT (Advertising Intelligence) con capacidades de explotación zero-click, estos actores logran perfilar a millones de personas a nivel global (como se vio con las impresiones masivas en redes de la OTAN o el Parlamento Europeo) y ejecutar el payload únicamente sobre los objetivos de interés, minimizando el riesgo de que los analistas de malware capturen sus preciados zero-days.
Che, como analistas e ingenieros de seguridad, esto nos deja un panorama complicado. El modelo de seguridad tradicional asume que si el usuario no hace clic en nada raro, está a salvo. AdFection destruye ese paradigma.
Bloquear las IPs de los C2 ayuda temporalmente, pero el verdadero problema es estructural: el ecosistema de la publicidad online está roto desde su concepción por la cantidad absurda de datos que permite recolectar y el código de terceros que permite ejecutar sin restricciones. Hasta que la industria de la tecnología publicitaria (AdTech) no sea regulada como infraestructura crítica o implemente sandboxing draconiano por defecto, los banners publicitarios van a seguir siendo el vector de entrada más silencioso para los mercenarios digitales.
