Candiru : des publicités ciblées ont installé un logiciel espion chez Al Jazeera sans aucun clic

Le Citizen Lab, laboratoire de recherche de l'université de Toronto, a annoncé le 15 octobre 2026 que le logiciel espion Candiru, vendu à des gouvernements par une entreprise israélienne, a infecté des appareils du réseau Al Jazeera par de simples publicités en ligne, sans clic ni action de l'utilisateur. Au moins 45 appareils ont été visés en 2024 et 2025.

C'est, selon les chercheurs, la première confirmation technique publique qu'un spyware mercenaire, c'est-à-dire un outil d'intrusion commercialisé auprès d'États, atteint de vrais appareils par la publicité ciblée. La méthode avait déjà été décrite à partir de documents internes d'entreprises, mais jamais observée dans une attaque réelle.

Comment une publicité peut-elle infecter un appareil sans clic ?

Les annonces étaient diffusées par Discover-Tech, société israélienne enregistrée en 2020 qui se présente comme une régie publicitaire ordinaire. Chaque annonce contenait un petit code qui, dès l'affichage, renvoyait vers un serveur de Discover-Tech l'identifiant publicitaire de l'appareil et son adresse IP. Le serveur décidait alors si l'appareil appartenait à une cible : si oui, il renvoyait du code d'attaque exécuté par le navigateur ou l'application ; sinon, il ne renvoyait rien.

Ce détail explique pourquoi les réseaux publicitaires n'ont rien détecté : l'annonce elle-même ne portait aucun code malveillant. Dans les journaux de trafic fournis par Al Jazeera, l'ordre était toujours le même : contact avec un serveur publicitaire de Discover-Tech, puis avec un serveur Candiru chargé de filtrer l'appareil, puis avec le serveur de commande qui pilote le spyware.

Qu'est-ce qui est établi, et qu'est-ce qui ne l'est pas ?

Les chercheurs ont récupéré le logiciel espion lui-même sur un appareil, un fichier Windows dont le code reprend les techniques d'un outil Candiru analysé par le Citizen Lab en 2021. C'est la base de leur attribution « avec un haut niveau de confiance ».

En revanche, l'exploit qui compromet d'abord le navigateur ou l'application n'a pas été capturé : cette première étape est décrite d'après l'architecture de l'attaque, pas d'après du code observé. Le Citizen Lab n'indique pas non plus quel gouvernement a commandité l'opération.

Quelle est l'ampleur de la diffusion de ces annonces ?

Sur l'une de ses plateformes, Discover-Tech a placé près de 4 milliards d'enchères publicitaires entre mars et juin 2026, avec un code de rappel présent dans environ 75 000 applications mobiles et 120 000 sites web, selon le Citizen Lab. La société de sécurité publicitaire américaine Confiant estime le trafic à environ 10 millions d'annonces par jour.

Ces annonces sont apparues sur les réseaux d'institutions comme l'OTAN, l'ONU, des organes de l'Union européenne et des administrations d'une vingtaine de pays. Voir une annonce ne prouve pas une infection : cela mesure seulement la portée potentielle du dispositif. Confiant relève d'ailleurs que le petit nombre d'annonces liées directement à Candiru touchait surtout des connexions domestiques et mobiles.

Qui est Candiru et comment les plateformes ont-elles réagi ?

Candiru figure sur la liste de restrictions commerciales des États-Unis depuis 2021. En 2025, ses actifs ont été rachetés par le fonds américain Integrity Partners puis logés dans une nouvelle société, qui n'est pas visée par les sanctions. En 2020 déjà, des dizaines de journalistes d'Al Jazeera avaient été piratés avec Pegasus, de NSO Group, par une méthode différente.

Après la transmission des résultats, Google et IAB Europe ont retiré Discover-Tech de leurs listes de fournisseurs approuvés début octobre. Google a coupé son accès à ses places de marché, Beeswax l'a supprimée, Vungle a suspendu son accès et Eskimi a bloqué ses comptes. Google a déclaré à Reuters l'avoir retirée pour « violations systématiques de nos politiques ». Discover-Tech n'a pas répondu.

Que peuvent faire les organisations concernées ?

• Bloquer les domaines et fichiers publiés par le Citizen Lab et Confiant, dont le domaine mtrtb[.]com côté serveur publicitaire.

• Chercher dans les journaux réseau la séquence : serveur publicitaire Discover-Tech, serveur de filtrage Candiru, serveur de commande.

• Pour les profils exposés (journalistes, militants, responsables publics), activer le mode de verrouillage des téléphones et tenir les navigateurs à jour.

Cette affaire s'ajoute à d'autres alertes sur la chaîne de publicité numérique, déjà vue comme vecteur de fraude : voir par exemple notre article sur les attaques par courriel qui retournent les navigateurs IA.

Source

The Hacker News, « Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads », 15 octobre 2026