AdFection: spyware Zero-Click a través de publicidad dirigida

El Ci­ti­zen Lab de­mues­tra por pri­me­ra vez que un anun­cio puede ins­ta­lar el spy­wa­re Ad­Fec­tion en un móvil sin un solo clic. Los in­ves­ti­ga­do­res de la Uni­ver­si­dad de To­ron­to han do­cu­men­ta­do el mé­to­do, le han pues­to nom­bre y han se­ña­la­do a la pieza que lo hace po­si­ble: Dis­co­ver-Tech, una firma is­rae­lí que se pre­sen­ta como agen­cia pu­bli­ci­ta­ria. El anun­cio ya no es el cebo, es el arma.

La in­ves­ti­ga­ción, di­fun­di­da este jue­ves, des­cri­be a esa com­pa­ñía como fa­ci­li­ta­do­ra de va­rios so­cios de es­pio­na­je mer­ce­na­rio, entre ellos Can­di­ru, la firma san­cio­na­da por Wa­shing­ton desde 2021. Los anun­cios lle­ga­ron a redes del De­par­ta­men­to de De­fen­sa de Es­ta­dos Uni­dos, la OTAN, el Or­ga­nis­mo In­ter­na­cio­nal de Ener­gía Ató­mi­ca y va­rias agen­cias de ci­ber­se­gu­ri­dad. La cam­pa­ña in­fec­tó al menos 45 dis­po­si­ti­vos de Al Ja­zee­ra con spy­wa­re atri­bui­do con alta con­fian­za a Can­di­ru.

El co­ra­zón de Ad­Fec­tion es una pla­ta­for­ma lla­ma­da Con­tro­lium. Según el in­for­me pu­bli­ca­do por el Ci­ti­zen Lab, per­mi­te a los so­cios de vi­gi­lan­cia des­ano­ni­mi­zar, tomar la hue­lla di­gi­tal e in­fec­tar el dis­po­si­ti­vo en el mismo ins­tan­te en que se ren­de­ri­za el anun­cio. Es una in­fec­ción zero-click, sin in­ter­ac­ción de la víc­ti­ma. Sin per­mi­so. Sin aviso.

La se­cuen­cia téc­ni­ca es sen­ci­lla, y por eso mismo de­vas­ta­do­ra. El anun­cio di­ri­ge el ter­mi­nal a los ser­vi­do­res de Can­di­ru de forma en­cu­bier­ta, col­ga­do de los iden­ti­fi­ca­do­res pu­bli­ci­ta­rios que via­jan en cada pe­ti­ción de pá­gi­na. Mi­cro­soft do­cu­men­tó este spy­wa­re en 2021 con el nom­bre de De­vils­Ton­gue, toma el con­trol re­mo­to del dis­po­si­ti­vo, ex­trae datos, abre mi­cró­fono y cá­ma­ra y se des­pla­za la­te­ral­men­te hacia el resto de la red del ob­je­ti­vo. La vi­gi­lan­cia ya no ne­ce­si­ta con­ven­cer a nadie: le basta con com­prar el es­pa­cio exac­to donde el usua­rio va a mirar…