Contexte et chaîne d'approvisionnement
Citizen Lab a identifié que des appareils du réseau d'information Al Jazeera ont été infectés par le logiciel espion commercialisé par Candiru, rebaptisé Integrity Labs. L’infection provient d’annonces achetées par Discover‑Tech, une société israélienne qui se présente comme un acteur légitime du marché publicitaire. Discover‑Tech exploite une plateforme nommée Controlium, qui permet à ses partenaires mercenaires de dés‑anonymiser, d’empreinter et d’infecter automatiquement un dispositif dès que l’annonce est rendue. La société apparaît sur les listes de fournisseurs « certifiés » de Google et de l’IAB Europe et diffuse ses publicités via les réseaux Google, Yandex et Beeswax.
Mécanisme d'infection zéro‑clic
Le processus débute par une enchère en temps réel (RTB) où le dispositif envoie une requête contenant des identifiants publicitaires, l’adresse IP, la localisation et d’autres métadonnées. Controlium intercepte cette requête, associe les données à un profil cible et injecte du code HTML/JavaScript dans la réponse publicitaire. Ce code récupère ensuite un second script qui déclenche un exploit du navigateur ou du runtime mobile, installant le spyware sans aucune interaction de l’utilisateur – d’où le terme « zero‑click ». La chaîne repose sur la capacité du SDK publicitaire à exécuter du code natif dès le rendu de l’annonce.
Échelle et portée de l’opération
L’analyse de quatre milliards d’enregistrements d’enchères montre que, sur une période de quatre mois, les publicités de Discover‑Tech ont été affichées sur près de 200 000 sites web et applications Android/iOS distincts, couvrant des dizaines de pays. En parallèle, des millions de dispositifs ont été redirigés vers les serveurs de Candiru, suggérant une collecte massive de données de suivi et de reconnaissance. Le même réseau d’infrastructure est réutilisé par un acteur distinct, nommé Dark Cartographer, qui exploite des vulnérabilités chez plusieurs opérateurs mobiles pour lier les identifiants publicitaires aux numéros de téléphone, augmentant ainsi le niveau de dés‑anonymisation.
Implications pour le système publicitaire
Le cas AdFection met en évidence deux faiblesses structurelles du modèle publicitaire en ligne. Premièrement, la granularité des données partagées dans les enchères RTB offre aux acteurs malveillants une visibilité suffisante pour cibler individuellement des victimes. Deuxièmement, l’absence de contrôle strict sur le code exécuté par les SDK publicitaires permet l’injection d’exploits au moment même du rendu de l’annonce. Malgré les actions correctives de Google, IAB Europe, Beeswax, Vungle et Eskimi, d’autres fournisseurs n’ont pas réagi, laissant une surface d’exposition ouverte. Les régulateurs sont appelés à examiner la conformité de Discover‑Tech et de Candiru avec le RGPD et les législations nationales, tandis que les défenseurs doivent renforcer les filtres de code au niveau des DSP/SSP et limiter la diffusion de scripts tiers dans les publicités.
