Candiru, een Israëlische spywarefabrikant die zijn producten verkoopt aan overheden, infecteerde toestellen bij nieuwszender Al Jazeera via gewone online advertenties. Dat meldde onderzoeksgroep Citizen Lab van de Universiteit van Toronto donderdag. De aanvallen vereisten geen enkele klik of andere actie van het slachtoffer: de kwaadaardige code startte zodra een advertentie op het scherm laadde, soms zelfs buiten beeld op de achtergrond. Citizen Lab noemt het de eerste publieke, technische bevestiging dat huurlingspyware via gerichte advertenties daadwerkelijk apparaten heeft bereikt. Eerder was die methode alleen bekend uit gelekte bedrijfsdocumenten, nooit uit een live aanval.
Hoe de aanval werkte
De advertenties werden geplaatst door Discover-Tech, een Israëlisch bedrijf dat zich voordoet als een gewoon digitaal advertentiebureau. Iedere advertentie bevatte code die bij het laden stilletjes de advertentie-ID en het ip-adres van het toestel terugstuurde naar een server van Discover-Tech. Die server besliste of het apparaat tot de doelwitten behoorde en stuurde alleen dan aanvalscode terug; was dat niet zo, dan gebeurde er niets, waardoor de advertentienetwerken zelf nooit iets schadelijks te zien kregen.
Bij Al Jazeera werden in 2024 en 2025 minstens 45 toestellen doelwit, met hoge mate van zekerheid gelinkt aan Candiru. Welke overheid erachter zit, maakt Citizen Lab niet bekend. De traffic logs toonden steeds dezelfde volgorde: eerst contact met een advertentieserver van Discover-Tech, dan een screeningserver van Candiru, en ten slotte een command-and-control-server die de spyware aanstuurt. Al Jazeera wist één Windows-programmabestand van een besmet toestel te bemachtigen, met dezelfde kenmerkende technieken als een Candiru-tool die Citizen Lab in 2021 al had ontleed. Journalisten van de zender waren eerder al doelwit: in 2020 werden tientallen iPhones van Al Jazeera-medewerkers gehackt met Pegasus-spyware van NSO Group.
Wie erachter zitten
Google en IAB Europe hadden Discover-Tech sinds 2020 goedgekeurd als advertentieleverancier, geregistreerd in Israël onder leiding van directeur Dekel Boni. Candiru geldt als een bekende naam in de spywarehandel: de Verenigde Staten plaatsten het bedrijf in 2021 al op een handelszwarte lijst wegens spyware tegen overheidsfunctionarissen, journalisten en activisten. In 2025 werden de bezittingen overgenomen door investeringsfonds Integrity Partners en ondergebracht in een nieuw bedrijf, naar verluidt Integrity Labs, dat niet onder de sancties valt.
Na de melding verwijderden Google en IAB Europe Discover-Tech begin oktober van hun leverancierslijsten, en ook advertentieplatforms Beeswax, Vungle en Eskimi sloten het bedrijf buiten wegens, zoals Google het tegen Reuters noemde, systematische schending van het eigen beleid. Discover-Tech, de eigenaren van Candiru, Al Jazeera en het Russische advertentienetwerk Yandex reageerden niet op vragen van Reuters.
Hoe ver de advertenties reikten
Discover-Tech plaatste op één platform tussen maart en juni 2026 bijna vier miljard advertentiebiedingen, goed voor naar schatting tien miljoen advertenties per dag, aldus medeonderzoeker Confiant. De advertenties met de verborgen callback-code verschenen in ongeveer 75.000 apps en 120.000 websites en doken op in de netwerken van onder meer de NAVO, de Verenigde Naties, EU-instellingen, overheidsdiensten in zo’n twintig landen, chipfabrikanten en nieuwsorganisaties. Dat bewijst niet dat daar ook daadwerkelijk iemand is geïnfecteerd, het laat alleen zien hoe ver het systeem kon reiken: de advertenties die wél rechtstreeks aan Candiru te koppelen waren, kwamen vooral bij gewone thuis- en mobiele verbindingen terecht, niet bij de gevoelige netwerken zelf.
De onderzoekers publiceerden onder meer een SHA-256-hash van de spyware en het domein mtrtb[.]com, zodat organisaties hun eigen logs kunnen natrekken. Huurlingspyware die via gewone advertentienetwerken binnenkomt zonder dat iemand hoeft te klikken, is precies het soort dreiging waarbij reguliere phishing-training niets uithaalt.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Deze campagne trof internationale doelwitten als Al Jazeera, de NAVO en EU-instellingen, geen bekende Nederlandse organisaties. Toch laat de zaak zien dat huurlingspyware tegenwoordig ook via doodgewone advertentienetwerken binnenkomt, zonder dat een gebruiker hoeft te klikken. Blokkeer het gepubliceerde domein mtrtb[.]com in bedrijfsfirewalls en wees extra terughoudend met advertentienetwerken van onbekende herkomst op toestellen van bestuurders of gevoelige functies.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.