Spyware Candiru distribuito tramite annunci pubblicitari mirati in attacco zero-click
Ricercatori di Citizen Lab hanno documentato un nuovo vettore di attacco zero-click utilizzato per distribuire lo spyware Candiru ai dispositivi di Al Jazeera Media Network. La tecnica, denominata AdFection, sfrutta annunci pubblicitari online mirati che richiedono solo la visualizzazione per infettare i dispositivi delle vittime.
Risposta Rapida
AdFection è una tecnica di attacco zero-click che sfrutta annunci pubblicitari mirati per distribuire spyware. È stata utilizzata per infettare dispositivi di Al Jazeera con lo spyware Candiru. La tecnica è stata sviluppata dall'azienda israeliana Discover-Tech, che agisce come intermediario tra le aziende di spyware mercenario e l'ecosistema pubblicitario online.
La nuova tecnica AdFection e il ruolo di Discover-Tech
Citizen Lab ha scoperto che Discover-Tech utilizza la sua piattaforma Controlium per profilare, deanonimizzare e fingerprintare i dispositivi degli utenti. La piattaforma permette ai clienti di prendere di mira dispositivi specifici con codice dannoso. La società ha acquistato spazi pubblicitari attraverso reti e scambi pubblicitari mainstream, incorporando JavaScript negli annunci che contattano il server NOAS quando vengono visualizzati.
L'infrastruttura dietro l'attacco
Il server NOAS, noto anche come "getAd server", determina se un bersaglio è idoneo a ricevere codice JavaScript utilizzando vari parametri come l'indirizzo IP e gli identificatori pubblicitari. Solo i dispositivi selezionati ricevono ulteriore codice, mentre altri dispositivi su cui viene visualizzato l'annuncio non ricevono nulla, contribuendo a mantenere gli attacchi furtivi.
L'attacco contro Al Jazeera e la diffusione dello spyware
Al Jazeera ha fornito a Citizen Lab prove di attacchi che hanno preso di mira almeno 45 dispositivi tra il 2024 e il 2025. I log di rete esaminati dai ricercatori hanno mostrato una sequenza da infrastrutture Discover-Tech ai server di validazione Candiru e poi ai server di comando e controllo dello spyware. I ricercatori hanno anche recuperato un file DLL da un sistema Windows compromesso e lo hanno attribuito con alta probabilità a Candiru, basandosi su sovrapposizioni di infrastruttura e codice con campioni precedentemente catturati.
Candiru: il vendor israeliano di spyware
Candiru è un vendor israeliano di spyware che vende strumenti di sorveglianza, ufficialmente solo a governi. L'azienda ha sviluppato malware per Windows chiamato DevilsTongue, in grado di rubare file, credenziali e messaggi. Secondo rapporti passati, i suoi strumenti sono stati distribuiti attraverso exploit zero-day di Windows e Chrome contro giornalisti, attivisti, politici e altri bersagli.
L'impatto dell'attacco e la risposta del settore
Mentre Al Jazeera è un bersaglio confermato di questi attacchi, Citizen Lab riporta che l'operazione pubblicitaria ha effettuato 3,77 miliardi di offerte e vinto 442 milioni di aste tra marzo e giugno 2026. Annunci valutati per contenere tag di script degli attaccanti sono apparsi su 75.373 app Android/iOS e 120.768 siti web, anche se queste cifre non rappresentano conti di infezione.
La reazione delle aziende pubblicitarie
Dopo aver ricevuto i rapporti di Citizen Lab, grandi aziende pubblicitarie come Google, IAB Europe, Beeswax, Eskimi e Vungle hanno preso provvedimenti per rimuovere i conti offensivi e bloccare l'accesso ai domini. Tuttavia, come sottolinea il Blue Report 2026, i punteggi di prevenzione complessivi possono nascondere ciò che accade dopo l'accesso iniziale. Una volta che gli attaccanti utilizzano credenziali valide, la prevenzione diminuisce bruscamente.
L'importanza della compliance NIS2 e della cyber insurance
Incidenti come questi sottolineano la necessità di un adeguamento NIS2 robusto e di una polizza cyber risk adeguata. Le organizzazioni devono implementare misure di sicurezza avanzate, come un SOC as a Service o un servizio MDR, per rilevare e rispondere tempestivamente a tali attacchi. Inoltre, una gestione identità efficace e una postura cloud security ben definita sono fondamentali per mitigare i rischi associati a queste minacce.
Come proteggersi dagli attacchi zero-click
Per difendersi da attacchi zero-click come AdFection, le organizzazioni dovrebbero considerare l'implementazione di soluzioni di Data Loss Prevention per proteggere i dati sensibili. Inoltre, un penetration test regolare e una valutazione delle vulnerabilità possono aiutare a identificare e correggere eventuali punti deboli nella sicurezza. Un backup enterprise e un piano di business continuity sono essenziali per garantire la ripresa operativa in caso di infezione.
La necessità di una gestione patrimoniale crypto sicura
In un contesto sempre più digitalizzato, anche la gestione patrimoniale crypto richiede misure di sicurezza avanzate. Una custodia istituzionale crypto e un commercialista crypto specializzato possono aiutare a proteggere gli asset digitali da minacce come lo spyware Candiru. La compliance AML crypto e la regolamentazione MiCA sono aspetti cruciali da considerare per garantire la sicurezza degli investimenti in criptovalute.
L'impatto economico degli attacchi zero-click
Gli attacchi zero-click come AdFection rappresentano un costo significativo per le aziende, con un impatto medio stimato tra €50.000 e €500.000 per incidente, secondo un rapporto recente. Questo include non solo i costi diretti di remediazione, ma anche le perdite di produttività e la possibile fuga di dati sensibili. Le organizzazioni devono valutare attentamente il costo assicurazione cyber per coprire tali scenari, con i premium che possono aumentare del 15-30% dopo un incidente grave.
Le sfide della compliance DORA
Il regolamento DORA impone nuove condizioni per la resilienza operativa digitale, rendendo essenziale l'implementazione di soluzioni come il disaster recovery as a service (DRaaS). Le aziende devono garantire che i loro sistemi critici possano riprendersi rapidamente da attacchi come quelli condotti con Candiru. La mancata compliance può comportare sanzioni pesanti e danni alla reputazione, rendendo cruciale l'adozione di un piano di business continuity solido.
L'evoluzione delle tecniche di attacco
La tecnica AdFection rappresenta un'evoluzione significativa rispetto a metodologie precedenti come Aladdin, utilizzata per distribuire il spyware Predator. Mentre Aladdin si basava su file di marketing trapelati, AdFection è stata osservata in attacchi reali, dimostrando una maggiore sofisticazione. Questo spostamento verso tecniche più furtive sottolinea la necessità di un SOC as a Service avanzato per rilevare e rispondere tempestivamente a tali minacce.
L'importanza di un SOC as a Service
Un Security Operations Center gestito può offrire un monitoraggio continuo e una risposta rapida agli incidenti, essenziali per contrastare attacchi come quelli condotti con AdFection. Le soluzioni MDR (Managed Detection and Response) possono integrare analisi di sicurezza avanzate e automazione per migliorare la capacità di rilevamento e risposta. Questo è particolarmente cruciale per le organizzazioni che non dispongono di risorse interne specializzate in cybersecurity.
La gestione identità come linea di difesa
Un sistema di identity access management (IAM) robusto è fondamentale per mitigare i rischi associati a spyware come Candiru. Implementare misure di autenticazione multifattoriale e controllo degli accessi basato su ruoli può ridurre significativamente la superficie di attacco. Questo è particolarmente importante per le organizzazioni che operano in settori ad alto rischio, come i media e la finanza.
Il ruolo della certificazione ISO 27001
La certificazione ISO 27001 può fornire un quadro strutturato per la gestione della sicurezza dell'informazione, aiutando le organizzazioni a proteggersi da attacchi avanzati. Un audit sicurezza regolare può identificare vulnerabilità e garantire che le misure di sicurezza siano allineate agli standard internazionali. Questo è particolarmente rilevante per le aziende che devono dimostrare la loro resilienza ai clienti e ai regolatori.
La protezione ransomware come priorità
Le tecniche utilizzate in attacchi come AdFection possono essere adattate per distribuire ransomware, rendendo essenziale l'implementazione di soluzioni di recovery ransomware. Un backup enterprise regolarmente aggiornato e testato è fondamentale per garantire la ripresa operativa in caso di infezione. Le organizzazioni devono anche considerare l'uso di una polizza cyber risk che copra i costi di rimozione del ransomware e la ripresa dei dati.
La gestione patrimoniale crypto e la compliance AML crypto
In un contesto di crescente adozione delle criptovalute, la gestione patrimoniale crypto richiede misure di sicurezza avanzate. Una custodia istituzionale crypto può offrire un livello di protezione superiore per gli asset digitali, riducendo il rischio di accesso non autorizzato. La compliance AML crypto è fondamentale per garantire che le transazioni siano tracciabili e conformi alle normative vigenti, come il regolamento MiCA.
Il futuro degli attacchi zero-click
Gli attacchi zero-click come AdFection rappresentano solo l'inizio di una tendenza verso tecniche di infezione sempre più furtive. I vendor di spyware continuano a sviluppare nuove metodologie, rendendo essenziale l'adozione di soluzioni di sicurezza avanzate. Le organizzazioni devono rimanere proattive, investendo in tecnologie come il managed SOC e il servizio MDR per garantire la loro sicurezza nel lungo termine.
Conclusione e previsioni future
La scoperta di AdFection e il suo utilizzo per distribuire lo spyware Candiru sottolineano la necessità di un approccio proattivo alla sicurezza informatica. Le organizzazioni devono implementare misure avanzate di protezione, come un SOC as a Service e soluzioni di Data Loss Prevention, per garantire la sicurezza dei loro dati. Il futuro vedrà probabilmente un aumento di attacchi zero-click, rendendo cruciale l'adozione di una postura cloud security robusta e una gestione identità efficace.
Domande Frequenti
Quanto costa un attacco zero-click?
Gli attacchi zero-click possono costare tra €50.000 e €500.000 per incidente, includendo costi di remediazione, perdite di produttività e possibili sanzioni. Il costo assicurazione cyber può aumentare significativamente dopo un incidente grave.
Come posso proteggermi dagli attacchi zero-click?
Implementare soluzioni come un SOC as a Service, un servizio MDR e un sistema di identity access management può aiutare a mitigare i rischi associati agli attacchi zero-click. Un backup enterprise regolarmente aggiornato e testato è fondamentale per garantire la ripresa operativa in caso di infezione.
Qual è l'importanza della compliance DORA?
Perché è importante la certificazione ISO 27001?
Come posso gestire in modo sicuro i miei asset crypto?
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.