Citizen Lab vincula el sistema publicitario de Yandex con una plataforma "0‑Click" para distribuir software espía

A través de la red publicitaria de Yandex pasaron el 67,4% de las pujas de la empresa israelí Discover-Tech, que Citizen Lab vinculó con la infección de dispositivos mediante anuncios ordinarios. Los investigadores revelaron el esquema AdFection, que permite distribuir software espía sin que el usuario haga un solo clic.

Discover-Tech compraba impresiones publicitarias a través de la plataforma MyDSP, vinculada con Yandex, Google y otras redes. En el anuncio se insertaba un script que contactaba con el servidor de la empresa. El servidor verificaba la dirección IP y el identificador publicitario del dispositivo y luego decidía si devolver código ejecutable. Para el objetivo seleccionado, un banner normal se transformaba en un canal de ataque sin clic.

La relación con Yandex los investigadores la confirmaron no solo con los registros de las subastas publicitarias. Discover-Tech sincronizaba identificadores de usuarios a través del dominio myweb3id.io y la dirección an.yandex.ru/mapuid/discovertechis. Desde mayo de 2025 el servicio urlscan registró más de 10 000 solicitudes al dominio de seguimiento relacionado, mayoritariamente al visitar sitios rusos.

De marzo a junio de 2026 MyDSP presentó casi 3,77 mil millones de solicitudes de impresiones publicitarias y ganó alrededor de 442 millones de subastas. Los anuncios de Discover-Tech aparecían en más de 70 000 aplicaciones móviles y en 120 000 sitios web. Los investigadores no encontraron pruebas convincentes de una actividad publicitaria normal de la empresa, y la información recopilada apunta a un amplio espionaje publicitario.

Citizen Lab confirmó infecciones reales al investigar ataques contra Al Jazeera en 2024–2025. Al menos 45 dispositivos de la redacción fueron objetivos. Los registros de red mostraron saltos desde los servidores publicitarios de Discover-Tech hacia la infraestructura del software espía Candiru, también conocido como Integrity Labs. En uno de los dispositivos comprometidos se conservó un archivo DLL malicioso.

Se encontraron rastros de anuncios de Discover-Tech también en redes de organismos estatales, empresas de defensa y organizaciones internacionales, incluidas la OTAN y la ONU. Sin embargo, la reproducción de un anuncio no equivale a una infección. Según los investigadores, millones de dispositivos podrían haber contactado con los servidores de Candiru para su perfilado, pero los casos confirmados de instalación de software espía corresponden a un conjunto de objetivos mucho más reducido.

En la investigación de Citizen Lab se describen también las relaciones de Discover-Tech con las empresas Bindecy e Intelos. Tras la divulgación del esquema, Google e IAB Europe excluyeron a Discover-Tech de sus registros, Beeswax cerró el acceso a su plataforma, Vungle suspendió la relación con la empresa y Eskimi bloqueó sus cuentas y dominios. Los autores no presentaron pruebas de la participación consciente de Yandex en las infecciones.

Los investigadores recomiendan bloquear la publicidad y los scripts de seguimiento, especialmente en los dispositivos de trabajo, y desactivar la orientación personalizada. Estas medidas reducen la superficie de ataque, pero no garantizan protección frente a todas las vías de entrega de software espía a través de la infraestructura publicitaria.