Come è stato scoperto il malware zero‑click

Una collaborazione tra una società israeliana di pubblicità e aziende specializzate in spyware ha permesso di infettare dispositivi semplicemente caricando un annuncio. L’indagine congiunta di Citizen Lab e della firma di sicurezza Confiant ha identificato Discover Tech come la piattaforma che ha distribuito gli annunci malevoli.

Gli annunci sembravano legittimi – spesso promuovevano prodotti di consumo come telefoni o cuffie – ma contenevano al loro interno un codice di monitoraggio capace di installare il malware Candiru senza alcuna interazione dell’utente.

Caratteristiche del malware Candiru

Candiru è una compagnia israeliana inserita nella lista nera degli Stati Uniti dal 2021 per lo sviluppo di software spia. La sua particolarità più pericolosa è la capacità zero‑click: basta che l’annuncio venga caricato in una pagina web o in un’app per avviare la raccolta di dati e tentare l’infezione.

Una variante particolarmente potente, distribuita tramite gli annunci, ha compromesso 45 computer della rete Al Jazeera tra il 2024 e il 2025.

Portata della campagna di diffusione

Discover‑Tech ha agito come intermediario, consentendo a gruppi di hacking di inserire annunci dannosi su internet. La campagna ha raggiunto più di 120 000 siti web e 75 000 applicazioni, con una media di 10 milioni di annunci visualizzati al giorno, secondo le stime di Confiant.

Gli annunci hanno tracciato gli utenti, estratto dati sensibili e facilitato l’installazione di ulteriori componenti malevoli collegati a Candiru. La loro diffusione ha interessato reti di categorie estremamente sensibili, tra cui il Pentagono, la Corte Penale Internazionale, l’Organismo Internazionale per l’Energia Atomica, la ONU, la NATO, la Commissione Europea e aziende del settore dei chip come NVIDIA e Micron.

Implicazioni per la sicurezza digitale

Il modello di pubblicità online, basato su reti che aggregano e distribuiscono dati su milioni di persone, è stato evidenziato come una “minaccia sistemica” da Wolfie Cristl, capo ricercatore di Citizen Lab, in un’intervista a Reuters. La capacità di infettare dispositivi senza clic rende l’intero ecosistema pubblicitario un veicolo potenziale di spionaggio a livello statale e commerciale.

Secondo Confiant, centinaia di milioni di persone sono rimaste vulnerabili a questo malware, con il rischio di essere monitorate da attori governativi o gruppi criminali.

Come proteggersi

Al momento non esiste un metodo affidabile per verificare se si è stati infettati, poiché gli annunci non lasciano tracce evidenti sul dispositivo. Gli esperti raccomandano le seguenti contromisure:

    • Installare e mantenere attivo un blocco‑annunci affidabile.
    • Disattivare il tracciamento pubblicitario e resettare periodicamente gli identificatori pubblicitari (es. “Restablecer ID de publicidad” in Impostazioni → Privacy → Annunci).
    • Mantenere il sistema operativo e le applicazioni aggiornati.
    • Utilizzare un software di sicurezza riconosciuto.
    • Monitorare comportamenti anomali del dispositivo, come consumi insoliti di batteria o traffico di rete.

Adottare queste pratiche può ridurre significativamente il rischio di cadere vittima di campagne pubblicitarie malevoli simili.