Os pesquisadores do Citizen Lab dizem que a Discover-Tech opera uma plataforma de publicidade, Controlium, que pode permitir que seus usuários “desanonimizem, imprimam impressões digitais e infectem dispositivos automaticamente” assim que um anúncio aparecer. No geral, os pesquisadores estimam que milhões de dispositivos foram direcionados para os servidores do Candiru, onde poderiam ser traçados. Ao analisar os registros de lances de anúncios que foram expostos publicamente no site Discover-Tech, dizem os pesquisadores do Citizen Lab, anúncios vinculados à empresa com tags de script de invasor foram exibidos em mais de 70 mil aplicativos móveis e mais de 120 mil sites entre março e junho deste ano. Vários aplicativos, dizem os pesquisadores, exibiram mais de um milhão de anúncios vinculados ao Discover-Tech.
Os anúncios da empresa não foram necessariamente todos armados para potencialmente distribuir spyware, mas os investigadores dizem que, em geral, viram impressões de anúncios da Discover-Tech em redes governamentais e ligadas à segurança nacional em todo o mundo. Estas incluem redes da NATO e das Nações Unidas, bem como organismos legislativos na Europa, fornecedores de infraestruturas críticas na Austrália, além de forças armadas e agências governamentais na Noruega e na Suécia.
As campanhas publicitárias anteriores direcionadas sem clique que distribuem spyware raramente aparecia publicamentemas os pesquisadores do Citizen Lab dizem que isso é provavelmente um sintoma de que a infraestrutura publicitária é amplamente confiável e incorporada em todos os aspectos da vida digital sem supervisão específica.
“Os registros de rede da Al Jazeera foram fundamentais para a compreensão da natureza publicitária desse ataque”, diz Marczak. “Se o dispositivo pessoal de um usuário for alvo, por exemplo, enquanto ele estiver conectado ao Wi-Fi doméstico ou aos dados móveis, não haverá o mesmo nível de monitoramento de rede. Portanto, acho que a falta de relatórios prévios é provavelmente principalmente uma questão de visibilidade: os defensores precisam estar no lugar certo, na hora certa, olhando os dados certos.”
Falando de maneira geral sobre ameaças que podem resultar da onipresença do ecossistema de anúncios digitais, Jason Kint, CEO da organização de comércio de mídia digital Digital Content Next (a Condé Nast, controladora da WIRED, é membro), diz que esses tipos de ataques são plausíveis e prejudiciais.
“Embora raro e sofisticado, não ficaria totalmente surpreso em saber sobre ataques de clique zero por meio de anúncios”, diz Kint. “Qualquer coisa que vá diretamente contra as expectativas dos usuários ou diminua a confiança na web aberta é profundamente preocupante.”
