La agencia israelí de publicidad digital Discover-Tech ha sido descubierta enviando millones de anuncios en línea que instalaban spyware en los teléfonos de usuarios en todo el mundo sin que estos tuvieran que hacer clic sobre los anuncios.
Mediante una técnica denominada “AdFection”, la plataforma Controlium de Discover-Tech ha sido utilizada por clientes con fines económicos para desanonimizar, identificar y contaminar automáticamente dispositivos en el instante en que se carga un anuncio publicitario.
Entre las aplicaciones donde se detectaron anuncios de Discover-Tech se encuentran Duolingo, diversas apps de citas, rastreadores de ciclos menstruales, aplicaciones meteorológicas alemanas, Yahoo Mail, Viber y aplicaciones de llamadas como Truecaller. 
Citizen Lab ha señalado que este es el primer caso detectado de infección en condiciones reales de dispositivos mediante spyware mercenario sin interacción por parte del usuario, usando anuncios dirigidos como vector de ataque.
El spyware se ha empleado contra decenas de dispositivos que pertenecen a periodistas que cubrían temas delicados en la cadena qatarí Al Jazeera. Además, estos anuncios aparecían en redes de instituciones críticas como el Pentágono, el Organismo Internacional de Energía Atómica de la ONU y la Corte Penal Internacional.
Asimismo, esta campaña maliciosa ha impactado a medios de comunicación en países como Austria, Dinamarca, Francia, México, Israel, Italia, Noruega y Suecia, además de afectar a redes de servicios de información internacionales.
Investigadores han advertido que Discover-Tech se presenta como una empresa legítima de publicidad digital, pero en realidad actúa como un nexo entre compañías dedicadas a desarrollar spyware y el ecosistema legítimo de publicidad online.
Se contabilizaron miles de millones de intentos de Discover-Tech para mostrar anuncios maliciosos a usuarios, sin indicios de que la compañía realice actividades publicitarias legales o tradicionales.
La plataforma Controlium permite a estas empresas de spyware mercenario infectar objetivos a través de anuncios web. Mediante un perfilado masivo y la desanonimización de millones de usuarios, se puede activar un ataque selectivo mediante anuncios aparentemente inofensivos que contienen exploits sin necesidad de interacción (zero-click) para instalar el software espía.
La infección se efectúa enviando código JavaScript malicioso que es ejecutado por el navegador o la aplicación, explotando vulnerabilidades para comprometer el dispositivo.
Algunos usuarios conocidos de Controlium incluyen a la empresa Candiru, presuntamente propiedad de la compañía estadounidense Integrity Labs, que ya ha sido sancionada por el Departamento de Comercio de los Estados Unidos por desarrollar spyware dirigido a funcionarios gubernamentales, periodistas, empresarios, activistas, académicos y trabajadores de embajadas.
También está vinculada a Bindecy, una firma israelí especializada en exploits móviles zero-click, así como a Intelos, otra empresa dedicada a la vigilancia mercenaria.
El análisis de Citizen Lab pone en evidencia una preocupante falta de control y diligencia en el ecosistema publicitario que Discover-Tech ha explotado durante años. A pesar de estar involucrada en actividades de perfilado masivo y hacking con spyware mercenario, esta empresa apareció en varias listas de proveedores publicitarios “certificados” y “aprobados” mantenidas por Google e IAB Europe, la asociación de la industria publicitaria.
La presencia prolongada de esta compañía en listados de confianza expone las insuficiencias en los mecanismos de supervisión de un sector que por naturaleza tiene acceso a casi cualquier dispositivo móvil o navegador web, con un alcance extremadamente invasivo.
Tras estas revelaciones, Google y la organización IAB Europe han eliminado a Discover-Tech de sus listados de proveedores publicitarios autorizados, en un intento por proteger a los usuarios y cerrar esta grave vulnerabilidad en la cadena de distribución publicitaria.
