Al Jazeera touchée par un nouveau type d’attaques zéro-clic utilisant les pubs ciblées
Une attaque zéro-clic installant un logiciel espion via des publicités ciblées a infecté des appareils du média Al Jazeera avec un logiciel espion. Cette attaque zéro clic a été distribuée par l’entreprise de marketing israélienne Discover-Tech.
Des chercheurs du Citizen Lab de l’université de Toronto et de l’entreprise de cybersécurité Confiant ont découvert une nouvelle forme d’attaque informatique appelée «pubfection» (contraction d’advertising et infection). Cette attaque, de type «zéro-clic», permet d’infecter un appareil sans que l’utilisateur n’ait besoin d’interagir avec un lien ou un fichier. Elle utilise des publicités en ligne ciblées pour diffuser un logiciel espion. L’entreprise israélienne Discover-Tech a exploité cet écosystème publicitaire pour infecter des appareils appartenant à des journalistes et des équipes du média Al Jazeera, via un logiciel espion développé par la société Candiru, concurrente de NSO. Entre 2024 et 2025, 45 appareils de Al Jazeera ont été touchés par cette attaque.
La pubfection repose sur l’exploitation de l’écosystème publicitaire en ligne, qui permet d’afficher des publicités ciblées sur des sites web et des applications mobiles. Discover-Tech a réussi à s’intégrer dans les listes des vendeurs de publicités certifiés par des géants comme Google ou Yandex, ainsi que par l’IAB Europe (Association européenne du marketing numérique). Lorsqu’un utilisateur cible est identifié, la publicité diffusée contient un code JavaScript malveillant. Ce code permet de transmettre l’infection à un serveur de Candiru, qui vérifie l’appareil avant de l’infecter. L’appareil infecté communique ensuite avec un serveur de commande et contrôle (C&C) pour exécuter le logiciel espion. Entre mars et juin 2026, Discover-Tech a distribué des publicités malveillantes via 75 373 applications Android et iOS, ainsi que sur 120 768 sites web.
Les attaques ont principalement visé des appareils sous Android, avec des applications populaires comme MX Player, Yahoo Mail, Opera Mini, Duolingo, Badoo ou Grindr. Certaines de ces applications ont affiché plus d’1 million de publicités de Discover-Tech. Sur iOS, le nombre d’applications concernées est similaire, mais le volume de publicités diffusées est moindre : par exemple, la version Android de Viber a affiché 700 000 publicités, contre 200 000 pour la version iOS. Les chercheurs soulignent que ces attaques ne ciblent pas uniquement des individus spécifiques, mais exploitent aussi les utilisateurs pour diffuser des publicités. Pendant la période analysée, Discover-Tech a enchéri sur 3 770 286 576 impressions publicitaires et en a remporté 441 954 291 (soit 11,7 %).
Les chercheurs du Citizen Lab ont identifié que les publicités de Discover-Tech ont été diffusées sur des appareils connectés à des réseaux sensibles, comme ceux de l’OTAN, de ministères de la Défense, d’armées, d’agences de cybersécurité et de médias. Bien qu’aucune attaque n’ait été observée sur ces réseaux, les chercheurs soulignent le risque systémique posé par la pubfection et l’écosystème publicitaire. Ils appellent à une enquête urgente pour vérifier si des utilisateurs de ces réseaux ont été infectés. Google, l’IAB Europe, Beeswax, Vungle et Eskimi ont débranché les accès de Discover-Tech à leurs outils après avoir été informés. Cependant, d’autres entreprises de l’écosystème n’ont pas répondu à cette alerte.
Pour se protéger contre ce type d’attaque, le chercheur *John Scott-Railton* du *Citizen Lab* recommande de bloquer les publicités dès maintenant. Cette mesure simple permet d’éviter l’affichage des publicités malveillantes et réduit ainsi le risque d’infection. Les chercheurs précisent qu’une impression publicitaire de *Discover-Tech* ne confirme pas automatiquement une infection, mais que la diffusion de publicités sur des réseaux sensibles souligne l’urgence de renforcer la sécurité de l’écosystème publicitaire. Aucune autre solution technique n’est mentionnée dans l’article pour se prémunir contre la *pubfection*.
