Le Citizen Lab affirme que le spyware Candiru a infecté des appareils d'Al Jazeera via de simples publicités en ligne.

Une simple publicité a suffi pour espionner des journalistes. Selon le Citizen Lab, le spyware Candiru a infecté des appareils au sein du réseau d’information Al Jazeera. Les chercheurs ont publié leurs conclusions jeudi. En effet, l’attaque ne demandait aucun clic ni aucune autre action de la part des victimes.

Candiru est une entreprise israélienne. Elle conçoit des logiciels espions et les vend à des gouvernements. Cette affaire illustre donc une nouvelle fois les risques liés au marché de la surveillance commerciale.

Spyware Candiru : une infection sans clic via la publicité

D’après le Citizen Lab, le code malveillant était caché dans des annonces en ligne ordinaires. Il s’exécutait dès que la publicité s’affichait à l’écran. Autrement dit, la victime n’avait rien à faire pour être compromise.

Plus inquiétant encore, l’annonce se chargeait parfois en arrière-plan. Elle restait alors invisible pour l’utilisateur. Celui-ci ne pouvait donc rien remarquer d’anormal pendant la navigation.

Ce type d’attaque est qualifié de « zero-click ». Il se distingue de l’hameçonnage classique. Dans ce dernier cas, la cible doit ouvrir un lien ou un fichier piégé. En revanche, ici, le simple chargement d’une page web contenant l’annonce suffit à déclencher le code.

Comment fonctionne une attaque zero-click par publicité

Les publicités en ligne reposent sur une chaîne complexe d’intermédiaires. D’abord, un éditeur de site affiche des annonces fournies par des régies. Ensuite, celles-ci les reçoivent à leur tour d’annonceurs, parfois via des enchères automatisées.

Cette organisation offre un avantage à un attaquant. Il peut en effet viser des profils précis. Les annonces sont diffusées selon des critères de ciblage. Ainsi, le nombre de personnes touchées reste limité. Par ailleurs, le Citizen Lab évoque des publicités ciblées dans le titre de son travail.

Cette méthode présente plusieurs atouts pour les opérateurs de logiciels espions :

• elle ne nécessite aucune interaction de la victime ;
• elle laisse peu de traces visibles pour l’utilisateur ;
• elle s’appuie sur une infrastructure publicitaire légitime ;
• elle permet de cibler des personnes ou des organisations précises.

De plus, une annonce chargée en arrière-plan échappe à la vigilance humaine. Même un utilisateur prudent ne peut pas la repérer à l’œil nu. Ainsi, la protection repose sur les défenses techniques de l’appareil et du navigateur.

Pourquoi Al Jazeera est une cible sensible

Al Jazeera est un acteur majeur de l’information internationale. Ses journalistes travaillent sur des sujets politiques et géopolitiques délicats. Ils échangent aussi avec des sources qui ont besoin de discrétion.

Un logiciel espion installé sur un téléphone ou un ordinateur peut donner un accès très large. Il peut exposer des messages, des contacts et des documents. Par conséquent, une infection menace non seulement le journaliste, mais aussi ses sources.

Cette affaire s’inscrit dans un contexte plus large. Les outils de surveillance vendus aux États ont déjà visé des journalistes, des militants et des opposants. Le Citizen Lab documente ces abus depuis des années. Rappelons également que Candiru figure depuis novembre 2021 sur la liste des entités du Département du Commerce américain.

Les informations disponibles à ce stade restent limitées. Elles ne précisent pas combien d’appareils ont été touchés. De plus, elles n’indiquent pas quels systèmes étaient visés. Il faudra donc attendre le rapport complet pour mesurer l’ampleur de l’opération.

Que faire face au spyware Candiru ?

Les organisations de presse doivent considérer la publicité comme un vecteur d’attaque réel. Plusieurs mesures peuvent toutefois réduire le risque, sans le supprimer totalement.

• Mettre à jour systématiquement les systèmes et les navigateurs, car les failles exploitées sont souvent corrigées par des correctifs.
• Bloquer les publicités sur les postes sensibles grâce à un bloqueur ou à un filtrage DNS.
• Activer le mode Isolement ou équivalent sur les appareils des profils à risque, lorsqu’il existe.
• Redémarrer régulièrement les téléphones, ce qui peut perturber certaines infections non persistantes.
• Solliciter une analyse auprès d’organisations spécialisées en cas de doute.

Ce qu’il faut retenir

Le Citizen Lab affirme que Candiru a infecté des appareils d’Al Jazeera sans aucune action des utilisateurs. Ainsi, le code malveillant se cachait dans des publicités ordinaires. Il s’exécutait dès leur affichage, parfois en arrière-plan.

En résumé, la navigation web courante peut suffire à compromettre un appareil. Les journalistes et les organisations sensibles doivent donc renforcer leur hygiène numérique. Enfin, la transparence des éditeurs et des régies publicitaires reste essentielle pour limiter ces abus.

Source : Citizen Lab Traces Zero-Click Candiru Spyware Infections at Al Jazeera to Targeted Online Ads