Basta ver um anúncio para o smartphone ser infetado? Ataque dispensa qualquer clique

A segurança nos smartphones acaba de entrar num terreno bastante perigoso. Uma investigação de segurança revelou uma nova técnica batizada de “AdFection”. É capaz de infetar smartphones e PCs através de publicidade online sem exigir qualquer interação. Ou seja, acabou o tempo em que bastava não carregar em links estranhos para estar seguro.

Neste esquema, o ataque classifica-se como zero-click e funciona de forma totalmente invisível nos bastidores. O utilizador entra num site ou abre uma aplicação perfeitamente vulgar, o banner carrega e o processo malicioso arranca de imediato em segundo plano, sem necessidade de toques no ecrã ou downloads manuais.

Esquema silencioso da Discover-Tech

O vetor de ataque foi montado em torno da Discover-Tech, uma agência de publicidade israelita que até aqui passava por um intermediário legítimo e certificado. Esta rede colocou anúncios aparentemente banais — promovendo telemóveis ou auscultadores normais — em mais de 120 mil sites e 75 mil aplicações populares no mercado.

Sempre que a publicidade é carregada no ecrã, faz um contacto direto com os servidores da empresa e recolhe de imediato a identificação e o endereço IP do leitor. Se o perfil coincidir com o alvo pretendido pelos atacantes, o servidor envia de volta um código malicioso feito para explorar uma vulnerabilidade do browser e descarrega o spyware Candiru sem que nada de estranho apareça no ecrã.

Spyware Candiru e alvos de alto perfil

Caso o visitante não seja o alvo pré-definido, a intrusão profunda não acontece, mas a publicidade continua a extrair identificadores e a cruzar cookies sem autorização. As análises indicam que este método foi usado para comprometer pelo menos 45 PCs da cadeia Al Jazeera entre 2024 e 2025, além de ter sido detetado em tráfego de redes sensíveis ligadas à ONU, OTAN e Comissão Europeia.

Depois do alerta emitido pelos investigadores, várias plataformas de grande dimensão, incluindo a Google e a IAB Europe, cortaram os acessos e removeram a Discover-Tech das listas de parceiros autorizados. Ainda assim, o caso serviu para expor uma fragilidade grave na forma como os leilões e as redes de publicidade operam diariamente na web.

Como se proteger deste tipo de ameaça

Proteger o smartphone contra investidas que nem sequer pedem um clique exige agora medidas mais preventivas do que reativas. O passo evidente passa por usar sistemas de filtragem por DNS no próprio dispositivo para travar o carregamento prévio deste tipo de scripts.

Além disso, convém manter o sistema operativo e as aplicações sempre na versão mais recente para tapar as falhas conhecidas de navegação. No Android e iOS, uma boa prática adicional consiste em aceder às definições de privacidade e redefinir com frequência o identificador de publicidade, reduzindo a capacidade de rastreio contínuo entre diferentes plataformas.