Candiru

Candiru — израильская компания из Тель-Авива, которая разрабатывает шпионские программы и, по её собственным условиям, продаёт их только государствам. Публичного сайта у неё нет, имя она меняла несколько раз, а о её работе мир в основном узнаёт из отчётов исследователей. В октябре 2026 года Citizen Lab показала, что программу Candiru доставляли жертвам через обычную таргетированную рекламу, и одной из главных целей оказалась медиасеть Al Jazeera.

Происхождение: компания, которой как будто нет (2014–2018)

Candiru Ltd. зарегистрировали в Тель-Авиве в 2014 году. Основатели — Эран Шорер и Яаков Вейцман. Председателем совета директоров и крупнейшим акционером Calcalist называет Ицхака Зака. Forbes в 2019 году писал, что Зак — управляющий партнёр Founders Group. Этот инвестиционный клуб соосновал Омри Лави, один из трёх создателей NSO Group, разработчика шпионской программы Pegasus.

Юридически фирма меняла имя несколько раз. По данным Citizen Lab, к 2021 году она называлась Saito Tech Ltd., хотя в отрасли и в прессе её по-прежнему зовут Candiru.

Первые годы о компании почти ничего не было известно. Forbes в 2019 году описывал её как «секретную» фирму без сайта и с минимумом публичных записей. Главным её направлением издание называло взлом компьютеров на Windows для разведок разных стран. По данным источников Forbes, Candiru работала и над инструментами для macOS, возможно и для iOS.

Кое-что о деньгах всплыло из суда. Бывший сотрудник подал иск и утверждал, что за два года после основания продажи компании составили почти $30 млн. Citizen Lab приводит эту цифру со ссылкой на иск, а не на проверенную отчётность. Из тех же судебных документов, как пишет Wikipedia, следует, что штат вырос с 12 человек в 2015 году до 70 в 2018-м. Нанимала компания, по тем же данным, в основном выходцев из израильского армейского подразделения радиоэлектронной разведки 8200.

Среди акционеров Candiru Citizen Lab называет и компанию, связанную с суверенным фондом Катара. По данным Citizen Lab, клиенты компании находились в Европе, на постсоветском пространстве, в странах Персидского залива, в Азии и Латинской Америке. Контракты, как писала Al Jazeera со ссылкой на местную прессу, запрещали применять программы против США, России, Китая, Израиля и Ирана. При этом Microsoft фиксировала активность Candiru в Иране.

2019: тестовый компьютер в Узбекистане

Первый громкий след Candiru нашли в Центральной Азии. В 2019 году исследователь «Лаборатории Касперского» Брайан Бартоломью рассказал Forbes, что спецслужба Узбекистана, вероятно, купила кибероружие Candiru. Его команда обнаружила открытый в сеть тестовый компьютер узбекской разведки. По словам Бартоломью, уязвимости Windows из узбекских атак указывали на Candiru и на её клиентов в Саудовской Аравии и ОАЭ. Напрямую связать утёкшие инструменты с компанией он при этом не смог.

Citizen Lab позже осторожно повторила этот вывод: Служба национальной безопасности Узбекистана была «вероятным» клиентом. Подтверждённого контракта в открытых источниках нет.

2021: Microsoft, Citizen Lab и DevilsTongue

Настоящая публичность пришла 15 июля 2021 года. В один день Citizen Lab из Университета Торонто и Microsoft опубликовали связанные отчёты. Microsoft назвала группу SOURGUM и описала её как «частного наступательного игрока» из Израиля. Citizen Lab с высокой уверенностью приписала эту активность Candiru.

Вредоносную программу Microsoft назвала DevilsTongue. По описанию компании, она умеет:

• собирать файлы и выполнять команды на заражённом компьютере;
• красть пароли из системы и браузеров;
• расшифровывать сообщения Signal;
• забирать cookie браузера, чтобы заходить в Facebook или Gmail жертвы и писать от её имени.

Чтобы закрепиться в системе, DevilsTongue использовала две уязвимости нулевого дня в Windows — CVE-2021-31979 и CVE-2021-33771. Microsoft закрыла их 13 июля 2021 года.

Жертв, по данным Microsoft, было больше 100. Около половины — на палестинских территориях, остальные в основном в Израиле, Иране, Ливане, Йемене, Испании (Каталонии), Великобритании, Турции, Армении и Сингапуре. Среди них, по данным Citizen Lab, правозащитники, диссиденты, журналисты, активисты и политики.

Citizen Lab нашла не меньше 764 доменов, связанных с инфраструктурой Candiru. Многие маскировались под известные организации: Amnesty International, движение Black Lives Matter, CNN, ООН и ВОЗ. В утёкшем коммерческом предложении базовый пакет стоил €16 млн и позволял следить одновременно за десятью устройствами. Цена зависела от числа одновременных заражений: чем больше целей, тем дороже лицензия.

Серверы управления, по данным Al Jazeera со ссылкой на Citizen Lab, обнаружили в Саудовской Аравии, Израиле, Венгрии, Индонезии и других странах. Сам по себе этот список не доказывает, кто именно был клиентом.

Чёрный список США (2021)

В ноябре 2021 года министерство торговли США внесло Candiru и NSO Group в Entity List — список компаний, с которыми американскому бизнесу нельзя работать без особого разрешения. Calcalist пишет, что в Вашингтоне сочли применение их шпионских программ противоречащим интересам национальной безопасности США.

Каталония (2022)

В апреле 2022 года Citizen Lab выпустила отчёт CatalanGate. Исследователи описали масштабную слежку за сторонниками независимости Каталонии. Большинство заражений приходилось на Pegasus, но часть целей, по данным отчёта, атаковали программой Candiru. В качестве приманки использовали, в частности, сообщения о COVID-19.

2025: новый владелец

В апреле 2025 года Calcalist сообщил, что Candiru купил американский инвестиционный фонд Integrity Partners. Сумма сделки — до $30 млн, первый этап — $10 млн. Одним из партнёров фонда издание называет Элада Йорана, брата бывшего CEO Tenable Амита Йорана.

Integrity Partners перевёл активы Candiru и всех сотрудников в новую компанию. По данным Calcalist, на неё санкции США не распространяются. Второй этап сделки зависит от того, разрешат ли передать новой компании экспортные лицензии Candiru. Calcalist предполагает, что скромная цена отражает заметный спад бизнеса после отзыва лицензий и санкций США. Candiru от комментариев отказалась.

Что сейчас (октябрь 2026)

16 октября 2026 года Citizen Lab описала схему AdFection. По данным BleepingComputer, это первое публичное техническое подтверждение того, что коммерческую шпионскую программу доставляли через таргетированную рекламу. Жертве не нужно было ничего нажимать: хватало того, что объявление загрузилось на устройстве.

Посредником, по данным исследователей, стала израильская компания Discover-Tech. Она покупала показы через обычные рекламные сети и биржи и встраивала в объявления скрипт. Сервер компании проверял IP-адрес и рекламный идентификатор устройства. Нужная цель получала дополнительный код, остальные — ничего.

Ключевые цифры отчёта:

• Al Jazeera передала исследователям данные об атаках как минимум на 45 устройств своих сотрудников в 2024–2025 годах;
• сетевые логи показали цепочку от серверов Discover-Tech к серверам проверки Candiru и дальше к серверам управления шпионской программой;
• с марта по июнь 2026 года операция сделала 3,77 млрд ставок на рекламных аукционах и выиграла 442 млн;
• объявления со скриптом появлялись в 75 373 приложениях для Android и iOS и на 120 768 сайтах — это не число заражений, код получали только выбранные цели.

На заражённом компьютере с Windows исследователи нашли библиотеку DLL и с высокой уверенностью приписали её Candiru. После отчёта Google, IAB Europe, Beeswax, Eskimi и Vungle удалили связанные с операцией аккаунты и заблокировали её домены. Публичных комментариев Candiru или её нового владельца по этому отчёту нет.

Источники: Citizen Lab — расследование о Candiru (2021), Microsoft — SOURGUM и DevilsTongue, Forbes — Candiru и узбекский след, Al Jazeera — отчёт Citizen Lab о Candiru, Calcalist — продажа Candiru фонду Integrity Partners, BleepingComputer — атаки через таргетированную рекламу, Wikipedia — Candiru