← Terug naar het blog 16 oktober 2026

AdFection: spyware via advertenties. Kun je dat zelf controleren?

Op 15 oktober 2026 publiceerde het onderzoekscentrum Citizen Lab iets wat veiligheidsonderzoekers al jaren vreesden: voor het eerst is publiek bewezen dat spyware kan binnenkomen via een gerichte advertentie, zonder dat iemand iets aanklikt. Even slikken. Maar lees verder: voor de meeste mensen is de kans klein, je kunt er veel zelf aan doen, en je kunt in een paar minuten zelf nakijken of je pc bekende sporen vertoont.

Kort samengevat
  • Het gaat om gerichte spionage (spyware van het bedrijf Candiru), niet om een massale besmetting van gewone gebruikers.
  • Een advertentie van het betrokken bedrijf zien betekent niet dat je besmet bent. Dat zeggen de onderzoekers zelf.
  • Zo'n spyware is gemaakt om zich te verstoppen. Een scan die niets vindt, is geen bewijs dat alles in orde is. Een scan die iets vindt, is wél de moeite om serieus te nemen.
  • Wie echt besmet is, ruimt dat niet met de hand op. De betrouwbare oplossing is Windows schoon opnieuw installeren.

Wat is er precies ontdekt?

Elke gerichte advertentie die je op een website of in een app ziet, is het resultaat van een razendsnelle veiling. Adverteerders bieden op de kans om jou een bepaalde advertentie te tonen, en krijgen daarvoor gegevens over je toestel, je netwerk en je locatie. Een advertentie bestaat bovendien niet alleen uit een plaatje: ze kan ook code bevatten die in je browser of app draait.

Citizen Lab en het beveiligingsbedrijf Confiant toonden aan dat een Israëlisch bedrijf, Discover-Tech, dit systeem gebruikte als doorgeefluik voor bedrijven die spionagesoftware verkopen. De advertenties zelf zagen er onschuldig uit. Maar op de achtergrond vroegen ze aan een server van Discover-Tech of dít toestel een doelwit was. Bij de overgrote meerderheid van de mensen kwam daar niets terug. Bij een uitgekozen doelwit kon er wel kwaadaardige code terugkomen.

Het bewezen geval: minstens 45 toestellen bij het nieuwsnetwerk Al Jazeera werden in 2024 en 2025 aangevallen met spyware van Candiru. Dat bedrijf werd in 2021 al aan de kaak gesteld door Microsoft en Citizen Lab. Microsoft telde toen meer dan 100 slachtoffers: politici, journalisten, activisten, academici en ambassademedewerkers.

Wat dit extra pijnlijk maakt: Discover-Tech stond van 2020 tot begin oktober 2026 op de lijsten van gecertificeerde en goedgekeurde adverteerders van Google en de Europese reclamekoepel IAB Europe. Het bedrijf gebruikte zelfs het toestemmingssysteem van IAB Europe (de cookiebanners die jij wegklikt) om gebruikers in de EU te bereiken. Het goede nieuws: beide hebben het bedrijf nu van hun lijsten gehaald, en Google heeft zijn toegang tot de advertentiebeurzen stopgezet. Er wordt dus al opgetreden.

Moet je je zorgen maken?

Eerlijk en rustig: de meeste mensen niet. Dit soort spyware is duur en wordt verkocht aan overheidsdiensten, die zelf kiezen wie ze willen bespioneren. Confiant zag dat de overdracht naar Candiru om slechts honderden tot enkele duizenden advertentiebeurten per dag ging. Dat wijst op heel gericht werk, niet op een brede aanval.

Wel is het confronterend dat België in het onderzoek van Confiant opduikt als een van de landen waar die overdracht werd gezien. Let wel: Confiant vond daarbij geen aanwijzing dat het om overheidsnetwerken of gevoelige locaties ging, en een treffer is nog geen besmetting. Wie zich door zijn beroep of engagement een mogelijk doelwit weet (journalist, activist, bestuurder, advocaat, onderzoeker), moet dit nieuws wél ernstig nemen.

Voor iedereen geldt: het is hetzelfde advertentiesysteem dat ook je gewone surfgedrag volgt. Een paar eenvoudige maatregelen (zie verderop) verminderen zowel het spionagerisico als het gewone gevolgd worden.

Hoe erg is het dan wel?

Voor één persoon met een gewone pc is het risico klein. Voor het systeem erachter is het ernstig, om drie redenen:

Kun je zelf controleren of je besmet bent?

Gedeeltelijk. Dit kan wél: de spyware laat op Windows sporen na die Microsoft, Avast en Citizen Lab beschreven hebben, en een paar daarvan kun je zelf terugvinden. Dit kan niet: bewijzen dat je niet besmet bent. Deze spyware is gemaakt om niet gevonden te worden, wordt aangepast zodra ze ontdekt is, en de bestanden zijn per slachtoffer uniek.

Hieronder staan drie dingen die je zelf kunt nakijken, in gewone taal. Daarvoor hoef je niets te downloaden of te installeren. Je kijkt alleen, je wijzigt niets. Wie dat liever door een programma laat doen, vindt daarna een optionele controletool, met uitleg en waarschuwingen.

Lees dit eerst

Wat dit nakijken wel doet: het zoekt naar een paar bekende, openbaar gepubliceerde sporen van de Candiru-spyware.

Wat het niet doet: het bewijst niet dat je pc schoon is, het vindt geen onbekende of nieuwe varianten, en het ruimt niets op. Een vondst kan ook een vals alarm zijn.

Verantwoordelijkheid: je volgt deze stappen op eigen risico. Villalobos.be en Villalobos PC Hulp geven geen garantie en zijn niet verantwoordelijk voor schade, gegevensverlies, vals alarm, gemiste besmettingen of beslissingen op basis van wat je vindt. Dit is geen professioneel beveiligingsonderzoek. Verwijder of wijzig nooit bestanden in de Windows-mappen die hieronder genoemd worden: je kijkt alleen.

Stap 1: bekijk wat Windows al gevonden heeft

  1. Klik op Start en typ Windows-beveiliging. Open die app.
  2. Klik op Virus- en bedreigingsbeveiliging, daarna op Beveiligingsgeschiedenis (of Beschermingsgeschiedenis).
  3. Kijk of je de woorden DevilsTongue, SOURGUM of Candiru ziet staan. Staat er niets van dat soort? Dan heeft Windows er tot nu toe niets van opgemerkt.

Gebruik je een ander antivirusprogramma (Norton, Bitdefender, enzovoort)? Dan kijkt Windows-beveiliging misschien niet mee, en kijk je in dat programma naar dezelfde woorden.

Stap 2: laat Windows grondig scannen

  1. Open opnieuw Windows-beveiliging en klik op Virus- en bedreigingsbeveiliging, daarna op Scanopties.
  2. Kies Microsoft Defender Offline-scan en klik op Nu scannen.
  3. Je pc herstart en scant ongeveer een kwartier, nog vóór Windows opstart. Zo kan zich minder makkelijk iets verstoppen. Daarna start Windows gewoon weer op en kun je in Beveiligingsgeschiedenis zien of er iets gevonden is.

Stap 3: kijk in twee Windows-mappen naar twee bekende bestanden

  1. Open de Verkenner (de gele map in de taakbalk) en ga naar Deze pc, dan Lokale schijf (C:), dan Windows, dan System32, dan drivers. Windows toont misschien een melding dat je toegang tot de map nodig hebt: klik op Doorgaan en kijk alleen.
  2. Typ rechtsboven in het zoekvak physmem en druk op Enter. Wacht even. Vind je een bestand met de naam physmem.sys, dan is dat volgens Microsoft een aanwijzing voor deze spyware. Vind je niets, dan is dat goed.
  3. Ga nu naar C:\Windows\System32\IME (je kunt het pad ook plakken in de adresbalk bovenaan) en zoek op WimBootConfigurations. Een bestand WimBootConfigurations.ini is een uniek kenmerk van deze spyware. Vind je dat niet, dan is dat goed.

Optioneel: laat een programma het nakijken

Liever niet zelf in mappen zoeken? Dan kun je een klein controleprogramma gebruiken dat ik schreef. Het doet hetzelfde als de stappen hierboven, plus nog enkele controles. Lees eerst alles hieronder: een programma downloaden en starten is iets wat je normaal nooit zomaar doet.

Waarschuwingen, lees ze echt
  • Download het alleen van deze pagina op villalobos.be. Heeft iemand het je per e-mail, sms of chat bezorgd? Start het dan nooit. Zo werken oplichters ook.
  • Het is een .bat-bestand: een gewoon tekstbestand met opdrachten. Daarom zal je browser waarschuwen dat het schadelijk kan zijn, en Windows kan een blauw scherm tonen (Windows heeft uw pc beveiligd). Die waarschuwingen komen bij elk programma dat Microsoft niet kent, en dat geldt ook voor dit bestand, want het is niet digitaal ondertekend. Doorgaan doe je alleen als je het bestand van deze pagina hebt en je deze uitleg gelezen hebt.
  • Het programma is nieuw en weinig getest. Een vals alarm of een fout is mogelijk.
  • Een programma dat niets vindt, bewijst niet dat je pc schoon is. Een programma dat iets vindt, is een reden om raad te vragen, niet om te schrikken.
  • Op eigen risico. Villalobos.be en Villalobos PC Hulp geven geen garantie en zijn niet verantwoordelijk voor schade, gegevensverlies, vals alarm, gemiste besmettingen of beslissingen op basis van de uitslag. Maak voor alle zekerheid eerst een back-up van je belangrijke bestanden.

Wat het programma doet

Wat het programma niet doet

Wil je zelf zien wat erin staat? Klik na het downloaden met de rechtermuisknop op het bestand, kies Openen met en dan Kladblok. Het is leesbare tekst.

Download AdFection-controle.bat

Zo start je het:

  1. Klik op de knop. Je browser waarschuwt waarschijnlijk. Lees de waarschuwingen hierboven nog eens en kies dan Behouden (soms via de drie puntjes).
  2. Dubbelklik in je map Downloads op AdFection-controle. Zie je het blauwe Windows-scherm? Klik dan op Meer informatie en Toch uitvoeren.
  3. Lees de uitleg in het zwarte venster. Typ J en druk op Enter als je akkoord gaat. Kies Ja als Windows om toestemming vraagt.
  4. Wacht even (soms een paar minuten). Je krijgt de uitslag in beeld en een rapport op je bureaublad. Druk daarna op Enter om het venster te sluiten.
Voor techneuten: controleer of het bestand ongewijzigd is

SHA-256 van AdFection-controle.bat (versie 16 oktober 2026):
55cd3b22ebb80ae502df171892cac8ce45c381ff04403d4c197b07aec43125c0

Controleer in PowerShell met: Get-FileHash "$env:USERPROFILE\Downloads\AdFection-controle.bat". Wijkt de waarde af, start het bestand dan niet.

En als je iets vindt?

Niet zelf gaan rommelen

Verwijder niets met de hand. Deze spyware zit diep in Windows, bestaat uit versleutelde, unieke bestanden en gebruikt een kerneldriver. Handmatig opruimen is daardoor niet betrouwbaar.

  • Gebruik die pc niet meer voor bankzaken of wachtwoorden.
  • Noteer wat je gevonden hebt (maak een foto van het scherm).
  • Wijzig je wachtwoorden vanaf een ander, schoon toestel en meld je overal af.
  • Neem contact op of vraag een IT-specialist om mee te kijken. Een vondst is niet altijd een besmetting. Bijvoorbeeld een oude physmem.sys kan soms van legitieme software komen, en dat is iets wat een specialist kan beoordelen.

Vind je niets, of staat er alleen iets onschuldigs? Dan weet je alleen dat deze bekende sporen er niet zijn. Hou je pc up-to-date en volg de tips hieronder.

Opnieuw installeren: mét of zonder je bestanden?

Doe een schone installatie, vanaf een USB-stick met de schijf gewist. De Windows-optie "Deze pc opnieuw instellen, mijn bestanden behouden" is minder betrouwbaar. Je eigen bestanden neem je wel mee, via een back-up op een externe schijf:

Vermoed je dat je gericht wordt aangevallen? Neem dan contact op met een gespecialiseerde organisatie zoals de Digital Security Helpline van Access Now. Doe dat niet alleen.

Helpt een firewall?

Beperkt. De aanval komt binnen als gewoon https-verkeer in je browser, en een firewall blokkeert vooral poorten en programma's en laat uitgaand verkeer standaard door. Het blokkeren van bekende domeinen (via het hosts-bestand, een DNS-filter of je router) kan het contact met de bevelsserver wel verbreken. Alleen wisselen de adressen na enkele dagen, en Confiant vond in de aanvalscode een functie die domeinen via versleutelde DNS opzoekt, precies om zulke filters te omzeilen. Defender heeft ook een functie Netwerkbeveiliging die volgens Microsoft bekende domeinen van de groep blokkeert; die staat meestal niet standaard aan. Een firewall of filter is dus een extra laag, geen hoofdverdediging.

Zo verklein je het risico (voor iedereen)

  1. Updates, updates, updates. Hou Windows, je browser (Chrome, Edge, Firefox) en je telefoon altijd bijgewerkt. Zero-click aanvallen hebben een fout in je software nodig; een update dicht de gekende fouten. Tegen nog onbekende fouten helpt dat niet, en daarom werken de volgende lagen samen.
  2. Gebruik een adblocker. uBlock Origin laat de meeste advertentiecode niet draaien, en dus ook dit aanvalspad niet. Dat is toevallig ook goed voor je privacy.
  3. Gebruik een DNS-filter. Diensten zoals NextDNS of AdGuard DNS (of Pi-hole thuis) blokkeren in één keer duizenden volg- en advertentiedomeinen voor al je toestellen, ook je telefoon en smart-tv. Zoals hierboven gezegd: nuttig, maar niet sluitend.
  4. Surf niet als beheerder. Gebruik een gewoon gebruikersaccount voor het dagelijks werk.
  5. Minder apps, minder advertenties. Het onderzoek zag de advertenties in alles van weer-apps en spelletjes tot berichtendiensten. Gratis apps met veel advertenties zijn de makkelijkste doorgang.
  6. Extra voor wie zich een doelwit voelt: Edge heeft een instelling Verbeterde beveiliging die het aanvalsoppervlak van de browser verkleint. Dat kan sites trager maken.

En je telefoon?

De controle hierboven is voor Windows. De onderzoekers zagen de advertenties vooral in apps op Android en iPhone, al is het enige volledig bewezen geval een Windows-geval. Voor je telefoon geldt: altijd bijwerken, weinig apps installeren, een adblocker of DNS-filter gebruiken. Op de iPhone kun je de Vergrendelingsmodus (Lockdown Mode) inschakelen als je je een doelwit voelt. Voor technische gebruikers bestaat ook de gratis Mobile Verification Toolkit van Amnesty International.

Voor techneuten: gebruikte indicatoren (IOC's)

De domeinen staan hier met een haakje [.] zodat ze niet per ongeluk aanklikbaar zijn. Bronnen: Citizen Lab (2026), Confiant (2026), Microsoft (2021), Avast (2022).

Candiru-infrastructuur (validators en C&C)
keyadapter[.]com, sharethere[.]net, fearevolve[.]com, jobmarcher[.]com, insightenterprisells[.]com, plasticbells[.]com, outdooutcome[.]com, suggestutterly[.]com, sincereaccertain[.]com, trustlayersdk[.]com, plus een reeks wisselende CloudFront-adressen (zie Confiant).

Discover-Tech (advertentieplatform)
*.mtrtb[.]com, *.adtimizer[.]co, myipinfo[.]io, akedo[.]gg, volasim[.]com, myweb3id[.]io, powerium[.]net, controlium[.]net, tracookiepixel[.]xyz, cookie-sync[.]xyz, tekma-dmp[.]ai

Windows-sporen van DevilsTongue

  • Gekaapte COM-sleutels: HKLM\SOFTWARE\Classes\CLSID\{CF4CC405-E2C5-4DDD-B3CE-5E7582D8C9FA}\InprocServer32 (normaal %SystemRoot%\system32\wbem\wmiutils.dll) en {7C857801-7381-11CF-884D-00AA004B2E24} (normaal wbemsvc.dll). Staat de DLL in \system32\ime\, dan is het waarschijnlijk DevilsTongue.
  • Eerste-fase-DLL's in submappen van C:\Windows\System32\IME\, naam begint met im, niet ondertekend.
  • WimBootConfigurations.ini in een submap van System32\ime\.
  • Versleutelde .dat-bestanden in nieuwe submappen van System32\config\ (bestandsgrootte deelbaar door 16).
  • Driver C:\Windows\System32\drivers\physmem.sys, SHA-256 c299063e3eae8ddc15839767e83b9808fd43418dc5a1af7e4f44b97ba53fbd3d. Avast zag in 2022 ook HW.sys.
  • Citizen Lab-monster (2026, Al Jazeera): SHA-256 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8, met dezelfde COM-hijack-techniek als in 2021.

Microsoft benadrukt dat de meeste DevilsTongue-bestanden een unieke hash hebben en dat de actor zijn kenmerken waarschijnlijk wijzigt. Een IOC-controle is dus een momentopname, geen sluitende detectie. Microsoft raadt ook de Defender-regel Block abuse of exploited vulnerable signed drivers aan.

Liever niet zelf doen?

Geen probleem. Via Villalobos PC Hulp help ik thuisgebruikers en senioren in Oosterzele, Wetteren en omgeving: een grondige veiligheidscontrole aan huis of op afstand (met professionele hulpmiddelen), een adblocker of DNS-filter instellen, updates op orde brengen, of samen kijken naar een onrustig gevoel bij je pc. Zeg hallo en we bekijken het samen.

Bronnen

Dit artikel is informatief en geen professioneel beveiligingsadvies. Er is geen garantie dat alle besmettingen gevonden worden. Volg de stappen op eigen risico; Villalobos.be en Villalobos PC Hulp zijn niet aansprakelijk voor schade of gevolgen daarvan. Bij ernstige vermoedens: vraag een specialist.