توفر الإعلانات المستهدفة عمليات استغلال بنقرة واحدة لتثبيت البرامج الضارة للمرتزقة

ربما يكون هذا الحادث هو أول تأكيد لوجود برامج تجسس للمرتزقة الذين تخدمهم الإعلانات المستهدفة.

ربما يكون هذا الحادث هو أول تأكيد لوجود برامج تجسس للمرتزقة الذين تخدمهم الإعلانات المستهدفة.

يقول الباحثون إن المتسللين المستأجرين يعلنون عن طريق استغلال النقرات الصفرية التي تثبت برامج ضارة معقدة على الأجهزة المستهدفة عندما لا يفعلون شيئًا سوى تحميل موقع ويب أو فتح تطبيق مثبت.

وجاء في النتائج التي نشرها مختبر سيتيزن لاب بجامعة تورونتو يوم الخميس أن الحادث هو على الأرجح أول تأكيد على وجود برامج تجسس مرتزقة بدون نقرة يتم تسليمها من خلال الإعلانات المستهدفة. تعتبر الهجمات التي تعمل على أجهزة iOS وAndroid خطيرة بشكل خاص لأنها تعمل دون الحاجة إلى التفاعل مع الهدف وتكون غير مرئية ما لم يقوم المستخدمون بتشغيل أجهزة أو برامج خاصة للطب الشرعي. وقالت شركة Citizen Lab إنها أكدت أن AdFection، كما أطلقت عليه الحملة، أصاب 45 جهازًا في مؤسسة الجزيرة الدولية للإعلام في عامي 2024 و2025.

وكتب باحثو Citizen Lab: "يجب أن يكون هذا البحث بمثابة إشارة تحذير واضحة للمؤسسات الإخبارية في جميع أنحاء العالم بأنها قد تكون مستهدفة بشكل نشط بهذا التهديد الجديد". "قد يحدث هذا الاستهداف في غرف الأخبار وللصحفيين والمحررين وغيرهم من الموظفين." وتابع تقريرهم: "إن توزيع برامج التجسس من خلال الإعلانات المستهدفة يمثل خطرًا أمنيًا ليس فقط على الضحايا المحتملين، بل أيضًا على الدول والمجتمع المدني بشكل عام".

يتم تقديم الإعلانات من قبل شركة Discover-Tech، وهي شركة إسرائيلية تعتبر نفسها شركة إعلانات شرعية، لكن Citizen Lab قالت إنها تعمل كميسر للعديد من شركاء برامج التجسس المرتزقة. تعمل الشركة كوسيط بين الأطراف التي ترغب في عرض إعلاناتها وبين الناشرين أو منشئي التطبيقات الذين يسعون للحصول على عائد مقابل عرضها. وبهذه الصفة، قال Citizen Lab، إن Discover-Tech بمثابة "جسر بين بائعي الإعلانات والنظام البيئي لبرامج التجسس المرتزقة"، وهو الدور الذي يبدو أنه "الغرض الأساسي" لـ Discover-Tech.

تتضمن الوساطة عملية تقديم العطاءات حيث يقدم المعلنون رسومًا مقابل عرض إعلاناتهم على أجهزة الأشخاص في مجموعة سكانية معينة. يمكن للوسطاء جمع ملفات تعريف تفصيلية لملايين الأشخاص باستخدام معرفات الهواتف المحمولة الفريدة والمواقع وعناوين IP والمزيد. وقالت Citizen Lab إنها حصلت على أكثر من 4 مليارات سجل عطاءات تديرها Discover-Tech. وكشفوا أنه تم عرض إعلانات Discover-Tech على أكثر من 70 ألف تطبيق جوال وأكثر من 120 ألف موقع ويب بين مارس ويونيو 2026.

من بين الموردين الرئيسيين الذين يدرجون Discover-Tech كبائع "معتمد" أو "معتمد" هم Google ورابطة صناعة الإعلان IAB Europe. استخدمت الشركة الإسرائيلية أيضًا أطر الموافقة الخاصة باللائحة الأوروبية العامة لحماية البيانات (GDPR) لاستهداف المستخدمين في الاتحاد الأوروبي. قدمت Discover-Tech الإعلانات من خلال شبكات رئيسية مثل Google وYandex وBeeswax.

قامت Google وIAB Europe منذ ذلك الحين بإزالة Discover-Tech من قوائم موردي الإعلانات الخاصة بهم، كما قامت Google بقطع وصول Discover-Tech إلى منصات تبادل الإعلانات الخاصة بها. قام شمع العسل بإزالة Discover-Tech من منصة شراء الإعلانات الخاصة به. قامت منصة الإعلانات الشريكة لـ Vungle (Liftoff) بتعليق وصول Discover-Tech أثناء إجراء المراجعة، كما قامت Eskimi بحظر حسابات ومجالات Discover-Tech.

وقال تقرير الخميس إن إعلانات Discover-Tech ظهرت على الشبكات الحكومية والشبكات المتعلقة بالأمن القومي في جميع أنحاء العالم: حلف شمال الأطلسي، وشبكات الأمم المتحدة، والهيئات التشريعية الأوروبية، ومقدمي البنية التحتية الحيوية في أستراليا، والقوات المسلحة والوكالات الحكومية في النرويج والسويد.

وقال سيتيزن لاب: "إن إساءة استخدام Discover-Tech الجماعية وانتهاك الخصوصية وتسهيل هجمات برامج التجسس المرتزقة تظهر عيوبًا هيكلية في نظام الإعلان عبر الإنترنت الذي فشل في اكتشاف أو منع الانتهاكات الموثقة في هذا التقرير".

قال مختبر الأبحاث إن البرمجيات الخبيثة للمرتزقة التي تم تثبيتها عبر AdFection تم تطويرها وتوزيعها بواسطة Candiru (التي تحمل العلامة التجارية "Integrity Labs"). وبموجب الاتفاقية مع Discover-Tech، تلقت الأهداف ذات الملفات الشخصية المحددة التي تهم عملاء Candiru إعلانات تحتوي على JavaScript أو تعليمات برمجية أخرى متصلة بخوادم التحكم الخاصة بـ Candiru. ردًا على ذلك، قدمت تلك الخوادم استغلالًا أدى إلى عدم تحميل أي نقرات عند ظهور الإعلان على جهاز الشخص.

لا يصف هذا البحث الثغرات الأمنية التي يتم استغلالها في هجمات النقر الصفري أو البرامج الضارة النهائية. تم تثبيته فيها. على الأرجح، كانت تلك الأيام الصفرية التي تمت إزالتها بعد اكتشاف حملة Citizen Lab. ولم يرد Citizen Lab على الفور على الأسئلة.

لم يتم الرد على الرسائل المرسلة إلى Discover-Tech وCandiru.

دعا Citizen Lab المعلنين والمسؤولين الحكوميين إلى اتخاذ إجراءات ملموسة لمنع حملات مثل AdFection بشكل فعال. علاوة على ذلك، يمكن للمستخدمين تقليل مخاطرهم عن طريق تثبيت أدوات حظر الإعلانات، وإعادة تعيين معرف إعلانات الهاتف المحمول في إعدادات iOS وAndroid (من غير الواضح لماذا لم يوص الباحثون بإيقاف تشغيل الإعلانات المخصصة تمامًا)، وتثبيت برنامج حظر الإعلانات على شبكات المنزل أو المكتب. كما هو الحال دائمًا، يعد تثبيت التحديثات في الوقت المناسب أمرًا ضروريًا أيضًا.

دان جودين هو محرر أمني أول في Ars Technica، حيث يشرف على تغطية البرامج الضارة والتجسس على الكمبيوتر وشبكات الروبوت واختراق الأجهزة والتشفير وكلمات المرور. تستمتع في أوقات فراغها بالبستنة والطبخ ومتابعة المشهد الموسيقي المستقل. يقع مقر دون في سان فرانسيسكو. اتبعه هنا على Mastodon وهنا على Bluesky. اتصل به على الإشارة في DanArs.82.