«سيناريو الكابوس»: برنامج تجسس لا يتطلب أي نقرة يُصيب الهواتف عبر الإعلانات الموجَّهة

أصدر باحثو مختبر Citizen لأول مرة أدلة تقنية على توزيع برمجيات تجسس مأجورة معقدة عبر الإعلانات الإلكترونية.

أطلق الباحثون على الهجمات اسم "AdFection"، وقاموا بتوثيق حملة يبدو أن شركة إعلانية مسجلة في إسرائيل مرتبطة بخوادم مرتبطة بشركة برامج تجسس وأصابت عشرات الأجهزة ببرامجها الضارة الغازية. يعتقد Citizen Lab أن هذا هو أول دليل تقني مفصل تم توفيره للجمهور من خلال الإعلانات الرقمية لأجهزة إصابة برامج التجسس المتطورة.

تعتبر عمليات الاختراق بدون نقرة بمثابة الكأس المقدسة للمهاجمين وكارثة للضحايا، حيث يمكنهم تثبيت البرامج الضارة تلقائيًا على الأجهزة دون الحاجة إلى أي تفاعل أو خطأ من الهدف. عندما نفذ قراصنة متطورون هجمات نادرة بدون نقرة في السنوات الأخيرة، فقد استغلوا في كثير من الأحيان نقاط الضعف في تطبيقات المراسلة والاتصالات على الهاتف المحمول لإصابة الضحايا. لكن المهاجمين استغلوا أيضًا البنية التحتية الواسعة للنظام البيئي للإعلان عبر الإنترنت لتوزيع البرامج الضارة، وأحيانًا دون الحاجة إلى تفاعل الضحية. تظهر الأدلة من حملة برامج التجسس ZeroClick التي كشف عنها باحثو Citizen Labs دمج التهديدين وتؤكد نطاق التهديد ومدى إلحاحه.

وقال بيل ماركزاك، كبير الباحثين في Citizen Lab: "يسمح AdFection للمشغلين باختراق أشخاص معينين تلقائيًا باستخدام برامج تجسس مرتزقة عندما يستخدمون التطبيقات أو يتصفحون الإنترنت". "الشخص الذي يتم اختراقه بهذه الطريقة لن يرى أي شيء سيئ. في الواقع، قد لا يرى أي إعلانات على الإطلاق."

ويشير إلى أن الوضع مثير للقلق بشكل خاص لأنه لا يوجد الكثير مما يمكن للأشخاص فعله لحماية أنفسهم من الهجمات الإعلانية بدون نقرة بخلاف حظر الإعلانات تمامًا على جميع مواقع الويب والمنصات - وهي حقيقة يبدو أن وكالات الاستخبارات مثل وكالة الأمن القومي ووكالة المخابرات المركزية تدركها جيدًا.

يقول ولفي كريستل، كبير الباحثين في Citizen Lab: "إن خطر إصابة جهازك ببرامج التجسس بمجرد استخدام موقع ويب أو تطبيق يعرض الإعلانات هو سيناريو كابوس".

خلال عامي 2024 و2025، خلص سيتيزن لاب إلى أن 45 جهازًا تابعًا لشبكة الجزيرة الإخبارية قد تم استهدافها بهجمات النقر الصفري التي يتم عرض الإعلانات عليها. يقول الباحثون إن الإعلانات المستهدفة تم نشرها من قبل شركة التسويق Discover-Tech التي تأسست في إسرائيل ووزعت برامج تجسس منسوبة إلى المطور الإسرائيلي Candiru. وفقًا لتحليل Citizen Lab، كانت الأجهزة المصابة على اتصال بالنطاقات المرتبطة بـ Discover-Tech ثم بالبنية التحتية المرتبطة بـ Candiru. (الجزيرة، التي شاركت في هذا البحث وشاركت تقارير الجهاز مع باحثي مختبر سيتيزن لاب، لم تستجب لطلب التعليق).

يقول ماركزاك: "إن القدرة على تقديم محتوى مخصص ومخصص لمستخدمين محددين هي السمة المميزة للنظام البيئي الحديث للإعلان عبر الإنترنت، وهي مناسبة تمامًا لصناعة برامج التجسس المرتزقة". وإلى أن تتغير هذه البنية، أو إلى أن تصبح شركات الإعلان جادة بشأن آراء العملاء، سنستمر في رؤية هذا النوع من إساءة الاستخدام.

لم يتم الرد على رسائل البريد الإلكتروني والرسائل التي أرسلتها WIRED إلى Discover-Tech ومديرها التنفيذي قبل النشر. ولم تستجب شركة Integrity Partners، التي يُعتقد أنها تمتلك أصول Condiro بعد أن فرضت الحكومة الأمريكية عقوبات في عام 2021، لطلبات التعليق.

أنهت شركة Google، التي تدير واحدة من أكبر الشركات الإعلانية في العالم، تسجيل Discover-Tech بعد العمل مع Citizen Lab والباحثين في شركة الأمن السيبراني Confiant والتأكد من ارتباط برنامج التجسس. وقال متحدث باسم جوجل: "بعد تحقيق مشترك مع Citizen Lab وConfiant، قامت Google بحظر Discover-Tech من منصاتنا الإعلانية بسبب انتهاكات منهجية لسياساتنا". "لقد قمنا أيضًا بإعداد تنبيهات التصفح الآمن لحماية الأشخاص عندما يذهبون إلى مواقع الويب المرتبطة بهذه المجموعة."

أكد الفرع الأوروبي لمكتب الإعلانات التفاعلية (IAB)، وهو هيئة صناعة الإعلان، لمجلة WIRED أنه قام بتعليق Discover-Tech من قائمة البائعين العالمية الخاصة به، والمعروفة باسم GVL. وتقول الشركة إنه تم تعليقها بعد مراجعة سياساتها من قبل IAB Europe. يقول متحدث باسم IAB Europe: "إن المزيد من التأكيد على نتائج برامج التجسس يمكن أن يبرر أيضًا الطرد الصريح من GVL".

وقال متحدث باسم Beeswax، وهي شركة صناعة الإعلان عبر الإنترنت المملوكة لشركة Comcast، في بيان: "لقد قامت Beeswax بإزالة Discovery-Tech من منصتنا بعد النشاط الأخير والتحقق المستقل من قبل خبير أمني تابع لجهة خارجية. نحن نحافظ على سياسة عدم التسامح مطلقًا مع الإعلانات الضارة."

في كثير من الأحيان، عندما ترى إعلانات عبر الإنترنت أو في التطبيقات، يتم عرضها من خلال عملية معقدة تسمى عروض الأسعار في الوقت الفعلي - وهي في الأساس مزاد تلقائي حيث يقدم المعلنون عروض أسعار لعرض إعلانات محددة لك. يمكن أن تؤدي هذه العملية التي تستغرق ميلي ثانية إلى قيام المعلنين بجمع كميات هائلة من البيانات حول جهازك وموقعك وسجل التصفح، من بين أشياء أخرى. لقد كانت هذه العملية كابوسًا للخصوصية لسنوات، حيث يبيع وسطاء البيانات المشبوهون المعلومات الشخصية للأشخاص، وتقوم وكالات إنفاذ القانون والدول المعادية بشرائها لتتبع الأشخاص أو استهدافهم.

يقول الباحثون في Citizen Labs إن Discover-Tech تدير منصة إعلانية تسمى Controlium يمكنها السماح لمستخدميها بـ "إخفاء الهوية تلقائيًا وبصمات الأصابع وإصابة الأجهزة" بعد عرض الإعلان. بشكل عام، يقدر الباحثون أنه تم توجيه ملايين الأجهزة إلى خوادم Candiru، حيث يمكن تصنيفها. يقول باحثو Citizen Lab أنه من خلال تحليل سجلات عرض الإعلانات المتاحة للجمهور على موقع Discover-Tech، تم عرض الإعلانات المرتبطة بالشركة بعلامات نصية مسيئة على أكثر من 70 ألف تطبيق جوال وأكثر من 120 ألف موقع ويب بين مارس ويونيو من هذا العام. وفقًا للباحثين، تعرض العديد من التطبيقات أكثر من مليون إعلان متعلق بـ Discover-Tech.

لم يتم بالضرورة استخدام إعلانات الشركة كسلاح للتوزيع المحتمل لبرامج التجسس، لكن الباحثين يقولون إنهم شاهدوا بشكل عام إعلانات Discover-Tech على الشبكات الحكومية والشبكات المتعلقة بالأمن القومي حول العالم. وتشمل هذه الشبكات شبكات حلف شمال الأطلسي والأمم المتحدة، فضلاً عن الهيئات التنظيمية في أوروبا، ومقدمي البنية التحتية الحيوية في أستراليا، بالإضافة إلى القوات المسلحة والوكالات الحكومية في النرويج والسويد.

نادرًا ما ظهرت الحملات الإعلانية السابقة المستهدفة بدون نقرة والتي وزعت برامج تجسس علنًا، لكن باحثي Citizen Lab يقولون إن هذا على الأرجح علامة على الثقة الواسعة النطاق في البنية التحتية الإعلانية، المضمنة في جميع جوانب الحياة الرقمية دون إشراف محدد.

ويقول ماركزاك إن تقارير الجزيرة كانت أساسية في فهم الطبيعة الدعائية لهذا الهجوم. إذا تم استهداف الجهاز الشخصي للمستخدم، على سبيل المثال أثناء الاتصال بشبكة Wi-Fi المنزلية أو بيانات الهاتف المحمول، فلن تكون هناك طبقة من مراقبة الشبكة هناك. "لذلك أعتقد أن الافتقار إلى التقارير المسبقة ربما يكون في الغالب مشكلة في الرؤية: يجب أن يكون المدافعون في المكان المناسب في الوقت المناسب، وينظرون إلى البيانات الصحيحة."

يقول جيسون كينت، الرئيس التنفيذي لمنظمة تجارة الوسائط الرقمية Digital Content Next (التي تعد شركة Condé Nast الأم لـ WIRED عضوًا فيها)، إن هذه الأنواع من الهجمات مقبولة ومضرة على حد سواء، فيما يتعلق بالتهديدات التي يمكن أن تأتي من انتشار النظام البيئي للإعلان الرقمي.

يقول كينت: "على الرغم من أنها نادرة ومتطورة، إلا أنني لن أتفاجأ تمامًا بمعرفة المزيد عن هجمات النقر الصفري من خلال الإعلانات". "أي شيء يتعارض بشكل مباشر مع توقعات المستخدم أو يقوض الثقة في شبكة الإنترنت المفتوحة هو أمر مقلق للغاية."