تبلیغات هدفمند برای نصب بدافزار مزدور، سوء استفاده‌های 0 کلیکی را ارائه می‌کنند

این حادثه احتمالاً اولین تأییدیه جاسوس افزار مزدور است که توسط تبلیغات هدفمند ارائه شده است.

این حادثه احتمالاً اولین تأییدیه جاسوس افزار مزدور است که توسط تبلیغات هدفمند ارائه شده است.

محققان می گویند که هکرهای مزدور تبلیغات را با اکسپلویت های صفر کلیک می کنند که بدافزار پیچیده ای را روی دستگاه های افراد مورد نظر نصب می کنند، زمانی که آنها هیچ کاری جز بارگذاری یک وب سایت یا باز کردن یک برنامه نصب شده انجام نمی دهند.

این یافته که روز پنجشنبه توسط آزمایشگاه شهروندی دانشگاه تورنتو منتشر شد، گفت که این حادثه احتمالا اولین تاییدیه جاسوس افزار مزدور با کلیک صفر است که از طریق تبلیغات هدفمند ارائه می شود. حملاتی که بر روی دستگاه‌های iOS و Android کار می‌کردند، به‌ویژه خطرناک هستند، زیرا بدون نیاز به تعامل با هدف کار می‌کنند و نامرئی هستند، مگر اینکه کاربران سخت‌افزار یا نرم‌افزار پزشکی قانونی خاصی را اجرا کنند. Citizen Lab گفت تأیید کرده است که AdFection، همانطور که این کمپین را نامگذاری کرده است، 45 دستگاه را در سازمان رسانه ای بین المللی الجزیره در سال های 2024 و 2025 آلوده کرده است.

محققان سیتیزن لب نوشتند: «این تحقیق باید به عنوان یک سیگنال هشدار دهنده روشن برای سازمان های خبری در سراسر جهان باشد که ممکن است به طور فعال از طریق این تهدید جدید مورد هدف قرار گیرند. این هدف‌گیری ممکن است هم در اتاق‌های خبر و هم برای روزنامه‌نگاران، سردبیران و سایر کارکنان رخ دهد.» گزارش آنها ادامه داد: "توزیع نرم افزارهای جاسوسی از طریق تبلیغات هدفمند نشان دهنده یک خطر امنیتی نه تنها برای قربانیان احتمالی بلکه برای ایالت ها و جامعه مدنی به طور کلی است."

تبلیغات توسط Discover-Tech ارائه شده استشرکت اسرائیلی که خود را به عنوان یک شرکت تبلیغاتی قانونی معرفی می کند، اما Citizen Lab گفت که به عنوان تسهیل کننده چندین شریک نرم افزارهای جاسوسی مزدور عمل می کند. این شرکت به‌عنوان یک واسطه بین طرف‌هایی که می‌خواهند تبلیغات خود را نمایش دهند و ناشران یا سازندگان برنامه‌ای که در ازای نمایش آنها به دنبال درآمد هستند، عمل می‌کند. Citizen Lab گفت، در این ظرفیت، Discover-Tech به عنوان «پلی بین فروشندگان تبلیغات و اکوسیستم نرم افزارهای جاسوسی مزدور» عمل می کند، نقشی که به نظر می رسد «هدف اصلی Discover-Tech» باشد.

کارگزاری شامل یک فرآیند مناقصه است که در آن تبلیغ‌کنندگان در ازای نمایش آگهی‌هایشان در دستگاه‌های افراد با جمعیت‌شناسی خاص، هزینه‌ای را ارائه می‌کنند. کارگزاران با استفاده از شناسه تلفن همراه منحصر به فرد، موقعیت مکانی، آدرس IP و سایر موارد، می توانند پروفایل های دقیق میلیون ها نفر را جمع آوری کنند. Citizen Lab گفت که بیش از 4 میلیارد سوابق مناقصه را که توسط Discover-Tech مدیریت شده بود به دست آورده است. آنها فاش کردند که تبلیغات Discover-Tech در بیش از 70000 اپلیکیشن موبایل و بیش از 120000 وب سایت بین مارس تا ژوئن 2026 نمایش داده شده است.

در میان فروشندگان عمده ای که Discover-Tech را به عنوان فروشنده "تأیید شده" یا "تأیید شده" فهرست کرده اند، گوگل و انجمن صنعت تبلیغات IAB اروپا هستند. این شرکت اسرائیلی همچنین از چارچوب های رضایت مندی مقررات حفاظت از داده های عمومی اروپا (GDPR) برای هدف قرار دادن کاربران در اتحادیه اروپا استفاده کرد. Discover-Tech تبلیغات را از طریق شبکه های اصلی مانند Google، Yandex و Beeswax ارائه کرده است.

گوگل و IAB Europe از آن زمان Discover-Tech را از آن حذف کردندرجیستری فروشنده تبلیغات آنها، و گوگل بیشتر دسترسی Discover-Tech به پلتفرم های تبادل تبلیغات خود را قطع کرد. Beeswax Discover-Tech را از پلتفرم خرید تبلیغات خود حذف کرد. پلتفرم تبلیغاتی همکار Vungle (Liftoff) دسترسی Discover-Tech را در حین انجام بازبینی متوقف کرد و Eskimi حساب‌ها و دامنه‌های Discover-Tech را مسدود کرد.

در گزارش روز پنجشنبه آمده است که تبلیغات Discover-Tech در شبکه‌های دولتی و مرتبط با امنیت ملی در سراسر جهان ظاهر شده است: ناتو، شبکه‌های سازمان ملل، نهادهای قانون‌گذار اروپایی، ارائه‌دهندگان زیرساخت‌های حیاتی در استرالیا، و نیروهای مسلح و سازمان‌های دولتی در نروژ و سوئد.

Citizen Lab گفت: «سوءاستفاده انبوه Discover-Tech، تهاجم به حریم خصوصی و تسهیل حملات جاسوس‌افزار مزدور، نقص‌های ساختاری سیستم تبلیغات آنلاین را نشان می‌دهد که نتوانسته سوء استفاده مستند شده در این گزارش را شناسایی یا جلوگیری کند.»

آزمایشگاه تحقیقاتی گفت که بدافزار مزدور نصب شده از طریق AdFection توسط Candiru (با نام تجاری "Integrity Labs") توسعه یافته و توزیع شده است. بر اساس توافق با Discover-Tech، اهدافی با پروفایل های خاص مورد علاقه مشتریان Candiru تبلیغاتی دریافت کردند که حاوی جاوا اسکریپت یا کد دیگری بود که به سرورهای کنترلی Candiru متصل می شد. در پاسخ، آن سرورها سوءاستفاده‌ای را ارائه کردند که وقتی تبلیغ در دستگاه فرد ظاهر می‌شد، بار صفر کلیک را ارائه می‌کرد.

این تحقیق آسیب پذیری های مورد سوء استفاده در حملات صفر کلیک یا بدافزار نهایی را توصیف نمی کند.در آنها نصب شده است. به احتمال زیاد آنها روزهای صفر بوده اند که پس از کشف کمپین Citizen Lab برطرف شده است. Citizen Lab فوراً به سؤالات پاسخ نداد.

پیام های ارسال شده به Discover-Tech و Candiru بی پاسخ ماندند.

Citizen Lab از تبلیغ‌کنندگان و مقامات دولتی خواست تا برای جلوگیری فعالانه از کمپین‌هایی مانند AdFection، اقدامی ملموس انجام دهند. فراتر از آن، کاربران می‌توانند با نصب مسدودکننده‌های تبلیغات، بازنشانی شناسه تبلیغات تلفن همراه در تنظیمات iOS و Android (معلوم نیست که چرا محققان توصیه نکردند که تبلیغات شخصی‌شده را به‌کلی خاموش کنند)، و نصب نرم‌افزار مسدودکننده تبلیغات در شبکه‌های خانگی یا اداری، خطر ابتلا را کاهش دهند. مثل همیشه، نصب به‌موقع به‌روزرسانی‌ها نیز ضروری است.

دن گودین ویرایشگر ارشد امنیتی در Ars Technica است که در آنجا بر پوشش بدافزارها، جاسوسی رایانه‌ای، بات‌نت‌ها، هک سخت‌افزار، رمزگذاری و رمزهای عبور نظارت می‌کند. او در اوقات فراغت خود از باغبانی، آشپزی و دنبال کردن صحنه موسیقی مستقل لذت می برد. دان در سانفرانسیسکو مستقر است. او را در اینجا در Mastodon و اینجا در Bluesky دنبال کنید. با او در سیگنال در DanArs.82 تماس بگیرید.