«سناریوی کابوس»: جاسوس‌افزار صفر کلیکی تلفن‌ها را از طریق تبلیغات هدفمند آلوده می‌کند

محققان در آزمایشگاه Citizen برای اولین بار شواهد فنی مبنی بر توزیع نرم افزارهای جاسوسی مزدور پیچیده از طریق تبلیغات آنلاین منتشر کردند.

محققان با لقب «AdFection» به این حملات، کمپینی را مستند کردند که در آن یک شرکت تبلیغاتی ثبت شده در اسرائیل ظاهراً به سرورهای مرتبط با یک شرکت جاسوس‌افزار متصل شده و ده‌ها دستگاه را با بدافزار تهاجمی خود آلوده کرده است. Citizen Lab بر این باور است که این اولین شواهد فنی دقیقی است که از طریق تبلیغات دیجیتالی دستگاه های آلوده کننده نرم افزارهای جاسوسی پیچیده در دسترس عموم قرار گرفته است.

هک‌های صفر کلیک یک جام مقدس برای مهاجمان و فاجعه‌بار برای قربانیان هستند، زیرا می‌توانند به طور خودکار بدافزار را روی دستگاه‌ها نصب کنند، بدون اینکه نیازی به تعامل یا اشتباه از هدف داشته باشند. زمانی که هکرهای پیشرفته در سال‌های اخیر حملات نادری را با کلیک صفر انجام داده‌اند، اغلب از آسیب‌پذیری‌های موجود در برنامه‌های پیام‌رسانی و ارتباطی موبایل برای آلوده کردن قربانیان سوءاستفاده کرده‌اند. اما مهاجمان همچنین از زیرساخت گسترده اکوسیستم تبلیغات آنلاین برای توزیع بدافزار سوء استفاده کرده‌اند، که گاهی اوقات بدون نیاز به تعامل با قربانیان است. شواهدی از کمپین نرم‌افزار جاسوسی صفر کلیک که محققان آزمایشگاه Citizen کشف کردند، ادغام دو تهدید را نشان می‌دهد و بر گستردگی و فوریت خطر تأکید می‌کند.

Bill Marczak، محقق ارشد در Citizen Lab می گوید: «AdFection به اپراتورها اجازه می دهد تا به طور خودکار افراد خاصی را با استفاده از نرم افزارهای جاسوسی مزدور هنگام استفاده از برنامه ها یا مرور اینترنت هک کنند. "کسی که به این شکل هک می شود، هیچ چیز بدی نمی بیند. در واقع، حتی ممکن است اصلاً هیچ تبلیغی را نبینند."

او خاطرنشان می کند که وضعیت بسیار نگران کننده است، زیرا چیز زیادی وجود نداردمردم می توانند برای محافظت از خود در برابر حملات تبلیغاتی با کلیک صفر به غیر از مسدود کردن کامل تبلیغات در تمام وب سایت ها و پلتفرم ها انجام دهند - واقعیتی که به نظر می رسد سازمان های اطلاعاتی مانند NSA و CIA به خوبی از آن مطلع هستند.

Wolfie Christl، محقق ارشد Citizen Lab می گوید: «خطر آلوده شدن دستگاه شما به نرم افزارهای جاسوسی صرفاً با استفاده از یک وب سایت یا برنامه ای که تبلیغات را نمایش می دهد، یک سناریوی کابوس است.

طی سال‌های 2024 و 2025، Citizen Lab به این نتیجه رسید که 45 دستگاه متعلق به شبکه خبری الجزیره با حملات صفر کلیکی که توسط تبلیغات ارائه می‌شد هدف قرار گرفتند. محققان می گویند که تبلیغات هدفمند توسط شرکت بازاریابی Discover-Tech تأسیس شده توسط اسرائیل منتشر شده و نرم افزارهای جاسوسی منتسب به توسعه دهنده اسرائیلی Candiru را توزیع کرده است. بر اساس تحلیل Citizen Lab، دستگاه‌های آلوده با دامنه‌های مرتبط با Discover-Tech و سپس به زیرساخت مرتبط با Candiru در تماس بودند. (الجزیره که در این تحقیق شرکت کرد و گزارش های دستگاه را با محققان آزمایشگاه شهروند به اشتراک گذاشت، به درخواست اظهار نظر پاسخ نداد.)

مارکزاک می‌گوید: «توانایی ارائه محتوای شخصی‌شده و دلخواه به کاربران خاص، ویژگی بارز اکوسیستم تبلیغات آنلاین مدرن است و کاملاً برای صنعت جاسوس‌افزار مزدور مناسب است». تا زمانی که این معماری تغییر کند، یا شرکت‌های تبلیغاتی در مورد بررسی مشتری جدی نشوند، ما همچنان شاهد این نوع سوءاستفاده خواهیم بود.

ایمیل‌ها و پیام‌هایی که توسط WIRED برای Discover-Tech و مدیر عامل آن ارسال شده بود، قبلاً پاسخی دریافت نکرده بودندانتشار. شرکت Integrity Partners که گمان می‌رود دارایی‌های کاندیرو را در اختیار داشته باشد، پس از تحریم‌های دولت آمریکا در سال 2021، نیز به درخواست‌ها برای اظهار نظر پاسخ نداد.

گوگل که یکی از بزرگترین کسب و کارهای تبلیغاتی جهان را اداره می کند، پس از همکاری با Citizen Lab و محققان شرکت امنیت سایبری Confiant و تایید پیوند نرم افزارهای جاسوسی، ثبت Discover-Tech را خاتمه داد. یکی از سخنگویان گوگل می گوید: «به دنبال تحقیقات مشترک با Citizen Lab و Confiant، Google Discover-Tech را از پلتفرم های تبلیغاتی ما به دلیل نقض سیستماتیک خط مشی های ما مسدود کرد. ما همچنین هشدارهای مرور ایمن را برای محافظت از افراد در صورت رفتن به وب‌سایت‌های مرتبط با این گروه تنظیم کردیم.»

شعبه اروپایی دفتر تبلیغات تعاملی (IAB)، یک نهاد صنعت تبلیغات، به WIRED تأیید کرد که Discover-Tech را از فهرست فروشندگان جهانی خود، معروف به GVL، به حالت تعلیق درآورده است. این شرکت می‌گوید پس از ممیزی سیاست‌هایش توسط IAB اروپا تعلیق شد. سخنگوی IAB اروپا می‌گوید: «تأیید بیشتر یافته‌های مربوط به جاسوس‌افزار همچنین می‌تواند اخراج قطعی از GVL را توجیه کند.»

سخنگوی Beeswax، یک شرکت صنعت تبلیغات آنلاین متعلق به Comcast، در بیانیه‌ای می‌گوید: "Beeswax Discovery-Tech را به دنبال فعالیت‌های اخیر و تایید مستقل توسط یک متخصص امنیتی شخص ثالث از پلتفرم ما حذف کرد. ما یک سیاست تحمل صفر را برای تبلیغات مخرب حفظ می‌کنیم."

اغلب وقتی تبلیغات آنلاین یا در برنامه‌ها را می‌بینید، می‌شوندبه دنبال یک فرآیند پیچیده به نام مناقصه در زمان واقعی نمایش داده می شود - اساساً یک حراج خودکار که در آن تبلیغ کنندگان برای نشان دادن تبلیغات خاص به شما پیشنهاد می دهند. این فرآیند میلی‌ثانیه‌ای می‌تواند منجر به جمع‌آوری حجم عظیمی از داده‌های مربوط به دستگاه، موقعیت مکانی و تاریخچه مرور شما توسط تبلیغ‌کنندگان شود، به‌علاوه خیلی چیزهای دیگر. این روند برای سال‌ها یک کابوس حفظ حریم خصوصی بوده است، زیرا دلالان داده مبهم اطلاعات شخصی افراد را می‌فروشند و سازمان‌های مجری قانون و کشورهای متخاصم آن را برای ردیابی یا هدف قرار دادن افراد خریداری می‌کنند.

محققان آزمایشگاه Citizen می گویند که Discover-Tech یک پلتفرم تبلیغاتی به نام Controlium را راه اندازی می کند که می تواند به کاربران خود اجازه دهد پس از نمایش یک تبلیغ، «ناشناس کردن، اثرانگشت و آلوده کردن خودکار دستگاه ها را انجام دهند». به طور کلی، محققان تخمین می زنند که میلیون ها دستگاه به سرورهای Candiru هدایت شده اند، جایی که می توان آنها را پروفایل کرد. محققان آزمایشگاه شهروندی می گویند با تجزیه و تحلیل سوابق پیشنهاد آگهی که به صورت عمومی در وب سایت Discover-Tech در معرض دید عموم قرار گرفته است، تبلیغات مرتبط با این شرکت با برچسب های اسکریپت مهاجم در بیش از 70000 برنامه تلفن همراه و بیش از 120000 وب سایت بین ماه مارس و ژوئن امسال نشان داده شده است. به گفته محققان، چندین اپلیکیشن بیش از یک میلیون آگهی مرتبط با Discover-Tech را نمایش می‌دهند.

تبلیغات این شرکت لزوماً برای توزیع بالقوه نرم افزارهای جاسوسی تسلیحاتی نبودند، اما محققان می گویند که به طور کلی، تبلیغات Discover-Tech را در شبکه های دولتی و مرتبط با امنیت ملی در سراسر جهان مشاهده کرده اند. اینها شامل ناتو وشبکه های سازمان ملل و همچنین نهادهای قانون گذار در اروپا، ارائه دهندگان زیرساخت های حیاتی در استرالیا، به علاوه نیروهای مسلح و سازمان های دولتی در نروژ و سوئد.

کمپین‌های تبلیغاتی هدفمند با کلیک صفر قبلی که نرم‌افزارهای جاسوسی را توزیع می‌کردند، به ندرت به صورت عمومی ظاهر می‌شدند، اما محققان آزمایشگاه شهروند می‌گویند این احتمالاً نشانه‌ای از اعتماد گسترده زیرساخت‌های تبلیغاتی است و در همه جنبه‌های زندگی دیجیتالی بدون نظارت خاص گنجانده شده است.

مارکزاک می‌گوید: گزارش‌های شبکه الجزیره در درک ماهیت مبتنی بر تبلیغات آن حمله کلیدی بود. اگر دستگاه شخصی کاربر هدف قرار گرفته باشد، مثلاً در حالی که به وای فای خانگی یا داده تلفن همراه خود متصل است، سطح نظارت شبکه در آنجا وجود نخواهد داشت. بنابراین فکر می‌کنم فقدان گزارش قبلی احتمالاً عمدتاً یک مشکل قابل مشاهده است: مدافعان باید در مکان مناسب در زمان مناسب باشند و به داده‌های مناسب نگاه کنند.»

جیسون کینت، مدیر عامل سازمان تجارت رسانه دیجیتال Digital Content Next (شرکت مادر WIRED Condé Nast عضو آن است)، در مورد تهدیداتی که می‌تواند ناشی از فراگیر بودن اکوسیستم تبلیغات دیجیتال باشد، می‌گوید این نوع حملات هم قابل قبول و هم آسیب‌رسان هستند.

کینت می‌گوید: «اگرچه نادر و پیچیده است، اما اگر در مورد حملات صفر کلیک از طریق تبلیغات بیاموزم، کاملاً تعجب نمی‌کنم. «هر چیزی که مستقیماً برخلاف انتظارات کاربران باشد یا اعتماد به وب باز را کاهش دهد، عمیقاً نگران‌کننده است».