كشف تقرير جديد صادر عن Citizen Lab عن تفاصيل مثيرة للقلق حول هجمات «صفر نقرة» (zero-click) استخدمت إعلانات موجهة لتسليم برمجيات التجسس Candiru إلى أجهزة متعددة في شبكة الجزيرة الإعلامية. هذه الهجمات، التي حدثت بين عامي 2024 و2025، لم تتطلب أي تفاعل من الضحية سوى عرض الإعلانات الخبيثة على أجهزتهم.
آلية عمل AdFection ودور Discovere-Tech
أشار باحثو Citizen Lab إلى هذه التقنية الجديدة باسم AdFection، مؤكدين أنها أول تأكيد فني علني لنشر برمجيات التجسس المرتزقة عبر الإعلانات الموجهة. تعتمد AdFection على شركة إسرائيلية تُدعى Discovere-Tech، التي وُصفت بأنها «جسر بين شركات برمجيات التجسس المرتزقة والمنظومة الإعلانية».
سمحت Discovere-Tech لعملائها باستخدام منصتها Controlium لاستهداف أجهزة معينة برمز خبيث، أو لجمع معلومات تعريفية وبصمات الأصابع عن أجهزة المستخدمين. اشترت الشركة مساحات إعلانية عبر شبكات إعلانية رئيسية، ثم قامت بتضمين JavaScript في الإعلانات. عندما تُعرض هذه الإعلانات، يتصل الرمز بـ«خادم NOAS» الخاص بالشركة، والذي يحدد ما إذا كان الهدف مؤهلاً لتلقي رمز JavaScript إضافي بناءً على معايير مثل عنوان IP ومعرفات الإعلان.
تلقى الأهداف المختارة رمزًا إضافيًا، بينما لم تتلق الأجهزة الأخرى التي عرضت الإعلان شيئًا، مما ساعد في إخفاء الهجمات. وقد استعاد الباحثون ملف DLL من نظام Windows مخترق ونسبوه بثقة عالية إلى Candiru، بناءً على تداخلات البنية التحتية والتعليمات البرمجية مع عينات سابقة.
نطاق الهجمات وتداعياتها
على الرغم من أن شبكة الجزيرة كانت هدفًا مؤكدًا، فقد كشفت تحقيقات Citizen Lab أن عملية الإعلانات وضعت 3.77 مليار عرض وفازت بـ 442 مليون مزاد بين مارس ويونيو 2026. ظهرت الإعلانات التي تحمل علامات نصية للمهاجمين عبر 75,373 تطبيقًا لنظامي Android و iOS، و 120,768 موقعًا إلكترونيًا. يُقدر Citizen Lab أن مئات الآلاف إلى ملايين المستخدمين تم توجيههم إلى هذه النطاقات عبر إعلانات Discovere-Tech.
تجدر الإشارة إلى أن Candiru هي شركة إسرائيلية لبرامج التجسس تبيع أدوات مراقبة للحكومات رسميًا، وقد طورت برمجية خبيثة لنظام Windows تُعرف باسم DevilsTongue، القادرة على سرقة الملفات وبيانات الاعتماد والرسائل. وقد استُخدمت أدواتها سابقًا ضد صحفيين ونشطاء وسياسيين عبر ثغرات «صفر يوم» في Windows و Chrome.
بعد تلقي تقارير Citizen Lab، اتخذت شركات إعلانية كبرى مثل Google و IAB Europe و Beeswax و Eskimi و Vungle إجراءات لإزالة الحسابات المخالفة وحظر الوصول إلى النطاقات المرتبطة بالهجمات.
ماذا يعني هذا للمطورين والمصممين؟
برأينا، تُظهر هذه الهجمات تطورًا خطيرًا في أساليب نشر برامج التجسس، حيث تستغل المنظومة الإعلانية الشرعية لاستهداف الضحايا. بالنسبة للمطورين، يجب أن يكون هناك وعي متزايد بالمخاطر الأمنية المرتبطة بإعلانات الطرف الثالث والتحقق من مصادرها. كما ينبغي التركيز على تعزيز أمان التطبيقات والمواقع ضد هجمات «صفر نقرة» وتوفير حماية إضافية للبيانات الحساسة.
أما المصممون، فعليهم فهم كيفية عمل الإعلانات وكيف يمكن استغلالها لشن هجمات. يجب تصميم واجهات المستخدم مع وضع الأمن والخصوصية في الاعتبار، وتقليل فرص تحميل المحتوى المشبوه بشكل تلقائي. الحماية من هذه التهديدات تتطلب نهجًا شاملاً يجمع بين الأمان التقني والوعي بالمخاطر المتزايدة في الفضاء الرقمي.
المصدر: bleepingcomputer.com