کلیک هم لازم نیست؛ جاسوس‌افزار جدید از تبلیغات آنلاین برای نفوذ هدفمند استفاده می‌کند

برای آلوده شدن به جاسوس‌افزار، همیشه لازم نیست روی لینکی مشکوک کلیک کنید یا برنامه‌ای ناشناس نصب کنید. گاهی نمایش یک تبلیغ اینترنتی هم می‌تواند شروع حمله باشد. پژوهشگران امنیتی دانشگاه تورنتو به شواهدی رسیده‌اند که نشان می‌دهد یک شرکت تبلیغاتی از زیرساخت نمایش آگهی برای شناسایی افراد مشخص و آلوده کردن دستگاه‌هایشان به جاسوس‌افزار استفاده کرده است.

بر اساس گزارش فایننشال تایمز، پژوهشگران مرکز Citizen Lab دانشگاه تورنتو با همکاری شرکت امنیت تبلیغات Confiant، به روش جاسوسی عجیبی با منبعی از یک شرکت اسرائیلی رسیده و نام AdFection را برای آن برگزیده‌اند. آن‌ها با اطمینان بالایی، ارتباط این روش با آلوده شدن دست‌کم ۴۵ دستگاه ویندوزی در شبکه خبری الجزیره طی سال‌های ۲۰۲۴ و ۲۰۲۵ را نیز تأیید و اعلام کرده‌اند که ردهای فنی حمله به جاسوس‌افزار Candiru و شرکت تبلیغاتی اسرائیلی Discover-Tech می‌رسند.

یک تبلیغ معمولی چطور به ابزار جاسوسی تبدیل می‌شود؟

برای درک ماجرا باید بدانیم تبلیغی که در یک سایت یا اپلیکیشن می‌بینیم، معمولاً به صورت مستقیم از طرف همان سایت انتخاب نمی‌شود. شبکه‌های تبلیغاتی در کسری از ثانیه درباره نمایش آگهی تصمیم می‌گیرند و ممکن است اطلاعاتی مانند نشانی IP و شناسه تبلیغاتی دستگاه را برای انتخاب مخاطب پردازش کنند.

بنابر گزارش سیتیزن لب، شرکت Discover-Tech برای رسیدن به هدف خود از پلتفرمی به نام Controlium استفاده می‌کرده که به مشتریانش اجازه می‌داد کاربران را بر اساس اطلاعاتی مانند IP و شناسه تبلیغاتی دستگاه هدف بگیرند.

سازوکار حمله این‌طور بوده که پس از نمایش آگهی، کدی درون آن با سرور Discover-Tech ارتباط برقرار می‌کرد و اطلاعاتی درباره دستگاه می‌فرستاد. سرور بررسی می‌کرد که آیا کاربر در فهرست اهداف قرار دارد یا نه و اگر هدف مناسبی نبود، کد مخربی برای ادامه حمله ارسال نمی‌شد. اما اگر دستگاه انتخاب شده بود، سرور می‌توانست کد جاوااسکریپت مخرب را به مرورگر یا محیط اجرای تبلیغ بفرستد تا از آسیب‌پذیری‌های موجود برای نفوذ استفاده شود.

به همین دلیل، لازم نبوده کاربر روی تبلیغ کلیک کند. تبلیغ می‌توانسته ظاهری کاملاً عادی داشته باشد و حتی در پس‌زمینه بارگذاری شود. البته این به معنای آلوده شدن هر دستگاهی نیست که آگهی را نمایش می‌دهد. در این روش، نمایش تبلیغ مرحله شناسایی و انتخاب هدف است و آلودگی به شرایط فنی دستگاه و موفقیت زنجیره نفوذ بستگی دارد.

محققان چطور متوجه حمله شدند؟

بنابر گزارش مذکور، ظاهراً سرنخ اصلی شناسایی این جاسوس‌افزار، گزارش‌های ارتباطات شبکه‌ای بوده که الجزیره در اختیار پژوهشگران قرار داد. تیم Citizen Lab با بررسی زمان و مقصد ارتباطات دستگاه‌های آسیب‌دیده، الگویی پیدا کرده که در آن ابتدا ارتباط با دامنه‌های متعلق به زیرساخت Discover-Tech ثبت شده بود و سپس دستگاه با سرورهای مرتبط با Candiru تماس می‌گرفت.

در ادامه پژوهشگران این شواهد را با بررسی زیرساخت‌های اینترنتی و رفتار جاسوس‌افزار تطبیق دادند تا ارتباط میان تبلیغات و آلودگی دستگاه‌ها مشخص شود.

جالب است بدانید که تحقیقات به همین ۴۵ در رسانه الجزیره دستگاه محدود نمانده است. گزارش فوق مطرح می‌کند که پژوهشگران کانادایی نزدیک به چهار میلیارد رکورد مزایده تبلیغاتی Discover-Tech را بررسی کرده و دریافتند که تبلیغات مرتبط با این شرکت بین مارس تا ژوئن ۲۰۲۶ در بیش از ۱۲۰ هزار وب‌سایت و ۷۰ هزار اپلیکیشن موبایل نمایش داده شده‌اند.

البته همانطور که می‌دانید این آمار گستردگی شبکه تبلیغاتی را نشان می‌دهد، نه اینکه تمام این سایت‌ها یا دستگاه‌ها آلوده شده باشند. در بسیاری از موارد، شواهد صرفاً از نمایش تبلیغ یا جمع‌آوری اطلاعات برای شناسایی کاربران حکایت دارند.

بیشترین اهداف این جاسوس‌افزار در چه کشورهایی بوده؟

بر اساس گزارش سیتیزن‌لب، تبلیغات شرکت Discover-Tech در مناطق مختلف جهان، از جمله سرزمین‌های فلسطینی، شبکه‌های مرتبط با نهادهای دولتی و دفاعی در آمریکا و چند کشور اروپایی نمایش داده شده‌اند.

پژوهشگران به حجم بالای نمایش تبلیغات در سرزمین‌های فلسطینی و نشانه‌هایی از هدف‌گیری کاربران مرتبط با نهادهای حساس در کشورهایی مانند نروژ، سوئد و دانمارک اشاره می‌کنند. با این حال، داده‌های منتشرشده مشخص نمی‌کنند چه تعداد دستگاه در هر کشور آلوده شده‌اند و نمایش تبلیغات یا هدف‌گیری کاربران را نمی‌توان به‌تنهایی نشانه آلودگی قطعی به جاسوس‌افزار دانست.

اقدامات گوگل و شرکت‌های تبلیغاتی علیه این بدافزار عجیب

پس از افشای یافته‌ها، گوگل دسترسی Discover-Tech به سامانه‌های تبلیغاتی خود را قطع و اعلام کرد که برای دامنه‌های شناخته‌شده مرتبط با این عامل، هشدارهای امنیتی Safe Browsing را نیز فعال کرده است. در ادامه نیز انجمن اروپایی صنعت تبلیغات (IAB Europe)، این شرکت را از فهرست فروشندگان خود حذف کرد. شرکت‌های دیگری از جمله Beeswax و Eskimi نیز دسترسی Discover-Tech را مسدود و Liftoff نیز دسترسی آن را تا زمان بررسی بیشتر متوقف کره است.

این اقدامات مسیر فعالیت شرکت در شبکه‌های یادشده را محدود می‌کند، اما آسیب‌پذیری بنیادی‌تر همچنان جای تأمل و بررسی فراوانی دارد: سامانه تبلیغات آنلاین به تعداد زیادی واسطه اجازه می‌دهد آگهی‌ها و کدهای همراهشان را به دستگاه کاربران برسانند. اگر یکی از این واسطه‌ها برای جاسوسی یا نفوذ مورد سوءاستفاده قرار گیرد، تشخیص آن برای کاربر دشوار خواهد بود؛ به‌خصوص وقتی آگهی ظاهری عادی دارد و هیچ نشانه‌ای از حمله روی صفحه دیده نمی‌شود.

کاربران برای محافظت از خود چه کاری می‌توانند انجام دهند؟

نخست باید میان حمله هدفمند و آلودگی عمومی تفاوت گذاشت. پرونده الجزیره نشان می‌دهد تعداد مشخصی دستگاه ویندوزی در حملاتی هدفمند آلوده شده‌اند، اما به معنای آلوده شدن همه کاربران سایت‌ها و اپلیکیشن‌هایی نیست که تبلیغات Discover-Tech را نمایش داده‌اند. همچنین اگرچه تبلیغات این شرکت در اپلیکیشن‌های موبایل هم دیده شده‌اند، شواهد مشخص این پرونده درباره آلودگی دستگاه‌های ویندوزی الجزیره است.

برای کاربران عادی، به‌روز نگه داشتن سیستم‌عامل، مرورگر و برنامه‌ها همچنان یکی از مهم‌ترین راه‌های کاهش خطر است؛ زیرا نصب به‌روزرسانی‌های امنیتی می‌تواند آسیب‌پذیری‌هایی را که برای نفوذ استفاده می‌شوند، برطرف کند. استفاده از مسدودکننده‌های تبلیغات هم ممکن است سطح مواجهه با تبلیغات مخرب را کاهش دهد، اما تضمینی در برابر حملات هدفمند نیست. اگر فردی به‌طور خاص هدف جاسوس‌افزار قرار گرفته باشد، بررسی تخصصی دستگاه و توجه به هشدارهای امنیتی معتبر اهمیت بیشتری پیدا می‌کند.

اهمیت پرونده AdFection فقط در شیوه تازه توزیع جاسوس‌افزار نیست. این تحقیقات نشان می‌دهد زیرساختی که برای نمایش آگهی و پیدا کردن مشتری ساخته شده، می‌تواند برای شناسایی افراد و رساندن کد مخرب به دستگاهشان هم به کار گرفته شود. در چنین حمله‌ای، کلیک نکردن روی لینک‌های مشکوک کافی نیست؛ امنیت زنجیره‌ای که تبلیغ را از شبکه تبلیغاتی به دستگاه می‌رساند نیز اهمیت دارد.