پژوهشگران امنیتی گزارش داده‌اند که هکرهای مزدور با استفاده از اکسپلویت‌های Zero-Click در تبلیغات آنلاین، بدافزارهای پیچیده‌ای را روی دستگاه‌های افراد هدف نصب کرده‌اند. در این حملات، کاربر تنها با بارگذاری یک وب‌سایت یا باز کردن یک اپلیکیشن نصب‌شده، بدون نیاز به هیچ‌گونه تعاملی، مورد حمله قرار می‌گیرد.
جزئیات عملیات AdFection
طبق یافته‌های منتشر شده توسط Citizen Lab از دانشگاه تورنتو، این حادثه احتمالاً اولین تاییدیه از توزیع جاسوس‌افزارهای مزدور از طریق تبلیغات هدفمند است. این حملات که روی هر دو سیستم‌عامل iOS و Android اثرگذار بوده‌اند، به دلیل عدم نیاز به تعامل کاربر و نامرئی بودن (مگر با استفاده از ابزارهای تخصصی Forensic)، بسیار خطرناک هستند. این کمپین که AdFection نامیده شده، در سال‌های ۲۰۲۴ و ۲۰۲۵ منجر به سرایت بدافزار به ۴۵ دستگاه در سازمان رسانه‌ای الجزیره شده است.
نقش واسطه‌ها در اکوسیستم جاسوس‌افزارها
بر اساس این گزارش، تبلیغات مذکور توسط شرکتی به نام Discover-Tech (یک شرکت متعلق به رژیم صیهونیستی) ارائه شده است. در حالی که این شرکت خود را یک آژانس تبلیغاتی قانونی معرفی می‌کند، در واقع به عنوان تسهیل‌گری برای شرکای جاسوس‌افزاری مزدور عمل می‌کند و پلی میان فروشندگان تبلیغات و اکوسیستم بدافزارهای تجاری ایجاد کرده است.
این فرآیند از طریق یک سیستم مزایده (Bidding) انجام می‌شود که در آن با استفاده از شناسه منحصربه‌فرد موبایل (Mobile ID)، موقعیت مکانی، آدرس IP و سایر داده‌های کاربران، پروفایل‌های دقیقی از میلیون‌ها نفر ساخته می‌شود. بررسی‌ها نشان می‌دهد که تبلیغات Discover-Tech بین مارس تا ژوئن ۲۰۲۶ در بیش از ۷۰,۰۰۰ اپلیکیشن موبایل و ۱۲۰,۰۰۰ وب‌سایت نمایش داده شده است.
سوءاستفاده از شبکه‌های تبلیغاتی معتبر
نکته قابل توجه این است که غول‌هایی مانند Google و انجمن IAB Europe، شرکت Discover-Tech را به عنوان یک فروشنده «تایید شده» (Verified) لیست کرده بودند. این شرکت حتی از چارچوب‌های رضایت GDPR در اتحادیه اروپا برای هدف قرار دادن کاربران استفاده کرده و از شبکه‌هایی نظیر Google، Yandex و Beeswax برای نمایش تبلیغات خود بهره برده است. در پی این افشاگری، گوگل و سایر پلتفرم‌ها دسترسی این شرکت را مسدود کرده‌اند.
دامنه اثرگذاری و عامل تهدید
گزارش‌ها حاکی از آن است که اثرات تبلیغاتی Discover-Tech در شبکه‌های دولتی و امنیتی سراسر جهان، از جمله NATO، سازمان ملل، نهادهای قانون‌گذاری اروپا و زیرساخت‌های حیاتی در استرالیا، نروژ و سوئد مشاهده شده است.
بدافزار مورد استفاده در این عملیات توسط شرکت Candiru (که اکنون به Integrity Labs تغییر نام داده است) توسعه یافته است. در این سناریو، اهدافی که پروفایل آن‌ها با نیازهای مشتریان Candiru مطابقت داشت، تبلیغاتی حاوی کدهای JavaScript دریافت می‌کردند که به سرورهای کنترل (C2) متصل شده و یک Payload از نوع Zero-Click را روی دستگاه قربانی اجرا می‌کرد.
توصیه‌های امنیتی برای کاهش ریسک
اگرچه احتمالاً آسیب‌پذیری‌های مورد استفاده از نوع زیرو دِی بوده‌اند و اکنون وصله شده‌اند، اما برای کاهش ریسک سرایت، اقدامات زیر توصیه می‌شود:
- استفاده از ابزارهای Ad Blocker برای مسدود کردن تبلیغات.
- بازنشانی (Reset) شناسه تبلیغاتی موبایل (Advertising ID) در تنظیمات iOS و Android.
- نصب نرم‌افزارهای مسدودکننده تبلیغات در سطح شبکه خانگی یا سازمانی.
- به‌روزرسانی سریع و منظم سیستم‌عامل و اپلیکیشن‌ها.
