گزارش‌های اخیر Citizen Lab نشان می‌دهد که جاسوس‌افزار Candiru از طریق حملاتی با قابلیت Zero-Click و با بهره‌گیری از تبلیغات هدفمند، دستگاه‌های کارکنان شبکه خبری الجزیره را مورد هدف قرار داده است.
عملیات AdFection و سوءاستفاده از اکوسیستم تبلیغاتی
در این عملیات که AdFection نامیده شده، شرکت Discover-Tech متعلق به رژیم صیهونیستی از خرید تبلیغات برای حذف گمنامی (De-anonymization)، انگشت‌نگاری دستگاه (Fingerprinting) و در نهایت سرایت بدافزار استفاده کرده است. این روش به عامل تهدید اجازه می‌دهد میلیون‌ها دستگاه را ردیابی کرده و اهداف خاصی را شناسایی کند.
- مکانیزم RTB: در اکوسیستم تبلیغات آنلاین، شرکت‌ها در مزایده‌های Real-Time Bidding (RTB) شرکت می‌کنند تا تبلیغاتی را به کاربران نمایش دهند.
- سوءاستفاده از کدها: تبلیغات معمولاً حاوی کدهایی برای ردیابی کلیک‌ها هستند، اما در این مورد، کدهای مخربی جایگزین شده‌اند که منجر به سرایت جاسوس‌افزار می‌شود.
پلتفرم Controlium و ابزارهای شناسایی
شرکت Discover-Tech که در ظاهر یک شرکت تبلیغاتی قانونی است، در واقع به عنوان یک واسطه بین فروشندگان تبلیغات و تامین‌کنندگان جاسوس‌افزارهای تجاری عمل می‌کند. پلتفرم Controlium این شرکت، امکان شناسایی میلیون‌ها کاربر و اجرای حملات Zero-Click را در لحظه نمایش تبلیغ فراهم می‌کند.
تحلیل‌ها نشان می‌دهد که این شرکت برای پروفایل‌سازی کاربران و سرایت بدافزار به نمایندگی از Candiru فعالیت کرده است. بسیاری از این تبلیغات حاوی اسکریپتی هستند که به‌طور خودکار به زیرساخت‌های مهاجم متصل شده و بر اساس آدرس IP و شناسه‌های کاربر، کدهای JavaScript مخرب را اجرا می‌کنند.
مقیاس حمله و همکاری‌های امنیتی
بین سال‌های ۲۰۲۴ و ۲۰۲۵، دست‌کم ۴۵ دستگاه در شبکه الجزیره هدف این حملات قرار گرفته‌اند. همچنین یک سرور متعلق به Discover-Tech شناسایی شده که حاوی ۴ میلیارد رکورد از درخواست‌های تبلیغاتی بود. این داده‌ها نشان می‌دهد که تبلیغات این شرکت در حدود ۲۰۰,۰۰۰ وب‌سایت و اپلیکیشن اندروید و iOS در سراسر جهان نمایش داده شده است.
علاوه بر این، همکاری‌هایی با عامل تهدید دیگری به نام Dark Cartographer مشاهده شده است که با بهره‌برداری از آسیب‌پذیری‌های اپراتورهای موبایل، پایگاه داده‌هایی را برای پیوند دادن شناسه‌های تبلیغاتی به شماره تلفن کاربران ایجاد می‌کند.
پاسخ صنعت و توصیه‌های امنیتی
در واکنش به این تهدید، گوگل و IAB Europe این شرکت را از لیست تامین‌کنندگان تبلیغاتی خود حذف کرده و دسترسی آن به پلتفرم‌های تبادل تبلیغاتی را مسدود کردند. Citizen Lab توصیه می‌کند که برای مقابله با این بردار حمله، مدیران امنیت و SOCها باید تبلیغات هدفمند را در سطح Gateway مسدود کنند تا زمانی که صنعت تبلیغات راهکاری برای شناسایی و مسدود کردن این نوع حملات ارائه دهد.
