جاسوس‌افزار Candiru از طریق تبلیغات آنلاین هدفمند و در قالب یک حمله Zero-Click (بدون نیاز به کلیک)، روی دستگاه‌های شبکه رسانه‌ای الجزیره نصب شده است. در این روش، تنها رندر شدن تبلیغات مخرب روی دستگاه قربانی برای اجرای حمله کافی بوده است.
تکنیک AdFection: پل ارتباطی بین تبلیغات و جاسوسی
محققان Citizen Lab این تکنیک را AdFection نامیده‌اند و اشاره کرده‌اند که این گزارش، نخستین تایید فنی عمومی درباره توزیع جاسوس‌افزارهای مزدور (Mercenary Spyware) از طریق تبلیغات هدفمند است. پیش از این در اواخر سال ۲۰۲۵، سازمان عفو بین‌الملل روش مشابهی به نام Aladdin را مستند کرده بود که در آن جاسوس‌افزار Predator بدون هیچ تعاملی از سوی کاربر، باعث سرایت (Infection) می‌شد.
برخلاف Aladdin، تکنیک AdFection در حملات واقعی شناسایی شده و به شرکت Discover-Tech متعلق به رژیم صیهونیستی مرتبط شده است. Citizen Lab این شرکت را به عنوان «پلی میان شرکت‌های جاسوس‌افزار مزدور و اکوسیستم تبلیغاتی» توصیف کرده است.
مکانیسم فنی حمله
بر اساس گزارش‌ها، شرکت Discover-Tech به مشتریان خود اجازه می‌داد تا از پلتفرم Controlium برای هدف قرار دادن دستگاه‌های خاص با کدهای مخرب، یا شناسایی هویت (Deanonymize) و انگشت‌نگاری (Fingerprinting) دستگاه‌های کاربران استفاده کنند. فرآیند حمله به شرح زیر بوده است:
- خرید فضای تبلیغاتی: این شرکت از طریق شبکه‌های تبلیغاتی متداول، جایگاه‌های تبلیغاتی خریداری کرده و کدهای JavaScript را در تبلیغات جاسازی می‌کرد.
- فیلتر کردن قربانیان: هنگامی که تبلیغ رندر می‌شد، کد JavaScript با سروری به نام NOAS ارتباط برقرار می‌کرد. این سرور با بررسی پارامترهایی مانند IP و شناسه‌های تبلیغاتی، تعیین می‌کرد که آیا هدف مورد نظر برای دریافت کد مخرب واجد شرایط است یا خیر.
- اجرای مخفیانه: تنها اهداف منتخب کدهای تکمیلی را دریافت می‌کردند و سایر دستگاه‌ها هیچ کدی دریافت نمی‌کردند تا ماهیت حمله مخفی باقی بماند.
مقیاس عملیات و ابزارهای مورد استفاده
الجزیره شواهدی از حمله به حداقل ۴۵ دستگاه بین سال‌های ۲۰۲۴ تا ۲۰۲۵ ارائه کرده است. محققان یک فایل DLL را از یک سیستم ویندوزی آلوده بازیابی کردند که با اطمینان بالا به Candiru نسبت داده شد. Candiru ابزارهای نظارتی خود را به‌طور رسمی تنها به دولت‌ها می‌فروشد و بدافزاری به نام DevilsTongue برای ویندوز توسعه داده است که قادر به سرقت فایل‌ها، اعتبارنامه‌ها (Credentials) و پیام‌هاست.
این ابزارها پیش از این از طریق اکسپلویت‌های زیرو دِی (Zero-Day) در ویندوز و کروم علیه روزنامه‌نگاران و سیاستمداران استفاده شده بودند. تخمین زده می‌شود که بین صدها هزار تا میلیون‌ها کاربر از طریق تبلیغات Discover-Tech به دامنه‌های مخرب هدایت شده باشند؛ چرا که این عملیات بین مارس تا ژوئن ۲۰۲۶، حدود ۳.۷۷ میلیارد پیشنهاد (Bid) ثبت کرده و در ۴۴۲ میلیون مزایده تبلیغاتی پیروز شده است.
در پی این گزارش، شرکت‌های بزرگی مانند گوگل، IAB Europe، Beeswax، Eskimi و Vungle اقدام به مسدود کردن دامنه‌ها و حذف حساب‌های متخلف کردند.
