Citizen Lab تكشف أن برمجية Candiru التجسسية تُسلَّم عبر إعلانات موجَّهة دون الحاجة لنقرة

نشرت Citizen Lab هذا الأسبوع نتائج تصف ما تسميه أول حالة مؤكدة علنياً في العالم الحقيقي لبرمجية تجسس تجارية تُسلَّم عبر الإعلانات الرقمية الموجَّهة، دون الحاجة لنقرة من المستخدم. يتتبع البحث إصابات برمجيات تجسس على 45 جهازاً على الأقل في شبكة الجزيرة الإعلامية، سجّلتها الشبكة بين 2024 و2025، وصولاً إلى Candiru، شركة إسرائيلية تقول إنها تبيع فقط للحكومات.

وفقاً لـCitizen Lab، اشترت شركة إسرائيلية تُدعى Discover-Tech أماكن إعلانية عادية عبر شبكات وبورصات إعلانية رئيسية. احتوت الإعلانات على كود JavaScript مُضمَّن يتصل بخادم Discover-Tech، المُسمّى داخلياً "NOAS"، بمجرد عرض الإعلان على جهاز — دون الحاجة لنقرة. فحص ذلك الخادم إشارات مثل عنوان IP الجهاز ومعرّفات الإعلان لتحديد ما إذا كان يطابق ملف تعريف هدف. الأجهزة المطابقة استلمت كوداً خبيثاً إضافياً؛ الأجهزة غير المطابقة لم تستلم شيئاً، وهو ما تقول Citizen Lab إنه ما حافظ على سرّية العملية لفترة أطول. أظهرت سجلات الشبكة حركة من بنية Discover-Tech إلى خوادم التحقق الخاصة بـCandiru، ثم إلى بنية القيادة والتحكم لبرمجية التجسس. تسمّي Citizen Lab تقنية التسليم هذه "AdFection".

برمجية Candiru الخبيثة لويندوز، المعروفة بـDevilsTongue، تستطيع سرقة الملفات وبيانات الاعتماد والرسائل بعد التثبيت. وُثِّقت أدوات هذه الشركة سابقاً في هجمات ضد صحفيين وناشطين وسياسيين باستخدام ثغرات يوم صفر في ويندوز وChrome. استعادت Citizen Lab ملف DLL خبيثاً من نظام ويندوز مخترَق ونسبته إلى Candiru بثقة عالية، بناءً على تداخلات في البنية والكود مع نماذج تم رصدها سابقاً. وتصف الشركة أيضاً منصة "Controlium" من Discover-Tech بأنها تسمح للعملاء باستهداف أجهزة معينة وتوصيف المستخدمين وإزالة إخفاء هويتهم وأخذ بصماتهم، وتقول إن Discover-Tech تعمل مع عدة بائعي برمجيات تجسس واختراق وإعلانات غير Candiru فقط.

حجم العملية الإعلانية هو ما يميّز هذا عن اختراق محدود الهدف: بين مارس ويونيو 2026 فقط، وضعت العملية 3.77 مليار عرض سعري وفازت ب442 مليون مزاد إعلاني، مع ظهور سكربتات تحمل علامات المهاجم في أكثر من 75,000 تطبيق محمول وأكثر من 120,000 موقع ويب. تؤكد Citizen Lab أن تلك الأرقام تصف التعرّض للإعلان، لا إصابات مؤكدة، لكنها تقدّر أن مئات الآلاف إلى ملايين المستخدمين وُجِّهوا نحو بنية الهجوم عبر إعلانات وضعتها Discover-Tech في مرحلة ما.

بعد إفشاء Citizen Lab، أزالت جوجل وIAB Europe وBeeswax وEskimi وVungle حسابات المعلنين المخالفة وحجبت الوصول إلى النطاقات المعنية. وفقاً لما أوردته BleepingComputer أولاً، تُردّد هذه الحالة أسلوب تسليم مماثل مبني على الإعلانات يُدعى "Aladdin"، وثّقته منظمة العفو الدولية في أواخر 2025 لبرمجية Predator التجسسية — رغم أن ذلك الاكتشاف السابق اعتمد على ملفات داخلية مسرَّبة بدلاً من هجمات حية مرصودة، ما يجعل هذه الحالة أول مرة تُؤكَّد فيها التقنية عبر حركة مرور حقيقية.