Citizen Lab دریافت که جاسوس‌افزار Candiru از طریق تبلیغات هدفمند بدون نیاز به کلیک تحویل داده شده

Citizen Lab این هفته یافته‌هایی را منتشر کرد که آنچه را اولین مورد دنیای واقعی تأیید علنی‌شده از جاسوس‌افزار تجاری تحویل‌داده‌شده از طریق تبلیغات آنلاین هدفمند توصیف می‌کند، بدون نیاز به کلیک کاربر. این تحقیق آلودگی‌های جاسوس‌افزار در حداقل ۴۵ دستگاه در شبکه رسانه‌ای الجزیره، که توسط این شبکه بین ۲۰۲۴ و ۲۰۲۵ ثبت شده، را به Candiru، یک فروشنده اسرائیلی که می‌گوید فقط به دولت‌ها می‌فروشد، ردیابی می‌کند.

بر اساس Citizen Lab، یک شرکت اسرائیلی به نام Discover-Tech جایگاه‌های تبلیغاتی معمولی را از طریق شبکه‌ها و صرافی‌های تبلیغاتی اصلی خریداری کرد. تبلیغات حاوی جاوااسکریپت تعبیه‌شده‌ای بودند که به‌محض رندر شدن تبلیغ روی یک دستگاه با سروری به نام داخلی «NOAS» از Discover-Tech تماس می‌گرفتند — بدون نیاز به کلیک. آن سرور سیگنال‌هایی مانند آدرس IP دستگاه و شناسه‌های تبلیغات را بررسی می‌کرد تا تصمیم بگیرد آیا با یک پروفایل هدف مطابقت دارد. دستگاه‌هایی که مطابقت داشتند کد مخرب اضافی دریافت می‌کردند؛ دستگاه‌هایی که مطابقت نداشتند چیزی دریافت نمی‌کردند، که Citizen Lab می‌گوید این همان چیزی است که عملیات را از شناسایی زودتر دور نگه داشت. لاگ‌های شبکه حرکت ترافیک از زیرساخت Discover-Tech به سرورهای اعتبارسنجی Candiru و سپس به زیرساخت فرمان‌و‌کنترل جاسوس‌افزار را نشان دادند. Citizen Lab این تکنیک تحویل را «AdFection» می‌نامد.

بدافزار ویندوز Candiru، معروف به DevilsTongue، می‌تواند پس از نصب فایل‌ها، اعتبارنامه‌ها و پیام‌ها را سرقت کند. ابزارهای این فروشنده پیش‌تر در حملات علیه روزنامه‌نگاران، فعالان و سیاستمداران با استفاده از آسیب‌پذیری‌های روز صفر ویندوز و Chrome ثبت شده است. Citizen Lab یک فایل DLL مخرب را از یک سیستم ویندوز به‌خطرافتاده بازیابی کرد و آن را با اطمینان بالا، بر اساس هم‌پوشانی زیرساخت و کد با نمونه‌های قبلاً گرفته‌شده، به Candiru نسبت داد. این شرکت همچنین پلتفرم «Controlium» از Discover-Tech را توصیف می‌کند که به مشتریان اجازه می‌دهد دستگاه‌های خاصی را هدف قرار دهند و کاربران را پروفایل‌سازی، ناشناس‌زدایی و اثرانگشت‌گذاری کنند، و می‌گوید Discover-Tech با چندین فروشنده جاسوس‌افزار، هک و تبلیغات فراتر از صرفاً Candiru همکاری می‌کند.

مقیاس عملیات تبلیغاتی همان چیزی است که این را از یک هک به‌طور محدود هدفمند متمایز می‌کند: فقط بین مارس و ژوئن ۲۰۲۶، این عملیات ۳.۷۷ میلیارد پیشنهاد ثبت کرد و ۴۴۲ میلیون مزایده تبلیغاتی را برد، با اسکریپت‌هایی حامل برچسب‌های مهاجم که در بیش از ۷۵,۰۰۰ اپلیکیشن موبایل و بیش از ۱۲۰,۰۰۰ وب‌سایت ظاهر شدند. Citizen Lab تأکید می‌کند آن ارقام نمایان‌گر قرارگیری در معرض تبلیغ هستند، نه آلودگی‌های تأییدشده، اما تخمین می‌زند صدها هزار تا میلیون‌ها کاربر در مقطعی از طریق تبلیغات قرارگرفته‌شده توسط Discover-Tech به سمت زیرساخت حمله هدایت شده‌اند.

پس از افشای Citizen Lab، گوگل، IAB Europe، Beeswax، Eskimi و Vungle حساب‌های تبلیغ‌کننده متخلف را حذف و دسترسی به دامنه‌های دخیل را مسدود کردند. آن‌طور که BleepingComputer اولین بار گزارش داد، این مورد با روش تحویل مبتنی بر تبلیغ مشابهی به نام «Aladdin» که توسط عفو بین‌الملل در اواخر ۲۰۲۵ برای جاسوس‌افزار Predator ثبت شد مشابهت دارد — هرچند آن یافته قبلی بر فایل‌های داخلی افشاشده تکیه داشت نه حملات زنده مشاهده‌شده، که این مورد را اولین باری می‌کند که این تکنیک از طریق ترافیک دنیای واقعی تأیید شده.