جاسوس‌افزار بدون کلیک؛ تبلیغات آنلاین چگونه گوشی کاربران را هدف می‌گیرند؟
جاسوس‌افزار بدون کلیک با سوءاستفاده از تبلیغات آنلاین، دستگاه کاربران را هدف می‌گیرد؛ پژوهشگران نیز از هدف‌گیری ۴۵ روزنامه‌نگار و ۲۰۰ هزار وب‌سایت خبر دادند.
جاسوس‌افزار بدون کلیک چگونه از تبلیغات آنلاین استفاده می‌کند؟
جاسوس‌افزارها دیگر نیاز به کلیک ندارند. گاهی فقط کافیست یک تبلیغ را ببینید تا گوشی‌تان هدف قرار گیرد. پژوهش‌های جدید «سیتیزن لب» و شرکت امنیت سایبری «کانفیانت» این واقعیت دردناک را فاش کردند. آن‌ها نشان دادند که شرکت تبلیغاتی اسرائیلی Discover-Tech از بنرهای آنلاین به عنوان پل ارتباطی برای رساندن جاسوس‌افزارهای قدرتمند به دستگاه کاربران استفاده کرده است.
مرکز این توطئه، پلتفرم تبلیغاتی Controlium متعلق به Discover-Tech است. گزارش‌ها حاکی از همکاری این شرکت با سازنده جاسوس‌افزار اسرائیلی به نام Candiru است. کاندیرو پیش‌تر در سال ۲۰۲۱ توسط وزارت بازرگانی آمریکا در فهرست سیاه قرار گرفته بود، زیرا محصولات جاسوسی‌اش علیه اعضای جامعه مدنی به کار رفته بود. حالا کاندیرو از خدمات Discover-Tech برای پنهان کردن خود در میان انبوهی از آگهی‌ها استفاده می‌کرد.
۴۵ روزنامه‌نگار الجزیره هدف حمله قرار گرفتند
دامنه اهداف این عملیات فراتر از روزنامه‌نگاران بود. دست‌کم ۴۵ روزنامه‌نگار الجزیره در میان اهداف این عملیات قرار داشتند. اما ماجرا فراتر از رسانه‌ها رفت. زیرساخت این شرکت تبلیغات مخرب را در شبکه‌های داخلی ده‌ها سازمان دولتی و بین‌المللی نمایش داد. سیتیزن لب شواهدی از نمایش این تبلیغات در شبکه‌هایی با حساسیت امنیتی ملی، از جمله شبکه‌های مرتبط با ناتو، پیدا کرد.
کانفیانت نیز با بررسی داده‌های هدف‌گذاری، ردپای این تبلیغات را در شبکه‌های وزارت دفاع آمریکا، آژانس بین‌المللی انرژی اتمی (IAEA)، سازمان اطلاعات سیستم‌های استونی (RIA) و دادگاه کیفری بین‌المللی شناسایی کرد. هنوز دقیقاً مشخص نیست چند مقام یا دستگاه در این میان آلوده شده‌اند.
نحوه عملکرد حمله، ساده اما خطرناک است. پلتفرم Controlium به مشتریان اجازه می‌داد «اثر انگشت دیجیتال» دستگاه‌ها را ثبت کنند تا به محض برآورده شدن شرایط خاص، دستگاه همان لحظه‌ای که تبلیغ لود می‌شد، هدف قرار می‌گرفت. این یک حمله Zero-click یا بدون کلیک است. کاربر نیازی به کلیک روی لینک، دانلود فایل یا نصب برنامه ندارد. کد مخرب JavaScript هنگام بازدید کاربر از صفحه‌ای که تبلیغ در آن نمایش داده می‌شد، اجرا می‌شد. Discover-Tech هوشمندانه تلاش کرده بود مسیر دسترسی مستقیم به این کد مخرب را از چشم شرکت‌های تبلیغاتی نمایش‌دهنده آگهی پنهان کند.
برای درک وسعت فاجعه، باید به اعداد نگاه کنیم. سیتیزن لب حدود ۴ میلیارد رکورد مربوط به جای‌گذاری تبلیغات Discover-Tech را بررسی کرد. نتایج این بررسی ابعاد گسترده فعالیت Discover-Tech را نشان داد: تبلیغات آلوده در مدت تنها چهار ماه در اپلیکیشن‌های اندروید و iOS و نزدیک به ۲۰۰ هزار وب‌سایت منحصربه‌فرد پخش شدند. نکته کلیدی اینجاست که یک وب‌سایت یا اپلیکیشن لزوماً عامل انتشار جاسوس‌افزار نیست. ممکن است زیرساخت تبلیغاتی مورد استفاده آن، ناخواسته مسیر ورود کد مخرب را باز کرده باشد.
وقتی جاسوس‌افزار بدون کلیک وارد می‌شود چه اتفاقی می‌افتد؟
Controlium امکاناتی را در اختیار اپراتور قرار می‌دهد که شامل ضبط تماس‌ها، فعال‌سازی میکروفون و استخراج پیام‌ها و ایمیل‌ها می‌شود. روزنامه‌نگاران، مخالفان سیاسی و کارکنان سفارتخانه‌ها از جمله کسانی بودند که با این ابزار هدف قرار گرفتند. پژوهشگران Discover-Tech را حلقه‌ای میان صنعت تبلیغات دیجیتال و بازار جاسوس‌افزارهای تجاری می‌دانند. این حلقه به اپراتورهای جاسوسی اجازه می‌دهد تا بدون مهندسی اجتماعی و روش‌های سنتی، به دستگاه‌های هدف دسترسی یابند.
مشکل فقط بدافزار نیست. تبلیغات آنلاین حجم عظیمی از داده را پردازش می‌کنند. همین اطلاعات می‌تواند برای ناشناس‌زدایی کاربران به کار رود. پژوهشگران از بازیگری با نام Dark Cartographer نام بردند که از نرم‌افزار Discover-Tech برای سوءاستفاده از آسیب‌پذیری اپراتورهای مخابراتی استفاده کرد. این فعالیت به مهاجمان کمک می‌کرد شناسه تبلیغاتی دستگاه‌ها را به شماره تلفن واقعی کاربران مرتبط کند. در نتیجه، ناشناس‌زدایی گسترده در فضای آنلاین شکل گرفت.
با این همه، سیتیزن لب معتقد است صنعت تبلیغات دیجیتال باید سازوکارهای امنیتی خود را تقویت کند. شرکت‌های تبلیغاتی موظفند شرکای تجاری و زنجیره تأمین خود را به‌صورت منظم ممیزی کنند تا تبلیغ‌کنندگان مخرب شناسایی و حذف شوند. ماجرای Discover-Tech درس سختی دارد: تهدیدهای سایبری همیشه از مسیرهای مورد انتظار وارد نمی‌شوند. گاهی چیزی به سادگی یک تبلیغ اینترنتی، بخشی از زنجیره یک حمله پیچیده است؛ حمله‌ای که شاید هرگز متوجه آغاز آن نشوید.
