استخدمت جهة مرتبطة بشركة Discovere-Tech الإسرائيلية إعلانات رقمية موجهة لتوصيل برمجية Candiru التجسسية إلى أجهزة تابعة لشبكة Al Jazeera Media Network، في هجوم «من دون نقرة» لا يتطلب من الضحية سوى عرض الإعلان على جهازه. ووصف باحثو Citizen Lab هذه التقنية باسم AdFection، معتبرين أنها أول تأكيد تقني علني لوصول برمجيات تجسس مرتزقة عبر الإعلانات الموجهة.
استند التحقيق إلى أدلة قدمتها الجزيرة، وسجلات شبكة، وملف DLL استُعيد من نظام Windows مخترق. وتشير الأدلة إلى استهداف ما لا يقل عن 45 جهازاً بين عامي 2024 و2025، مع تسلسل اتصالات بدأ من بنية Discovere-Tech التحتية، ثم مر بخوادم التحقق التابعة لـ Candiru، وانتهى بخوادم القيادة والتحكم الخاصة بالبرمجية.
كيف عملت سلسلة الإصابة؟
اشترت الجهة المهاجمة مساحات إعلانية عبر شبكات ومنصات تبادل إعلاني معروفة، وضمّنت الإعلانات شيفرة JavaScript تتصل عند عرضها بخادم أطلقت عليه Discovere-Tech اسم NOAS، أو خادم getAd. وكان الخادم يستخدم مؤشرات مثل عنوان IP ومعرّفات الإعلانات لتحديد ما إذا كان الجهاز يطابق مواصفات الهدف.
إذا اجتاز الجهاز عملية التحقق، أُرسلت إليه شيفرة إضافية؛ أما الأجهزة الأخرى فكانت تعرض الإعلان من دون تلقي الحمولة الخبيثة. هذا الانتقاء يقلل الضوضاء ويساعد على إخفاء العملية داخل حركة الإعلانات المعتادة.
نطاق العملية لا يساوي عدد الإصابات
بين مارس ويونيو 2026، قدمت العملية 3.77 مليار عرض سعري إعلاني وفازت بـ442 مليون مزاد، وفق تقديرات Citizen Lab. وظهرت الإعلانات التي احتوت على وسوم الشيفرة المهاجمة في 75,373 تطبيقاً على Android وiOS و120,768 موقعاً إلكترونياً. ولا تعني هذه الأرقام أن جميع هذه التطبيقات والمواقع، أو مستخدميها، أُصيبوا.
قدّر الباحثون أن مئات الآلاف إلى ملايين المستخدمين وُجّهوا إلى نطاقات مرتبطة بإعلانات Discovere-Tech. وبعد تلقي تقارير Citizen Lab، اتخذت Google وIAB Europe وBeeswax وEskimi وVungle إجراءات شملت إزالة حسابات مخالفة وحجب الوصول إلى نطاقات محددة.
لماذا يهم هذا الأسلوب؟
تكشف الواقعة أن سلسلة الإعلانات الرقمية يمكن أن تتحول إلى قناة لتوصيل برمجيات تجسس متقدمة، حتى من دون تفاعل مباشر من المستخدم. كما أن استهداف أجهزة بعينها يجعل اكتشاف الحملة أصعب من الحملات الخبيثة واسعة النطاق، بينما يوسع شراء الإعلانات عبر شبكات رئيسية نطاق الوصول المحتمل.
ترتبط Candiru ببرمجيات تجسس تبيعها الشركة للحكومات رسمياً، ومن بينها DevilsTongue لنظام Windows، القادرة على سرقة الملفات وبيانات الاعتماد والرسائل. وسبق أن رُبطت أدوات الشركة باستغلال ثغرات من نوع zero-day في Windows وChrome لاستهداف صحفيين ونشطاء وسياسيين.
سبق توثيق أسلوب مشابه باسم Aladdin في أواخر 2025، عندما استُخدمت إعلانات لإصابة أهداف ببرمجية Predator من دون نقر، لكن ذلك التحقيق اعتمد على ملفات ووثائق تسويقية مسربة من شركة Intellexa. أما AdFection فاستند إلى هجمات فعلية وأدلة جنائية ربطتها بـ Discovere-Tech، التي وصفها Citizen Lab بأنها حلقة وصل بين شركات التجسس المرتزقة ومنظومة الإعلانات.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.