ADINT على نطاق عالمي

التحليلات2026-10-23, 11:52
نشر باحثون من Citizen Lab وConfiant تحقيقات حول كيفية استخدام البنية التحتية للإعلانات الرقمية لتوزيع برمجيات Candiru التجسسية. ويعتقد المحللون أن هذا هو أول دليل تقني على استخدام الإعلانات المستهدفة لتسليم برمجيات تجسس مرتزقة.
يركز التحقيق على الشركة الإسرائيلية Discover-Tech، التي كانت تدير منصة MyDSP، مستخدمةً إياها لتقديم عطاءات في مزادات الإعلانات على Google وYandex وVungle ومنصات أخرى. ومن خلال منصة Controlium، كان بإمكان عملائها — بمن فيهم مشغلو برمجيات التجسس المرتزقة — اختيار أجهزة مستخدمين محددة لإنشاء ملفات تعريف أو إصابة بناءً على معرفات الإعلانات المحمولة (على iOS أو Android)، ومعرفات المتصفح، و/أو عناوين IP للضحايا.
أطلق الباحثون على تقنية الإصابة هذه اسم AdFection. وتعمل السلسلة على النحو التالي:
  1. تفوز Discover-Tech بمزاد إعلاني، ويُعرض الإعلان على جهاز المستخدم.
  2. عند تحميل الإعلان، يتصل بخادم Discover-Tech ويرسل معرفات الإعلانات الخاصة بالمستخدم.
  3. إذا تم اختيار الجهاز كهدف، يعيد الخادم شيفرة JavaScript لتنفيذها؛ وإلا يعيد استجابة فارغة. ولا يزال الإعلان يجمع بيانات المتصفح، بما في ذلك ملفات تعريف الارتباط وعنوان IPv6 العام.
أكد الباحثون الاستخدام العملي لهذا المخطط من خلال مثال شبكة أخبار Al Jazeera. تم استهداف ما لا يقل عن 45 جهازًا على شبكة الإعلام في هجمات باستخدام البنية التحتية لـ Discover-Tech في 2024–2025.
أظهر تحليل سجلات الشبكة أن أجهزة الضحايا اتصلت في البداية بنطاقات البنية التحتية لـ Discover-Tech، وهو ما يعزوه المحللون إلى تسليم الإعلانات. ثم فحص خادم تحقق الأجهزة قبل إنشاء ملفات تعريفها وإصابتها. وفي النهاية، اتصل الجهاز المخترق بخوادم Candiru C2.
كما قدمت Al Jazeera ملف DLL من أحد أجهزة Windows المخترقة يحتوي على عناوين خوادم C2 مضمّنة. وأرجعت Citizen Lab العينة إلى Candiru بثقة عالية: فآليات الاستمرارية وتعتيم النصوص وآليات فحص الاتصال تطابق تلك الموصوفة في تقرير عام 2021.
حجم البنية التحتية للإعلانات — مليارات العطاءات. من مارس إلى يونيو 2026، شاركت MyDSP في مزادات لـ 3.77 مليار ظهور إعلاني وفازت بنحو 11.7% منها.
شارك ما لا يقل عن 718 مليون عطاء (نحو 19%) في إعلانات أظهرت علامات على الاتصال بخوادم NOAS، وهو مكوّن يُستخدم لتسليم شيفرة JavaScript بشكل انتقائي إلى أجهزة محددة. واستحوذ نظام الإعلانات Yandex على 67.4% من العطاءات. وكان أحد الأمثلة إعلان Akedo عُرض على livelib[.]ru في مايو 2025.
وسّعت مزامنة المعرفات قدرات إنشاء الملفات الشخصية. وجد المحللون أن Discover-Tech زامنت معرفات المستخدمين مع أنظمة الإعلانات Beeswax التابعة لـ Comcast وYandex وXandr التابعة لـ Microsoft.
وهذا يجعل من الممكن مطابقة المستخدم نفسه عبر منصات إعلانية مختلفة واستخدام معرف معروف للعثور على ذلك المستخدم واستهدافه في نظام آخر. على سبيل المثال، تسمح منصة Controlium بتحديد معرف Beeswax كمعرف هدف، مما قد يتيح استخدام بيانات من نظام إعلاني واحد لاستهداف مستخدم عبر نظام آخر.
يمكن أن تحدث المزامنة حتى عندما لا يرى المستخدم إعلانًا: يكفي زيارة موقع ويب تُنفَّذ فيه الطلبات ذات الصلة في الخلفية.
كانت البنية التحتية للإعلانات قد استُخدمت بالفعل لإزالة إخفاء هوية المستخدمين على نطاق واسع. وجد الباحثون أن الفاعل المعروف باسم DARK CARTOGRAPHER كان يستخدم منصات مثل Discover-Tech لهذا الغرض منذ 2019. وتعتمد إحدى الطرق على المصادقة السلسة لشركات الاتصالات المحمولة: عند الوصول إلى مواقع معينة، تضيف شركات الاتصالات ترويسة تحتوي على رقم هاتف المستخدم إلى طلبات HTTP غير المشفرة. وتسمح نقاط الضعف في التحقق من المواقع المسموح بها للمهاجمين بالحصول على هذه المعلومات عبر الإعلانات.
عُرضت إعلانات على شبكات حساسة حول العالم. ويلاحظ الباحثون أن بيانات العطاءات تحتوي على أدلة على عرض إعلانات على عناوين IP تابعة لمؤسسات بنية تحتية حرجة ووكالات حكومية ومنظمات دولية.
ومن المذكور: • شبكات NATO وUN؛ • شبكات الحكومة الروسية؛ • أرمينيا — اللجنة الانتخابية المركزية والبنك المركزي ومكتب رئيس الوزراء؛ • إسرائيل — وزارة الصحة ووزارة الخارجية ووزارة الدفاع ووكالات أخرى؛ • شبكات تابعة لـ Intel وNvidia وBroadcom وعدة شركات إعلامية.
ومع ذلك، فإن مجرد عرض إعلان لا يؤكد حدوث إصابة أو هجوم مستهدف — فهو يوضح في المقام الأول حجم حضور البنية التحتية لـ Discover-Tech.
ونتيجة لذلك، اتخذت Google وBeeswax وVungle (Liftoff) وEskimi وIAB Europe خطوات لتقييد أو إنهاء وصول Discover-Tech إلى بنيتها التحتية الإعلانية بعد التفاعل مع الباحثين وتلقي نتائج عملهم.
إن الإشراف غير الكافي على موردي الإعلانات والخصائص التقنية للبنية التحتية للإعلانات الرقمية يخلق ظروفًا لانتشار الإعلانات الخبيثة ويجعل هذه التهديدات صعبة المواجهة. ولتقليل المخاطر، تحتاج المؤسسات إلى تحسين آليات اكتشاف الحملات الخبيثة وحظرها وتعزيز التعاون بين الباحثين ومقدمي تقنيات الإعلان.
المورّدون
المزيد
المنتجات
المزيد