حملات صفر کلیک از تبلیغات هدفمند برای ارائه نرم افزارهای جاسوسی Candiru استفاده می کردند

نرم افزار جاسوسی Candiru از طریق تبلیغات آنلاین هدفمند در یک حمله صفر کلیک به دستگاه های شبکه رسانه ای الجزیره تحویل داده شد که فقط نیاز به ارائه تبلیغات مخرب در دستگاه قربانی داشت.

محققان در Citizen Labs که در حال بررسی این حملات بودند، از این تکنیک به عنوان AdFection یاد کردند و خاطرنشان کردند که گزارش آنها اولین تایید فنی عمومی از نرم افزارهای جاسوسی مزدور است که از طریق تبلیغات هدفمند ارائه می شود.

روش مشابهی در اواخر سال 2025 توسط عفو بین‌الملل ثبت شد که شامل تبلیغاتی می‌شد که اهدافی را بدون اینکه روی چیزی کلیک کنند با نرم‌افزار جاسوسی Predator آلوده می‌کردند.

این مکانیسم عفونت علاءالدین نام داشت و به دلیل مجموعه‌ای از فایل‌ها و اسناد بازاریابی که از شرکت نظارتی Intellexa درز کرده بود، ظاهر شد که محققان مطالعه کردند و جزئیات فنی تحقیقات پزشکی قانونی را تأیید کردند.

برخلاف Alladin، AdFection در معرض حملات واقعی قرار گرفت و با شرکت اسرائیلی Discovere-Tech مرتبط شد که توسط Citizen Lab به عنوان "پلی بین شرکت‌های نرم‌افزارهای جاسوسی مزدور و اکوسیستم تبلیغاتی" توصیف شد.

به گفته Citizen Lab، Discover-Tech به مشتریان خود اجازه می‌دهد تا از پلتفرم Controlium خود برای هدف قرار دادن دستگاه‌های خاص با کد مخرب، یا نمایه، حذف هویت و دستگاه‌های کاربر اثر انگشت استفاده کنند.

Citizen Lab می گوید: «به نظر می رسد Discover-Tech با چندین جاسوس افزار مزدور، فروشندگان هک و تبلیغاتی کار می کند و صنعت جاسوس افزار را به اکوسیستم تبلیغات آنلاین متصل می کند.

این شرکت تبلیغات را از طریق شبکه‌ها و صرافی‌های تبلیغاتی اصلی خریداری کرد و جاوا اسکریپت را در تبلیغاتی جاسازی کرد که هنگام رندر با «سرور NOAS» خود تماس می‌گرفت.

با استفاده از چندین پارامتر (به عنوان مثال، آدرس IP، شناسه‌های تبلیغات)، سرور NOAS، "یا سرور getAd" تعیین می‌کند که آیا یک هدف واجد شرایط دریافت کد جاوا اسکریپت است یا خیر.

اهداف منتخب کد اضافی دریافت کردند، در حالی که سایر دستگاه‌هایی که تبلیغ بر روی آنها ارائه می‌شد هیچ چیزی دریافت نکردند و به مخفی نگه داشتن حملات کمک می‌کرد.

الجزیره شواهدی مبنی بر حملاتی که حداقل 45 دستگاه را بین سال‌های 2024 تا 2025 هدف قرار می‌دادند، در اختیار آزمایشگاه شهروند قرار داد. گزارش‌های شبکه که توسط محققان مورد بررسی قرار گرفتند، دنباله‌ای از زیرساخت‌های Discover-Tech تا سرورهای اعتبارسنجی Candiru و سپس به سرورهای فرمان و کنترل نرم‌افزار جاسوسی را نشان دادند.

محققان همچنین یک فایل DLL را از یک سیستم ویندوز در معرض خطر بازیابی کردند و آن را با اطمینان بالا به Candiru نسبت دادند، بر اساس زیرساخت‌ها و کدهای همپوشانی با نمونه‌های ضبط‌شده قبلی.

Candiru یک فروشنده نرم افزارهای جاسوسی اسرائیلی است که ابزارهای نظارتی را به طور رسمی فقط به دولت ها می فروشد. این شرکت همچنین بدافزاری به نام DevilsTongue برای ویندوز توسعه داده است که می تواند فایل ها، اعتبارنامه ها و پیام ها را بدزدد.

طبق گزارش‌های گذشته، ابزارهای آن از طریق سوءاستفاده‌های روز صفر ویندوز و کروم علیه روزنامه‌نگاران، فعالان، سیاستمداران و سایر اهداف به کار گرفته شده‌اند.

در حالی که الجزیره یکی از اهداف تایید شده این حملات است، سیتیزن لب گزارش می دهد که عملیات تبلیغاتی 3.77 میلیارد پیشنهاد داده و برنده 442 میلیون حراج بین مارس تا ژوئن 2026 شده است.

تبلیغات ارزیابی شده برای حمل برچسب های اسکریپت مهاجم در 75373 برنامه Android/iOS و 120768 وب سایت ظاهر شد، اگرچه این ارقام نشان دهنده تعداد آلودگی نیست.

Citizen Lab توضیح می دهد: "ما تخمین می زنیم که بین صدها هزار تا میلیون ها کاربر از طریق تبلیغات Discover-Tech به این دامنه ها هدایت شده اند."

پس از دریافت گزارش‌های Citizen Lab، شرکت‌های تبلیغاتی بزرگ مانند Google، IAB Europe، Beeswax، Eskimi و Vungle اقدام به حذف حساب‌های متخلف و مسدود کردن دسترسی به دامنه‌ها کردند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

هکرهای ایرانی از بدافزار CHOSEN BRICK Windows برای جاسوسی از اهداف استفاده می کنند

بدافزار جدید Manic Android می‌تواند داده‌ها را از طریق دستگاه‌های مجاور استخراج کند

بدافزار اندروید Hirudo جایگزین برنامه های بانکی برای فرار از بررسی های امنیتی می شود

هکرها از تبلیغات گوگل سوء استفاده می کنند، بینگ برای فشار دادن به حملات Claude ClickFix تغییر مسیر می دهد

تجزیه و تحلیل کد VirusTotal AI پشتیبانی از اسکریپت ویندوز و لینوکس را گسترش می دهد