نرم افزار جاسوسی صفر-کلیک ارائه شده از طریق تبلیغات هدفمند: AdFection

این گزارش همزمان با تحقیقات Confiant تهیه شده است.

این بخش یک نمای کلی از اکوسیستم تبلیغات آنلاین ارائه می دهد و یافته های ما را در مورد Discover-Tech خلاصه می کند.

هنگامی که یک کاربر تبلیغی را در یک برنامه یا یک وب سایت می بیند، احتمالا نتیجه یک حراج بلادرنگ است، جایی که تبلیغ کنندگان برای نشان دادن آن تبلیغ خاص به آن کاربر خاص پیشنهاد می دهند. مزایده‌های به اصطلاح بیدرنگ مناقصه (RTB) که در مبادلات تبلیغاتی که توسط شرکت‌هایی از جمله گوگل اداره می‌شوند میزبانی می‌شوند، صدها میلیارد بار در روز برگزار می‌شوند. در کمتر از یک ثانیه، دستگاه کاربر یک درخواست پیشنهادی را آغاز می‌کند، تبلیغ‌کنندگان پیشنهادات خود را ارسال می‌کنند و تبادل آگهی برنده حراج را مشخص می‌کند و آگهی را به سمت کاربر هل می‌دهد.

علاوه بر تصویر یا ویدیو، یک تبلیغ آنلاین همچنین می‌تواند حاوی کدهایی باشد که در برنامه یا مرورگری که تبلیغ را نشان می‌دهد اجرا می‌شود.

هم تبلیغ‌کنندگان و هم ناشران برنامه‌ها و وب‌سایت‌ها از فروشندگان تبلیغاتی استفاده می‌کنند که به عنوان واسطه آنها در این حراج‌ها عمل می‌کنند. تبلیغ‌کنندگان معمولا آگهی‌ها را از طریق یک پلتفرم به اصطلاح سمت تقاضا (DSP) خریداری می‌کنند و یک پلتفرم سمت عرضه (SSP) موجودی آگهی را در وب‌سایت‌ها و برنامه‌ها می‌فروشد.

بازیگران بدخواه از دو جنبه مرتبط اکوسیستم تبلیغات آنلاین استفاده می کنند:

اکوسیستم تبلیغات به بسیاری از اشخاص ثالث مختلف اجازه می دهد تا کد را در برنامه ها و وب سایت ها اجرا کنند: این وسوسه انگیز است که یک تبلیغ آنلاین را به سادگی یک ویدیو یا تصویر تصور کنیم. با این حال، خود تبلیغات ممکن است حاوی کدی از تبلیغ‌کننده، DSP و سایر طرف‌ها باشد و زمانی که تبلیغ به کاربر نشان داده می‌شود، آن را در برنامه یا مرورگر اجرا کند، به عنوان مثال برای ردیابی کاربران، نمایش‌های تبلیغاتی و کلیک‌ها. کدهایی که توسط تبلیغ‌کنندگان، DSPها، SSPها و سایر اشخاص ثالث در برنامه‌ها و وب‌سایت‌ها اجرا می‌شوند، معمولا به‌عنوان «برچسب‌ها»، «پیکسل‌ها»، «SDK» یا «ردیابی شخص ثالث» شناخته می‌شوند.

مجموع اطلاعات به دست آمده از حراج های تبلیغاتی بسیار ارزشمند است. شرکتی که به داده‌های حراج دسترسی دارد، می‌تواند کاربران را بدون اطلاع آن‌ها هنگام حرکت در فضای فیزیکی ردیابی کند یا بین شبکه‌های تلفن همراه، Wi-Fi و VPN جابجا شود، با مشاهده اینکه چگونه درخواست‌های پیشنهادی مرتبط با یک شناسه خاص در طول زمان مکان یا آدرس IP را تغییر می‌دهند. در واقع، صنعت نظارت دسترسی به پلتفرم‌های به اصطلاح هوش تبلیغاتی (ADINT) را می‌فروشد که از این نوع داده‌ها استفاده می‌کنند، که اغلب با داده‌های ردیابی شخص ثالث ترکیب می‌شوند.

در سال‌های اخیر، چندین تحقیق و گزارش‌های رسانه‌ای فروشندگانی را کشف کرده‌اند که ADINT را به سازمان‌های دفاعی، اطلاعاتی و مجری قانون می‌فروشند.

فراتر از جمع‌آوری داده‌های غیرفعال، طرف‌های مخرب نیز می‌توانند از این زیرساخت برای هدف قرار دادن افراد خاص بر اساس داده‌های کاربر موجود در مزایده‌های تبلیغاتی استفاده کنند و سپس کدهای مخرب را روی دستگاه‌های خود اجرا کنند. وقتی تبلیغی به کاربر نشان داده می‌شود، ممکن است تبلیغ‌کنندگان یا DSP کدهای HTML و JavaScript را اجرا کنند. این کد کد جاوا اسکریپت اضافی را بازیابی می کند، که ممکن است به نوبه خود، کدهای بیشتری را بارگیری کند، مانند سوء استفاده از مرورگر برای نصب نرم افزارهای جاسوسی. از آنجایی که کد می تواند حاوی شناسه هایی برای کاربر یا دستگاه او باشد، کد جاوا اسکریپت دلخواه می تواند دقیقا به دستگاه یک کاربر ارسال شود.

تحقیقات ما در این گزارش نشان می‌دهد که این معماری در واقع برای تسهیل ارسال نرم‌افزارهای جاسوسی هدفمند با کلیک صفر مورد سوء استفاده قرار می‌گیرد و نمایش ساده یک تبلیغ هدفمند برای آلودگی کافی است.

گزارش هایی در مورد تقاطع نرم افزارهای جاسوسی و اکوسیستم تبلیغاتی وجود دارد. با این حال، روش‌های خاصی که شرکت‌های نرم‌افزار جاسوسی مزدور به اکوسیستم تبلیغات متصل می‌شوند تا کاربران خاصی را هدف قرار دهند، تا حد زیادی مخفی باقی مانده است. این گزارش نرم افزارهای جاسوسی با کلیک صفر را که از طریق تبلیغات هدفمند ارائه می شود، که ما آن را AdFection می نامیم، افشا می کند و اولین نمایش فنی است که نشان می دهد نرم افزارهای جاسوسی مزدور از طریق تبلیغات هدفمند توزیع می شوند.

ما شواهد فنی ارائه می کنیم که نشان می دهد شرکت مستقر در اسرائیل Discover-Tech، در حالی که ادعا می کند یک شرکت تبلیغاتی قانونی است، به نظر می رسد که جبهه ای برای سوء استفاده از جاسوسی تبلیغاتی در مقیاس بزرگ است، از جمله تحویل خودکار نرم افزارهای جاسوسی مزدور هنگام نمایش تبلیغات به یک هدف و نمایه سازی انبوه و عدم نامگذاری کاربران.

این شرکت به عنوان پلی بین فروشندگان تبلیغات و اکوسیستم نرم افزارهای جاسوسی مزدور عمل می کند. در واقع، به نظر می رسد که خدمت به عنوان این پل، هدف اصلی Discover-Tech است. پلتفرم آن، Controlium، به بازیگران مخرب اجازه می‌دهد تا دقیقا مشخصات میلیون‌ها نفر را شناسایی کرده و نامشان را از بین ببرند، دستگاه‌هایشان را انگشت نگاری کنند، و آنها را با نوعی هک با کلیک صفر هدف قرار دهند، جایی که دستگاه‌های آن‌ها می‌توانند به‌طور خودکار با نمایش آگهی به آن‌ها آلوده شوند.

به نظر می رسد Discover-Tech با چندین جاسوس افزار مزدور، فروشندگان هک و تبلیغاتی کار می کند و صنعت جاسوس افزار را به اکوسیستم تبلیغات آنلاین متصل می کند. همانطور که در این گزارش به جزئیات می پردازیم، تبلیغات Discover-Tech برای آلوده کردن و نمایه سازی از طرف فروشنده نرم افزارهای جاسوسی مزدور Candiru استفاده می شود. ما همچنین جزئیات ارتباط بین Discover-Tech و یک شرکت هک مزدور دیگر، Bindecy، و همچنین ارتباط با Intelos، یک شرکت مزدور ADINT را شرح می‌دهیم.

Discover-Tech توسط مدیرعامل آن Dekel Boni، که سابقه ای در تبلیغات دیجیتال دارد، رهبری می شود. اریک بانون، که هاآرتص او را «یکی از پیشگامان سایبری تهاجمی در اسرائیل» توصیف می‌کند، بلافاصله پس از تأسیس در سال 2020 به هیئت مدیره این شرکت پیوست و تا سال 2025 در آنجا ماند. اینتلکسا

به نظر می رسد Discover-Tech با استفاده از چندین تکنیک تبلیغات را درج می کند. در مرحله اول، این شرکت پلتفرمی به نام MyDSP را اجرا می کند که با فروشندگان تبلیغات آنلاین از جمله Google، Yandex، Vungle (Liftoff) و Sunteng ارتباط برقرار می کند. ثانیا، جدا از MyDSP، تبلیغات را از طریق فروشندگان تبلیغات Eskimi و Beeswax متعلق به Comcast (Freewheel) خریداری می کند.

همانطور که در بخش 9 توضیح داده شد، Discover-Tech در چندین لیست از فروشندگان تبلیغاتی "تأیید شده" و "تأیید شده" ظاهر شد که توسط Google و انجمن صنعت تبلیغات IAB اروپا از سال 2020 تا 2026 نگهداری می شد. این فهرست ها کمک کرد تا Discover-Tech یک فروشنده آگهی قانونی به نظر برسد و مشارکت آن در اکوسیستم تبلیغات دیجیتال را تسهیل کند.

در نتیجه این تحقیق، Google و IAB Europe هر دو Discover-Tech را از ثبت فروشنده تبلیغات خود در اوایل اکتبر 2026 حذف کردند. Google که در این تحقیق همکاری کرد، دسترسی Discover-Tech به پلتفرم‌های مبادله تبلیغاتی خود را قطع کرد. Beeswax Discover-Tech را از پلتفرم خرید تبلیغات خود حذف کرد، Vungle (Liftoff) دسترسی Discover-Tech را در حین انجام بررسی متوقف کرد و Eskimi حساب‌ها و دامنه‌های Discover-Tech را مسدود کرد.

در این گزارش مروری بر انواع مختلف سوء استفاده از تبلیغات تسهیل شده توسط Discover-Tech، سیستم‌ها و شیوه‌های هدف‌یابی تبلیغات این شرکت و همچنین شرکا و شبکه شرکتی آن ارائه می‌کنیم.

در بخش 2، ما نشان می‌دهیم که چگونه Candiru با Discover-Tech برای انجام حملات AdFection کار می‌کند و یکی از این حملات را شرح می‌دهیم: هدف‌گیری و آلوده شدن دستگاه‌ها در شبکه رسانه بین‌المللی الجزیره با نرم‌افزار جاسوسی مزدور Candiru.

در بخش 3، ما Controlium را بررسی می‌کنیم، یک پلت‌فرم Discover-Tech که یک رابط سبک کنترل پنل را فراهم می‌کند که مشتریان نرم‌افزارهای جاسوسی مزدور را قادر می‌سازد تا کاربران خاصی را با «تبلیغات کنترل‌شده» هدف قرار دهند.

در بخش 4، ما پیوندهای بین Discover-Tech و شرکت‌های نرم‌افزار جاسوسی مزدور Candiru/Integrity Labs و Bindecy را بررسی می‌کنیم. سپس روابط آن‌ها را با دیگر شرکت‌های نظارت مزدور، از جمله فروشنده Intelos اطلاعات تبلیغاتی (ADINT) و فروشنده ADINT که ما به عنوان DARK CARTOGRAPHER از آن یاد می‌کنیم، توضیح می‌دهیم که در حال ایجاد پایگاه‌های اطلاعاتی است که شناسه‌های تبلیغات موبایلی کاربران را به شماره تلفن آنها مرتبط می‌کند.

در بخش 5، ما تجزیه و تحلیل می کنیم که تبلیغات مخرب Discover-Tech در کجا قرار می گیرد. ما یک سرور Discover-Tech را شناسایی کردیم که تقریبا چهار میلیارد رکورد آگهی مناقصه را منتشر کرد. این سوابق نشان می دهد که تبلیغات Discover-Tech در تقریبا 200000 برنامه مختلف اندروید، برنامه iOS و وب سایت در بسیاری از کشورها ارائه شده است. همچنین کشورها و شبکه‌های دولتی خاصی را که تبلیغات Discover-Tech در آن‌ها تأثیر داشت، برجسته می‌کنیم.

در بخش 6، ما از تجزیه و تحلیل فنی استفاده می‌کنیم تا بررسی کنیم که Discover-Tech چگونه تبلیغات را به کار می‌گیرد، کاربران را ردیابی می‌کند و شناسه‌های کاربر را با سایر فروشندگان تبلیغات، از جمله با Beeswax، Yandex، و سیستم تبلیغات مایکروسافت Xandr مبادله می‌کند.

در بخش 7، ما تحقیقات خود را در مورد Discover-Tech Ltd، شبکه شرکتی آن، افراد کلیدی مرتبط با شرکت، ریشه‌های فناوری تبلیغات MyDSP و ارتباط آن با اکوسیستم تبلیغاتی گسترده‌تر ارائه می‌کنیم.

در بخش 8، آنچه را که درباره شرکت‌های نظارت مزدور Candiru، Bindecy و Intelos شناخته شده است، خلاصه می‌کنیم و فعالیت‌ها و شبکه‌های شرکتی آنها را در چارچوب یافته‌های ارائه‌شده در گزارش خود بررسی می‌کنیم.

در بخش 9، بررسی می‌کنیم که چگونه سازمان‌های بزرگ صنعتی و فروشندگان تبلیغات به فعال‌سازی عملیات تبلیغاتی Discover-Tech، از جمله Google، IAB Europe، Beeswax (FreeWheel/Comcast)، Vungle (Liftoff)، Eskimi، Sunteng و Xandr (مایکروسافت) کمک کردند.

در بخش 10، مفاهیم AdFection برای امنیت کاربر و حقوق بشر را مورد بحث قرار می‌دهیم.

در بخش 11، توصیه‌هایی را به قانون‌گذاران، قانون‌گذاران، مدافعان و صنعت تبلیغات درباره نحوه کاهش و مسدود کردن تهدیدات ناشی از حملات به سبک AdFection ارائه می‌کنیم.

آزمایشگاه شهروند درخواست هایی برای اظهار نظر به 13 شرکت ارسال کرد. پاسخ های آنها به طور کامل در بخش "مکاتبات با شرکت ها" گنجانده شده است.

این بخش اولین تأیید فنی عمومی حمله جاسوس‌افزار با کلیک صفر را از طریق تبلیغات هدفمند در طبیعت ارائه می‌کند: هدف‌گیری و آلوده شدن دستگاه‌ها در شبکه رسانه بین‌المللی الجزیره با نرم‌افزارهای جاسوسی مزدور. ما به این نوع حمله به عنوان AdFection اشاره می کنیم. با استفاده از تجزیه و تحلیل شبکه، انگشت نگاری زیرساخت و تجزیه و تحلیل رفتار ایمپلنت، زیرساخت Discover-Tech را با توزیع نرم افزارهای جاسوسی مزدور Candiru مرتبط می کنیم.

نمونه‌های Candiru AdFection از طریق تبلیغات Discover-Tech همگی ویژگی‌های مشابهی دارند. ابتدا، Discover-Tech برنده یک مناقصه می شود و یکی از تبلیغات آنها به وب سایت یا برنامه ای که در دستگاه کاربر باز است منتقل می شود. کاربر ممکن است این تبلیغ را ببیند، مانند شکل 4، اگرچه در برخی موارد ممکن است تبلیغ در پس‌زمینه نمایش داده شود.

در سال‌های 2024 و 2025، شبکه خبری بین‌المللی الجزیره هدف یک سری حملات با کلیک صفر قرار گرفت که ما با اطمینان بالا به جاسوس‌افزار Candiru که از طریق تبلیغات Discover-Tech ارائه می‌شود، مرتبط می‌کنیم. حداقل 45 دستگاه در الجزیره در این حملات هدف قرار گرفتند.

تجزیه و تحلیل گزارش های شبکه ارائه شده به آزمایشگاه شهروند توسط الجزیره جمع آوری شده در طول دوره حمله، امضای زمانی واضحی از نحوه اجرای حمله ارائه می دهد. دستگاه‌های آلوده ابتدا تماس با دامنه‌های زیرساخت Discover-Tech را نشان می‌دهند که نشان‌دهنده نمایش آگهی است. سپس، دستگاه‌ها اتصالات را با یک سرور اعتبارسنجی Candiru نشان می‌دهند. سرور اعتبارسنجی یک بررسی اولیه دستگاه را قبل از اینکه بیشتر نمایه و آلوده شود انجام می دهد. در نهایت، یک دستگاه آلوده با یک سرور فرمان و کنترل Candiru (C&C) ارتباط برقرار می کند.

این امضای زمانی توسط شکل 5 نشان داده شده است.

ما یک اثر انگشت برای سرورهای اعتبارسنجی Candiru ایجاد کردیم. هر دو keyadapter[.]com و sharethere[.]net بنرهایی را برگرداندند که با عبارت منظم زیر در Censys مطابقت داشت. 1 ما به آن به عنوان اثر انگشت V1 اشاره می کنیم:

ما میزبان‌هایی را در Censys یافتیم که با Fingerprint V1 بین اوت 2022 تا ژوئیه 2026 مطابقت دارند، اگرچه توجه داریم که در ماه مه و ژوئن 2026، این رفتار به تدریج شروع به بازنشستگی کرد. در مجموع، ما 305 نام دامنه متمایز را در 319 آدرس IP پیدا کردیم، اگرچه برای صرفه جویی در هزینه های پرس و جو فقط یک عکس لحظه ای تاریخی Censys را در ماه جستجو کردیم. مجموعه ای از 305 دامنه سرور اعتبارسنجی که یافتیم شامل دامنه هایی است که توسط Sekoia به Candiru نسبت داده شده است و همچنین Recorded Future.

ما همچنین یک اثر انگشت جداگانه برای سرورهای C&C مورد استفاده در حمله شناسایی کردیم، اثر انگشت C1. چهار تا از سرورها با آن مطابقت داشتند (feeevolve[.]com، insightenterprisells[.]com، jobmarcher[.]com، plasticbells[.]com). ما نتوانستیم پاسخی را در داده‌های اسکن اینترنتی برای سه مورد دیگر پیدا کنیم.

الجزیره یک فایل DLL ویندوز را از یکی از دستگاه های در معرض خطر جدا کرد که حاوی سرورهای Command & Control کدگذاری شده با اثر انگشت C1 است. نمونه در VirusTotal موجود است.

نمونه جاسوس افزار Candiru SHA256: 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8

این نمونه دو سرور C&C را که با Fingerprint C1 مطابقت دارند کدهای سختی می‌دهد: fearevolve[.]com و jobmarcher[.]com. این عملکرد به طور گسترده با عملکرد زنجیره Candiru از گزارش 2021 ما همپوشانی دارد. به عنوان مثال:

ترکیبی از ربودن تداوم COM، استفاده از تکنیک متمایز 48 بایتی تکرار XOR با پایان‌دهنده تهی «ساختگی»، و بررسی اتصال شبکه سخت کد شده خاص، ما را به این نتیجه می‌رساند که با اطمینان بالا به این نتیجه می‌رسیم که این نمونه نسخه جدیدتری از زنجیره حمله Candiru است که در 20 ضبط کردیم.

این بخش Controlium را بررسی می‌کند، پلتفرمی که یک رابط سبک کنترل پنل را فراهم می‌کند که به مشتریان نرم‌افزارهای جاسوسی مزدور اجازه می‌دهد تا کاربران خاصی را با «تبلیغات کنترل‌شده» که بدافزار ارائه می‌دهند، هدف قرار دهند. Discover-Tech کد منبع کامل قسمت Frontend Controlium را در صفحه ورود به برنامه منتشر کرد که به ما امکان می داد رابط کاربری را بررسی و بازسازی کنیم.

همانطور که برای بسیاری از برنامه‌های وب استاندارد است، کل کد منبع برای Frontend Controlium در صفحه ورود به برنامه گنجانده شده است. ما از صفحه ورود به سیستم در یک مرورگر وب بازدید کردیم و صفحه را در دیسک ذخیره کردیم تا یک نسخه از frontend به دست آوریم. 2 ما کپی کد خود را تغییر دادیم تا هرگونه ارتباط با هر سرور خارجی را حذف کنیم و همه صفحه های موجود در رابط کاربری را نشان دهیم. سپس این نسخه را در یک مرورگر وب باز کردیم تا رابط کاربری برنامه را بررسی کنیم.

در تجزیه و تحلیل خود از Controlium، ما فقط منابع قابل دسترسی عمومی را بدون دور زدن کنترل های دسترسی دانلود کردیم. بیشتر داده‌های مرتبط با Controlium، مانند اطلاعات مشتریان Discover-Tech و عملیات آنها، عمدا با یک توکن مجوز محافظت می‌شوند. با این حال، ما توانستیم داده‌هایی را در مورد ورود کاربران Controlium از یک نقطه پایانی API تأیید نشده به‌دست آوریم (به زیر مراجعه کنید: «نقطه پایانی تأیید نشده»). ما همچنین ارزیابی می‌کنیم که ممکن است یک هکر یک مجوز معتبر را جعل کند (به زیر مراجعه کنید: «آسیب‌پذیری تأیید اعتبار»)، اگرچه ما این مورد را آزمایش نکردیم.

ما پلتفرم Controlium را در وب‌سایت‌های زیر یافتیم:

همه این نام‌های دامنه دارای سوابق CNAME بودند که به تعادل بار برنامه AWS (ALB) با نام زیر اشاره می‌کردند:

علاوه بر این، چندین رشته در کد Controlium مستقیما به Discover-Tech اشاره می کنند:

علاوه بر این، اگر کاربری سعی کند به یک نقطه پایانی خاص در برنامه به نام «/jsConfig» دسترسی پیدا کند، برنامه پیام زیر را نمایش می‌دهد که ممکن است به مدیر عامل Discover-Tech Dekel Boni اشاره کند:

در نهایت، یک نقطه پایانی API احراز هویت نشده (به زیر مراجعه کنید: «نقطه پایانی تأیید نشده») فعالیت‌های مکرر ورود به سیستم را از کاربرانی که نام‌شان با کارمندان Discover-Tech در لینکدین همپوشانی دارد، نشان می‌دهد.

حسابی که به عنوان «مدیر» در پلتفرم Controlium تعیین شده است، می‌تواند تعدادی پارامتر مختلف را برای مشتریان پلتفرم پیکربندی کند. ابتدا، یک مدیر ممکن است به مشتری اجازه دسترسی به رابط وب یا API را بدهد. همچنین به نظر می رسد که محصول Controlium را می توان با یک لوگوی متفاوت "برچسب سفید" داشت و دسترسی را می توان به IP های خاص محدود کرد.

در مرحله بعد، مدیران ممکن است محدودیت هایی در مورد نوع کمپین هایی که یک مشتری ممکن است اجرا کند اضافه کنند. این محدودیت‌ها کنترل می‌کنند که چه ترکیبی از شناسه‌های کاربر و آدرس‌های IP مجاز به ارائه پیشنهاد هستند و به کدام «انواع URL» می‌توانند دسترسی داشته باشند.

مشتریان می‌توانند محدودیت‌های «OpSec» خاصی را برای مناقصه تبلیغاتی خود اعمال کنند، که به نظر می‌رسد تلاشی برای اطمینان از اینکه مشتریان خیلی مکرر یا خیلی گسترده پیشنهاد نمی‌دهند:

همچنین نوع دیگری از "OpSec" به نام Ad URL OpSec وجود دارد که در بخش 4 بیشتر به بررسی آن می پردازیم.

مشتریان را می‌توان بر اساس تعداد کمپین‌هایی که می‌توانند روزانه یا ماهانه اجرا کنند، محدودتر کرد، یا بر اساس «فهرست سفید دامنه‌ها» یا «لیست سفید برنامه‌ها» محدود شد، که به نظر می‌رسد کنترل در کدام دامنه یا در کدام برنامه‌های تلفن همراه می‌تواند آگهی‌ها را پیشنهاد دهد. همانطور که برای مجوز یک پلتفرم حمله مرسوم است، مشتریان می توانند فقط از طریق لیست مجوز یا فهرست مسدود برای تبلیغات در برخی کشورها پیشنهاد دهند.

مراحل دقیقی که یک کاربر یا مشتری برای استفاده از پلتفرم باید انجام دهد مشخص نیست. رابط کاربری Controlium شامل تعدادی ماژول و فرم است که تا حدی عملکردهای همپوشانی را برای راه اندازی کمپین های تبلیغاتی و نظارت بر داده های تبلیغات ارائه می دهد.

کاربران Controlium می‌توانند یک «برچسب» ایجاد کنند که ترکیبی از یک تصویر آگهی، یک صفحه فرود، یک «URL NOAS» (به زیر مراجعه کنید: «نگاهی به سرور NOAS»)، و URL‌هایی برای ثبت نمایش‌ها و کلیک‌ها تعریف می‌کند.

کاربران می توانند یک DSP را برای استفاده برای ارائه تبلیغات انتخاب کنند. گزینه های موجود شامل موم زنبور عسل، Eskimi و MyDSP خود Discover-Tech است. هنگام انتخاب MyDSP، آنها همچنین می توانند انتخاب کنند که آیا از تبادل تبلیغات Google یا Yandex استفاده کنند.

ماژول "OP Creative Upload" Controlium به کاربران اجازه می دهد محتوای تبلیغاتی (مانند یک تبلیغ) را آپلود و پیکربندی کنند و سپس داده ها را در یک DSP آپلود کنند. کاربران می‌توانند با تعریف صفحه فرود، URL NOAS و نشانی‌های اینترنتی برای ثبت نمایش‌ها و کلیک‌ها، برچسبی را به آگهی الصاق کنند، یا می‌توانند «برچسب سفارشی» ایجاد شده توسط ماژول «تولید برچسب» را جای‌گذاری کنند.

گزینه های موجود DSP عبارتند از "MyDSP WW"، "MyDSP Yandex RU"، "Beeswax (Palm 3)"، "MyDSP Google (Palm 3)" و موارد دیگر. کاربران همچنین می توانند چندین "افزودن" از جمله "Infinite FIFO"، "Detect Zuid" و "User Agent" را انتخاب کنند.

ماژول دیگری با عنوان «کمپین‌ها» به کاربران Controlium اجازه می‌دهد تا «آدرس‌های اینترنتی» را به «تبلیغات کنترل‌شده» انتخابی مرتبط کنند، که طبق کد منبع Controlium می‌توانند در برنامه‌های تلفن همراه یا در وب‌سایت‌ها ارائه شوند. همانطور که در تصویر نشان داده شده است، ماژول به کاربران اجازه می دهد تا "شناسه های کاربری" هدف را تعریف کرده و "نوع URL" را انتخاب کنند.

انواع URL های موجود برای انتخاب عبارتند از: Ad URL، "Test URL"، "Script"، "User Agent"، "Monitor"، "Pixel" و "De-anon". ما مطمئن نیستیم که بیشتر این گزینه‌ها به چه معنا هستند، اما فکر می‌کنیم که برای «URL آگهی»، سرور NOAS جاوا اسکریپت را با اضافه کردن یک فریم 1×1 به صفحه نشان‌دهنده نشانی اینترنتی مشخص شده برمی‌گرداند، و «اسکریپت» ممکن است طوری طراحی شده باشد که به جاوا اسکریپت دلخواه اجازه اجرا دهد. هر URL از طریق سرور NOAS تحویل داده می شود (به زیر مراجعه کنید: "نگاهی به سرور NOAS").

در حالی که داده‌های مرتبط با مشتریان Controlium و عملیات آن‌ها به طور اسمی با یک توکن مجوز محافظت می‌شوند، به نظر می‌رسد که برای یک هکر به راحتی می‌توان یک توکن معتبر را جعل کرد. ما سعی نکردیم از این مشکل سوء استفاده کنیم، زیرا معتقدیم انجام این کار به منزله دسترسی غیرمجاز به سیستم‌های Discover-Tech است.

مشکل اساسی ناشی از استفاده نادرست Discover-Tech از محصول Okta's Auth0 است. هنگامی که یک مشتری Controlium با Auth0 احراز هویت می کند، یک JWT به مرورگر آنها برگردانده می شود. این نشانه به صورت دیجیتالی توسط Auth0 امضا شده است و حاوی اطلاعاتی در مورد محدوده و انقضا است که سرور باطن باید آن را تأیید کند. با این حال، Controlium این نشانه را نادیده می گیرد و به جای آن یک شی کاربر جداگانه را به عنوان رمز به سرور باطن ارسال می کند. شی کاربر به سادگی حاوی ابرداده های احراز هویت نشده در مورد کاربر است، مانند نام و آدرس ایمیل او.

Controlium این اطلاعات را با یک کلید مخفی منتشر شده در پلتفرم Controlium رمزگذاری می کند.

جالب اینجاست که کد صحیح برای استفاده از JWT به عنوان یک توکن مجوز در پلتفرم Controlium وجود داشت، اما به جای کد آسیب‌پذیر توضیح داده شد.

در طول تجزیه و تحلیل ما از پلتفرم Controlium، مشاهده کردیم که کد منبع یک نقطه پایانی به نام "/csv-download" را ذکر کرده است که پارامترهای تاریخ شروع و پایان را می پذیرد. هنگامی که درخواست‌های معمولی HTTP GET را بدون هیچ رمز عبور، سرصفحه‌های خاص یا نشانه احراز هویت به این نقطه پایانی ارسال کردیم، گزارش‌هایی دریافت کردیم که نشان می‌داد چه کاربرانی به Controlium وارد شده‌اند و از کدام آدرس‌های IP. ما گزارش‌های احراز هویت را به مدت 128 روز با موفقیت صادر کردیم و 120 نام کاربری مجزا را شناسایی کردیم که وارد نمونه‌های Controlium در controlium[.]net و powerium[.]net شدند.

ما بیشتر به این داده ها در بخش 4 می پردازیم.

ما قادر به استخراج کد از سرورهای NOAS با آزمایش مقادیر «ساختگی» User ID بودیم. به عنوان مثال، مشاهده کردیم که بازدید از: