افشای جاسوس‌افزار زیروکلیک در تبلیغات اینترنتی؛ وقتی باز کردن یک صفحه وب برای هک کافی است

زیست‌بوم تبلیغات دیجیتال جهان روزانه صدها میلیارد مزایده آنی را در کسری از ثانیه پردازش می‌کند تا مشخص شود کدام بنر تبلیغاتی روی نمایشگر کاربر بنشیند. حالا مشخص شده همین سازوکار خودکار به سلاحی برای تزریق بی‌سروصدای جاسوس‌افزارهای تجاری «زیروکلیک» به دستگاه افراد مشخص تبدیل شده است. یافته‌های پژوهشگران نشان می‌دهد چگونه یک وب‌گردی کاملاً عادی عملاً به دالان نفوذ بدافزار بدل می‌شود.[1][4]

تحقیقات مشترک «سیتیزن لب» وابسته به دانشگاه تورنتو و شرکت امنیت سایبری «کانفینت» نخستین سند فنی قطعی را ارائه می‌دهد که نشان می‌دهد ابزارهای پیشرفته نظارتی مستقیماً از بستر آگهی‌های آنلاین هدفمند توزیع شده‌اند. این شیوه که «اد‌فکشن» (AdFection) نام گرفته، مطلقاً به هیچ کنشی از سوی قربانی نیاز ندارد؛ کافی است کاربر صفحه‌ای را باز کند یا اپلیکیشنی را بالا بیاورد که آگهی آلوده در آن لود شود.[1][4]

در کانون این ماجرا شرکتی به نام «دیسکاور-تک» (Discover-Tech) مستقر در اسرائیل قرار دارد که در ظاهر یک آژانس رسمی تبلیغات دیجیتال بود. به گزارش سیتیزن لب، این شرکت در واقع پلتفرمی به نام «کنترولیوم» (Controlium) را می‌گرداند که پلی میان زیرساخت مزایده تبلیغاتی و فروشندگان جاسوس‌افزارهای تجاری برقرار می‌کرد؛ بستری که به کارفرمایان امنیتی امکان می‌داد هویت کاربران هدف را به‌دقت رصد و دستگاهشان را به‌طور خودکار آلوده کنند.[4]

ابعاد این عملیات حیرت‌آور است؛ دیسکاور-تک روزانه دست‌کم ۱۰ میلیون آگهی را روانه وب می‌کرد. این شرکت طی یک بازه چهارماهه، در مزایده‌های نزدیک به ۲۰۰ هزار وب‌سایت مجزا و ۷۰ هزار اپلیکیشن موبایل برنده شد و تبلیغاتش را در آن‌ها قرار داد؛ تبلیغاتی که حتی به شبکه رایانه‌ای نهادهایی چون سازمان ملل متحد، ناتو و وزارت دفاع ایالات متحده نیز راه یافت.[1][4]

سازوکار نفوذ زیروکلیک چگونه کار می‌کند؟

مبنای فنی این ترفند بر معماری استاندارد مزایده آنی (RTB) سوار است؛ جایی که با باز شدن هر صفحه توسط کاربر، شناسه تبلیغاتی و آدرس آی‌پی او به پلتفرم مزایده مخابره می‌شود. دیسکاور-تک از همین داده‌ها بهره می‌برد تا سوژه‌های از پیش‌تعیین‌شده را بیابد و با خرید جایگاه آگهی، بنر خود را به آن‌ها نشان دهد. نکته کلیدی اینجاست که خود آگهی اولیه فاقد هرگونه کد مخرب است.[4]

خالی نگه داشتن بنر اولیه از کدهای خرابکارانه، ترفندی حساب‌شده بود تا سامانه‌های بررسی خودکار در شبکه‌های بزرگی مانند گوگل و یاندکس متوجه خطر نشوند. در عوض، آگهی یک قطعه کد جاوااسکریپت به‌ظاهر بی‌خطر را اجرا می‌کرد که سرورهای دیسکاور-تک را فرا می‌خواند. اگر سرور تأیید می‌کرد که دستگاه به سوژه مورد نظر تعلق دارد، بی‌درنگ ارتباط را به یک سرور آلوده‌ساز هدایت می‌کرد.[3][4]

برای خیل عظیمی از کاربران عادی که در فهرست هدف نبودند، سرور پاسخی کاملاً خالی (صفر بایت) برمی‌گرداند؛ در نتیجه نه خطری متوجه کاربر می‌شد و نه ردی از عملیات لو می‌رفت. اما برای اقلیت هدف‌گذاری‌شده، سرور آلوده‌ساز یک آسیب‌پذیری مرورگر را ارسال می‌کرد که جاسوس‌افزار را در پس‌زمینه نصب می‌کرد. همه این مراحل در همان چند میلی‌ثانیه‌ای رخ می‌داد که بنر روی صفحه نقش می‌بست.[2][4]

سیتیزن لب تأیید کرده که از همین مسیر دست‌کم ۴۵ دستگاه با سیستم‌عامل ویندوز متعلق به روزنامه‌نگاران و کارکنان شبکه قطری الجزیره در سال‌های ۲۰۲۴ و ۲۰۲۵ هدف قرار گرفته است. لاگ‌های شبکه‌ای الجزیره نشان دادند که رایانه‌های آلوده ابتدا زیرساخت دیسکاور-تک را فراخوانده و سپس به سرورهای مرتبط با شرکت اسرائیلی «کاندیرو» (Candiru) متصل شده‌اند؛ شرکتی با پیشینه طولانی در ساخت بدافزارهای نظارتی.[4]

ردپای فروشندگان تحریم‌شده ابزارهای جاسوسی

کاندیرو که اکنون با نام «اینتگریتی لبز» فعالیت می‌کند، نام ناآشنایی در بازار بدافزارهای تجاری نیست. وزارت بازرگانی ایالات متحده در سال ۲۰۲۱ این شرکت را به دلیل فروش ابزارهای نظارتی علیه مقامات دولتی، خبرنگاران و فعالان مدنی تحریم کرد. با این حال، شواهد نشان می‌دهد این شرکت با کمک واسطه‌هایی چون دیسکاور-تک به دور زدن کنترل‌های صادراتی ادامه داده است.[2][4]

بدافزاری که در حمله به الجزیره به کار رفت، قابلیت تسخیر کامل دستگاه را داشت. با استقرار بدافزار، اپراتور می‌تواند کنترل سیستم را به دست بگیرد، پیام‌های رمزگذاری‌شده و ایمیل‌ها را تخلیه کند، تماس‌ها را ضبط نماید و میکروفون و دوربین را مخفیانه فعال سازد. عملاً دیسکاور-تک به توزیع‌کننده جهانی و نامرئی ابزارهای این شرکت‌های تحریم‌شده تبدیل شده بود.[4]

این رخداد آسیب‌پذیری ساختاری زنجیره تأمین تبلیغات دیجیتال را برملا کرد؛ سازوکاری که سال‌ها اجازه داد دیسکاور-تک نام خود را در فهرست رسمی فروشندگان تأییدشده شرکت‌هایی مانند گوگل و اتحادیه تبلیغات تعاملی اروپا (IAB Europe) حفظ کند و از شبکه‌های معتبری چون پلتفرم بیزواکس (Beeswax) متعلق به کامکست ظرفیت بخرد.[3][4]

پس از انتشار گزارش این بررسی، پلتفرم‌های بزرگ فناوری پیوندهای خود را با این شرکت قطع کردند. گوگل اعلام کرد در جریان همکاری با پژوهشگران، دیسکاور-تک را به دلیل نقض مکرر سیاست‌ها مسدود کرده است. همچنین IAB Europe و بیزواکس دسترسی آن را بستند تا امکان خرید فضاهای تبلیغاتی جدید از این واسطه سلب شود.[3][4]

شکست سیستمی خودتنظیم‌گری در صنعت تبلیغات

کارشناسان امنیت سایبری بر این باورند که ماجرای اد‌فکشن حفره‌های بنیادین مدل تجاری صنعت تبلیغات در پردازش داده‌های شخصی و احراز صلاحیت بازیگران را فاش کرده است. سیستم مزایده آنی داده‌های پروفایلینگ کاربران را همزمان به هزاران شرکت ارسال می‌کند؛ میدانی باز که در آن نهادهای نظارتی می‌توانند به‌سادگی و بدون آگاهی کاربران، از همان رگ‌های حیاتی وب سوءاستفاده کنند.[4]

ولفی کریستل، پژوهشگر ارشد سیتیزن لب، در این رابطه تصریح کرد: «نحوه کارکرد کنونی زیست‌بوم تبلیغات آنلاین، خطری امنیتی برای دولت‌ها، بخش خصوصی، جامعه مدنی و تک‌تک شهروندان است.» به گفته او، چارچوب‌های خودتنظیم‌گری این صنعت حتی نتوانسته‌اند یک عملیات جاسوسی گسترده را که جلوی چشمان همگان فعال بود شناسایی یا مهار کنند.[4]

پژوهشگران اکنون خواستار تحقیق رسمی نهادهای ناظر درباره دیسکاور-تک و همکارانش به‌ویژه از منظر تخلف از مقررات عمومی حفاظت از داده‌های اروپا (GDPR) هستند. گزارش‌ها حاکی است که این شرکت حتی از پنجره‌های رضایت کاربران در قالب GDPR برای مکان‌یابی دقیق افراد در اروپا بهره‌برداری کرده است؛ نشانه‌ای آشکار از ناتوانی قوانین فعلی حفظ حریم خصوصی در برابر چنین سوءاستفاده‌هایی.[3][4]

گزارش سیتیزن لب همچنین از بازیگر تهدید مرموز دیگری با نام مستعار «DARK CARTOGRAPHER» پرده برداشت که روی همین بستر فعالیت می‌کرد. این نهاد ناشناس با نفوذ به زیرساخت چندین اپراتور همراه، شناسه‌های تبلیغاتی ناشناس را مستقیماً به شماره تلفن افراد پیوند می‌زد تا فرآیند هویت‌یابی و ردگیری انبوه را در ابعاد جهانی عملیاتی کند.[4]

بررسی هم‌راستای کانفینت نیز نشان داد که دیسکاور-تک با استفاده از سازوکار «کوکی‌مچینگ» دامنه نفوذ نظارتی خود را بسط داده است؛ روشی مرسوم در صنعت برای تبادل شناسه کاربران که به شرکت امکان می‌داد اهدافش را حتی در سایت‌هایی که خارج از تملک تبلیغاتی مستقیمش بودند تعقیب کند. تمرکز جغرافیایی این آگهی‌های آلوده به‌ویژه در اراضی فلسطینی، یمن و برزیل مشهود بوده است.[1]

اثبات این واقعیت که جاسوس‌افزارهای تجاری قابلیت تزریق از طریق آگهی‌های پلتفرمی معمول را دارند، مدل تهدید پیش روی افراد در معرض خطر را دستخوش تغییری بنیادین می‌کند. تا پیش از این، آلودگی نیازمند فریب قربانی برای کلیک روی پیوند فیشینگ یا باز کردن فایلی ناسالم بود؛ اکنون اما صرف ورود به یک سایت خبری معتبر یا باز کردن برنامه‌ای محبوب می‌تواند به تسلیم کامل دستگاه ختم شود.[2][4]

برای کاربران عادی، دفع حملات آگهی‌های زیروکلیک امری فوق‌العاده دشوار است، زیرا هیچ اشتباه یا کلیکی از سوی کاربر رخ نداده است. به همین علت، کارشناسان امنیت شبکه مسدودکننده‌های تبلیغاتی در سطح شبکه و مرورگرهای مبتنی بر حفظ حریم خصوصی را نه ابزاری لوکس برای فرار از مزاحمت بصری، بلکه ضرورتی حیاتی در زنجیره امنیت شخصی می‌دانند؛ لااقل تا زمانی که معماری اینترنت تجاری تغییری اساسی را تجربه کند.[2][3]