Citizen Lab: מודעות ממוקדות באתרים ובאפליקציות שימשו להדבקה ברוגלה בלי הקלקה
מחקר חדש מתעד לראשונה מתקפה שבה עצם הצגת מודעה הספיקה כדי לשלוח רוגלה למכשיר. במרכז הפרשה: חברת הפרסום הישראלית Discover-Tech והרוגלה של Candiru.
TL;DR בקצרה
- Citizen Lab ו-Confiant פרסמו ב-15 באוקטובר את AdFection: קוד שהוטמן במודעות ממוקדות פנה לשרתי Candiru בלי שהמשתמש לחץ על דבר.
- לפחות 45 מכשירים של עובדי רשת Al Jazeera סומנו כמטרות במתקפות כאלה ב-2024 וב-2025.
- בין מרץ ליוני 2026 זכתה Discover-Tech בכ-442 מיליון מכרזי פרסום, והמודעות שלה הוצגו בכ-120 אלף אתרים ו-75 אלף אפליקציות.
- Google, IAB Europe ופלטפורמות נוספות ניתקו את החברה. ההמלצה לארגונים: לחסום מודעות ומעקב פרסומי במכשירי העבודה.
AdFection היא שיטה חדשה להדבקה ברוגלה בלי שום הקלקה. רוב ההגנות מפני רוגלות נשענות על הנחה פשוטה. כדי להדביק מכשיר, התוקף צריך שתלחצו על קישור או תפתחו קבצים. לחלופין, הוא צריך לנצל חולשה באפליקציית הודעות.
מחקר שפרסמה ב-15 באוקטובר מעבדת Citizen Lab באוניברסיטת טורונטו מערער את ההנחה הזו. את המחקר ערכה המעבדה יחד עם חברת אבטחת הפרסום Confiant. הוא מתאר מקרה ראשון עם תיעוד, שבו עצם הצגה של מודעה ממוקדת הספיקה כדי לשלוח רוגלה למכשיר. זה קרה בלי שום הקלקה, והחוקרים קראו לשיטה AdFection.
בלב הפרשה עומדת Discover-Tech, חברה ישראלית שנרשמה במרץ 2020 ומציגה את עצמה כחברת טכנולוגיית פרסום. לפי Citizen Lab, בפועל היא משמשת גשר בין תעשיית הפרסום לבין ספקיות רוגלות להשכרה. בראשן Candiru, חברה ישראלית שמוכרת כלי ריגול לממשלות. Discover-Tech, Candiru ושאר החברות שמופיעות בדוח לא הגיבו לפניות החוקרים.
איך AdFection הופכת מכרז פרסום לנקודת הדבקה
כדי להבין את השיטה צריך להכיר את המנגנון שמאחורי רוב המודעות ברשת. זה מנגנון של מכרזים בזמן אמת (Real-Time Bidding). בכל פעם שעמוד או אפליקציה עולים, מתקיים בשבריר שנייה מכרז על שטח הפרסום.
המציעים מקבלים פרטים על המכשיר, כמו כתובת IP ומזהה פרסום, כדי להחליט כמה לשלם. מי שזוכה מציג מודעה. לא פעם המודעה כוללת גם קוד שרץ על המכשיר.
Discover-Tech קנתה מודעות דרך פלטפורמת רכש משלה בשם MyDSP. הפלטפורמה מחוברת לבורסות פרסום גדולות, בהן של Google. החברה הטמיעה בתוך המודעות קוד שפנה לשרת שלה. הקוד שלח אליו את מזהי הפרסום של המכשיר.
השרת בדק אם המכשיר ברשימת המטרות. מכשיר רגיל קיבל תשובה ריקה, ומכשיר מסומן קיבל קוד נוסף. החוקרים תיעדו ברשת של Al Jazeera את הרצף המלא. הרצף התחיל בהצגת מודעה של Discover-Tech. אחר כך הייתה פנייה לשרת אימות של Candiru, ומשם לשרת השליטה של הרוגלה. החוקרים שחזרו קובץ ממחשב Windows שנפרץ. הם ייחסו את הקובץ ל-Candiru ברמת ודאות גבוהה.
פלטפורמה נוספת של החברה, Controlium, אפשרה ללקוחות לבחור יעדים לפי מזהה פרסום של טלפון, מזהה דפדפן או כתובת IP. היא אפשרה להזרים אליהם מודעות ״מבוקרות״. לפי CyberScoop, הרוגלה של Candiru מסוגלת להשתלט על מכשיר מרחוק. היא מסוגלת גם לגנוב ממנו מידע ולהפעיל את המיקרופון והמצלמה.
המספרים שמאחורי AdFection
לפי Citizen Lab, התוקפים סימנו לפחות 45 מכשירים של עובדי רשת Al Jazeera כמטרות ב-2024 וב-2025. החוקרים מדגישים שזה מספר מטרות. הוא לא בהכרח מספר הדבקות שאימתו החוקרים. לפי Engadget, הטכנולוגיה שימשה לכוון גם אל עובדים בארגונים נוספים. בין הארגונים: NATO, הנציבות האירופית, NVIDIA ו-Arm.
היקף הפעילות הפרסומית גדול בהרבה. בין מרץ ליוני 2026 הגישה MyDSP הצעות על כ-3.77 מיליארד הצגות מודעה. היא זכתה בכ-442 מיליון מהן. מודעות שנשאו את הקוד של התוקפים הופיעו ב-120,768 אתרים וב-75,373 אפליקציות לאנדרואיד ול-iOS. בהם אתרים כמו BBC ו-New York Times, ואפליקציות כמו Duolingo.
לפי CyberScoop, המודעות הגיעו גם לרשתות של משרד ההגנה האמריקאי. הן הגיעו גם ל-NATO ולסוכנות הבינלאומית לאנרגיה אטומית. אין בכך טענה שמישהו פרץ לאתרים האלה. הם מכרו שטח פרסום דרך המערכת האוטומטית, כמו כל אתר אחר.
למה זה רלוונטי גם לעסקים בישראל
קל לחשוב שזו בעיה של עיתונאים ודיפלומטים בלבד. במידה רבה זה נכון, כי רוגלות כאלה יקרות ופועלות מול יעדים נבחרים. אבל הממצא המרכזי רחב מכך. המחקר על AdFection מראה שאותה מערכת מאפשרת לכם לטרגט לקוחות לפי מכשיר ומיקום. היא יכולה לשמש גם לאיתור אדם מסוים ולשליחת קוד זדוני רק אליו. זה קורה דרך אתרים ואפליקציות לגיטימיים לגמרי. לדברי החוקר וולפי כריסטל מ-Citizen Lab, ״הפרסום הדיגיטלי שבור״.
יש כאן גם זווית מקומית לא נוחה. מלבד Discover-Tech ו-Candiru, הדוח קושר את הפלטפורמה לשתי חברות נוספות מתחום המעקב, Bindecy ו-Intelos. הוא קורא לרגולטורים לחקור את החברות ולהטיל סנקציות.
Google חסמה את Discover-Tech מפלטפורמות הפרסום שלה בטענה שהפרה את המדיניות באופן שיטתי. זאת למרות שהחברה הופיעה בעבר ברשימות הספקים ה״מאושרים״ של Google. IAB Europe, Beeswax ו-Eskimi הסירו או חסמו אותה. Vungle השעתה את הגישה שלה עד לסיום בדיקה.
מה זה אומר עבורכם
- חסמו מודעות במכשירי עבודה: זו ההמלצה המרכזית של Citizen Lab לארגונים. חסמו גם במכשיר עצמו וגם ברמת הרשת, למשל בסינון DNS או בחומת האש של המשרד.
- בטלו את מזהה הפרסום: עשו זאת בטלפונים של העובדים, ובמיוחד של ההנהלה ושל מי שמטפל בכספים או במידע רגיש. ארגון שמנהל מכשירים במערכת MDM יכול להחיל את זה על כולם. בטלפון הפרטי: אפסו את מזהה הפרסום ובטלו מעקב פרסומי בהגדרות הפרטיות.
- דפדפן עם הגנה ממעקב: הדוח ממליץ לעבור לדפדפנים עם הגנות חזקות מפני מעקב. הוא ממליץ גם להוסיף תוסף אמין לחסימת פרסומות.
- מי בסיכון גבוה: עיתונאים, עורכי דין, פעילים ובכירים בחברות רגישות צריכים להתייחס לפרסום ממוקד כאל ערוץ תקיפה. הוא לא רק מטרד.
- מפרסמים וסוכנויות: בדקו אילו ספקי צד שלישי עובדים עם הקמפיינים ועם האתר שלכם. כפי שהפרשה מראה, גם ספק שמופיע ברשימות ״מאושרות״ יכול להתברר כבעייתי.
מה הלאה
Citizen Lab מבטיחה דוח נוסף על גורם שהיא מכנה DARK CARTOGRAPHER. לפי החוקרים, הגורם הזה משתמש בתשתית של Discover-Tech כדי לקשר בין מזהי פרסום למספרי טלפון. כך הוא חושף את זהותם של גולשים בהיקף רחב.
החוקר ביל מרצ׳ק העריך שמה שהדוחות חשפו עד כה הוא ככל הנראה רק קצה הקרחון. המסקנה המעשית לא תלויה בהמשך. כל עוד מזהי פרסום ונתוני מיקום עוברים בחופשיות במכרזים, כדאי לצמצם את מה שהמכשירים שלכם חושפים.
מקורות והרחבה
- AdFection: How mercenary spyware invades victims’ devices through targeted advertisingCyberScoop
- Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary SpywareThe Citizen Lab
- CitizenLab details new spyware triggered by online advertisingEngadget
- Targeted ads installed Candiru spyware in zero-click attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
