Candiru تستغل الإعلانات الموجهة لاختراق الجزيرة بدون نقرة

مقدمة تحليلية

أكد Citizen Lab، مجموعة الأبحاث بجامعة تورنتو، بتاريخ 15 أكتوبر 2026، أن برمجية التجسس Candiru الإسرائيلية أصابت أجهزة شبكة الجزيرة عبر إعلانات مستهدفة، في هجمات لم تتطلب أي نقرة أو إجراء من المستخدم (zero-click). استغل المهاجمون شفرة هجوم خفية تم تشغيلها بمجرد تحميل الإعلان على الشاشة، وفي بعض الحالات، تم تحميل الإعلان بشكل غير مرئي في الخلفية. هذه هي المرة الأولى التي يتم فيها تأكيد فني علني لوصول برمجيات تجسس مرتزقة – وهي أدوات اختراق تُباع للحكومات – إلى أجهزة فعلية من خلال الإعلانات الموجهة. كانت هذه الطريقة قد وصفت سابقاً من وثائق مسربة لشركات، لكن لم تُظهر في هجوم حي حتى هذا الكشف.

استهدف الهجوم 45 جهازاً على الأقل في الجزيرة خلال عامي 2024 و2025، وربط Citizen Lab الهجمات بشركة Candiru بثقة عالية.

التحليل التقني

اعتمد الهجوم على شركة Discover-Tech الإسرائيلية، التي قدمت نفسها كشركة إعلانات رقمية عادية. حمل كل إعلان قطعة صغيرة من الشفرة، التي قامت فور تحميل الإعلان بإرسال معرف الإعلان الخاص بالجهاز وعنوان الإنترنت الخاص به بصمت إلى خادم Discover-Tech. قرر هذا الخادم ما إذا كان الجهاز ينتمي إلى هدف. إذا كان كذلك، أرسل الخادم شفرة هجوم ليعملها المتصفح أو التطبيق.

إذا لم يكن كذلك، لم يرسل الخادم شيئاً. نظراً لأن الإعلان نفسه لم يحمل شفرة هجومية، لم تتمكن شبكات الإعلانات التي قامت بتسليمه من اكتشاف أي ضرر. قدمت شبكة الجزيرة سجلات حركة المرور الخاصة بها للباحثين. أظهرت السجلات على الأجهزة المصابة الترتيب نفسه في كل مرة: اتصال أولي بخادم إعلانات Discover-Tech، ثم خادم Candiru يقوم بفحص الجهاز، ثم خادم قيادة وتحكم يدير برمجية التجسس.

استعاد الباحثون برمجية التجسس نفسها من جهاز واحد، لكن لم يتمكنوا من استعادة الاستغلال الذي يخترق المتصفح أو التطبيق لتثبيتها.

• عينة برمجية التجسس المستعادة (SHA-256): 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8
• نطاق خادم إعلانات Discover-Tech: mtrtb[.]com

امتد نطاق Discover-Tech بعيداً عن الجزيرة. على إحدى منصاتها، قدمت الشركة ما يقرب من 4 مليارات عرض إعلان بين مارس ويونيو 2026. ظهرت الإعلانات التي تحمل شفرة الاستدعاء الخفية في حوالي 75,000 تطبيق هاتف و120,000 موقع ويب. قدرت شركة Confiant، وهي شركة أمريكية لأمن الإعلانات تعاونت في التحقيق، حجم حركة مرور Discover-Tech بحوالي 10 ملايين إعلان يومياً.

ظهرت الإعلانات على شبكات حكومات ومؤسسات كبرى، بما في ذلك حلف الناتو، والأمم المتحدة، وهيئات الاتحاد الأوروبي، ومكاتب حكومية في حوالي 24 دولة، ومصنعي الرقائق، ومؤسسات إخبارية.

السياق وتأثير السوق

Candiru هي واحدة من الشركات المعروفة في تجارة برمجيات التجسس. وضعتها الولايات المتحدة على قائمة سوداء تجارية في عام 2021 بسبب برمجيات تجسس استُخدمت لاستهداف مسؤولين حكوميين وصحفيين ونشطاء. في عام 2025، استحوذت شركة الاستثمار الأمريكية Integrity Partners على أصولها، ونُقلت إلى شركة جديدة يُقال إنها Integrity Labs، والتي لا تشملها العقوبات. Discover-Tech، المسجلة في إسرائيل عام 2020، كان يقودها رئيسها التنفيذي ديكل بوني. أدرجتها Google والمجموعة التجارية للإعلانات IAB Europe كبائع إعلانات معتمد من عام 2020 وحتى أكتوبر الجاري.

بعد مشاركة الباحثين لنتائجهم، أزالت Google وIAB Europe شركة Discover-Tech من قوائم البائعين الخاصة بهما في أوائل أكتوبر، بحسب Citizen Lab. قطعت Google وصول الشركة إلى بورصات الإعلانات الخاصة بها، وأزالتها Beeswax، وأوقفت Vungle وصولها للمراجعة، وحظرت Eskimi حساباتها. صرحت Google لوكالة رويترز أنها عملت مع الباحثين وأزالت Discover-Tech «لانتهاكها المنهجي لسياساتنا». قالت IAB Europe إنها علقت الشركة بعد أن وجد تدقيق انتهاكات للسياسة. صرحت Comcast، المالكة لـ Beeswax، أنها اتخذت إجراءً «بعد النشاط الأخير». يُشار إلى أن موظفي الجزيرة استُهدفوا سابقاً. في عام 2020، تم اختراق عشرات من هواتف iPhone لصحفييها ببرمجية Pegasus التابعة لمجموعة NSO، في عملية مختلفة استخدمت طريقة أخرى واستهدفت 36 صحفياً. حذر باحثو الأمن لسنوات من إمكانية تحويل نظام شراء الإعلانات لهذا الاستخدام. في ديسمبر 2025، ربطت وثائق مسربة شركة Intellexa المصنعة لبرامج التجسس بأداة إعلانية مماثلة تسمى Aladdin، على الرغم من عدم وجود إصابة حية مؤكدة من خلالها.