الإعلانات الموجهة وبرمجيات التجسس للهواتف المحمولة: ما تظهره التقارير الأخيرة فعلاً

ماذا حدث

سلطت منشورات تكنولوجية متخصصة، بما فيها Hacker وwtftime، الضوء على تقارير تفيد باستخدام شبكات التسويق الرقمي التجارية كأداة لتنفيذ عمليات سيبرانية هجومية. ووفقاً لهذه الروايات، عملت جهات التهديد من خلال أنظمة المزايدة اللحظية ووسطاء الإعلانات لتوجيه نصوص إعلانية خبيثة مباشرة إلى أهداف محتملة. وبدلاً من تنفيذ حملات واسعة للإعلانات الخبيثة تستهدف الاحتيال الجماعي أو سرقة بيانات الاعتماد، جرى ضبط آلية التوصيل لتستهدف شرائح ديموغرافية ضيقة أو أجهزة محمولة بعينها. ويعتمد هذا النشاط بحسب التقارير على معايير الاستهداف المضمنة داخل أطر العرض البرمجي المعتادة. فمن خلال شراء مساحات إعلانية عبر شبكات تعرض إعلاناتها على مواقع إلكترونية وتطبيقات هواتف شائعة، يمكن للمشغلين إيصال حمولات مخصصة إلى بيئة متصفح المستخدم النهائي دون الحاجة إلى تفاعل منه. وتشير التقارير الإعلامية إلى أن مسار العمل هذا صُمم لتقديم ثغرات للمتصفح من فئة «صفر نقرة» أو «نقرة واحدة» قادرة على تثبيت حزم برمجيات تجسس تجارية. وعقب هذا الكشف، تركز الانتباه على الشبكة غير الشفافة لمنصات تبادل الإعلانات، وسماسرة البيانات، ومنصات جانب الطلب التي تتعامل مع تريليونات المزايدات المصغرة يومياً. واستجابة للمخاوف المتعلقة بمسارات المراقبة القائمة على الإعلانات، بدأ مسؤولو الشبكات وهيئات السلامة في هذا القطاع بتدقيق حسابات الوسطاء لرصد الكيانات الإعلانية المخادعة وإزالتها. ومع ذلك، تظل التفاصيل التشغيلية الدقيقة، بما في ذلك الحملات المحددة ومؤشرات الإسناد، محدودة عبر القنوات المفتوحة.

ما نعرفه

توفر آليات سلسلة توريد الإعلانات البرمجية الحديثة رؤية هيكلية واسعة لأجهزة المستهلكين. فعندما يفتح شخص ما تطبيقاً على الهاتف أو يزور صفحة ويب تعرض إعلانات صورية، تُجرى مزايدة لحظية في أجزاء من الألف من الثانية. وخلال هذه العملية، تبث طلبات المزايدة بيانات وصفية محددة إلى العشرات أو المئات من منصات الإعلان. وغالباً ما تتضمن هذه البيانات الوصفية لتيار المزايدة معرفات الإعلانات على الهاتف، وبيانات تفصيلية لتحديد الموقع الجغرافي، ونماذج الأجهزة، وإصدارات أنظمة التشغيل، ودقة الشاشة، وعناوين بروتوكول الإنترنت. وقد لاحظ باحثو الأمن السيبراني منذ فترة طويلة أن الوصول إلى ملفات تعريف غنية ضمن تيار المزايدات ينشئ مساراً متأصلاً للمراقبة. ففي التسويق الرقمي التقليدي، تتيح هذه القياسات عن بعد تقديم عروض ترويجية فائقة الاستهداف بناءً على الموقع الجغرافي وسجل السلوك. أما في سياق هجومي، فإن منطق الاستهداف المطابق يسمح للجهة الفاعلة بشراء مرات ظهور موجهة حصرياً لنطاق برج خلوي واحد، أو شبكة فرعية محددة، أو معرفات أجهزة بعينها. وإذا كان المهاجم يعرف معرف الإعلانات الخاص بهاتف الهدف أو نطاق عناوين IP التابع له، فبإمكانه تقديم مزايدات انتقائية على مرات الظهور الإعلاني المطابقة. وبمجرد أن تفوز مساحة ظهور موجهة في المزايدة، تمنح منصة تبادل الإعلانات إذناً بتنفيذ تعليمات برمجية داخل متصفح الهدف أو حاوية العرض داخل التطبيق. وتنفذ الإعلانات البرمجية القياسية تعليمات JavaScript لعرض الرسوم المتحركة، وتتبع المشاهدات، وجمع التحليلات الأساسية. ويمكن للمهاجم الذي يستغل هذا المسار تضمين نصوص برمجية لأخذ البصمات داخل التصميم الإعلاني. وتستجوب هذه النصوص بيئة المتصفح بحثاً عن تفاصيل برمجية دقيقة، للتحقق من أن الجهاز يطابق الشخص المستهدف قبل إطلاق حمولة الاستغلال. وتتجنب هذه المنهجية الكشف عن ثغرات «اليوم صفر» لباحثي الأمن أو أنظمة الفحص الآلية المعزولة. فإذا لم يستوفِ الجهاز الزائر معايير جمع البصمات، يعرض النص الإعلاني إعلاناً حميداً، دون أن يترك أي مؤشرات غير طبيعية واضحة. أما إذا تطابق الملف التعريفي، فيحاول النص تنفيذ ثغرات على مستوى المتصفح لتحقيق تصعيد في الامتيازات ونشر أدوات المراقبة. ورغم أن غرف المقاصة ومشغلي المنصات في هذا القطاع يكتشفون ويعطلون الحسابات المخادعة بصورة روتينية، فإن الحجم الهائل للمعاملات اللحظية يعقد مهام الكشف الاستباقي.

ما لا نعرفه

لا تزال هناك ثغرات كبيرة فيما يتعلق بنطاق العمليات الموصوفة في التقارير الصحفية الأخيرة وتكوينها التقني وإسنادها. فالتقارير العامة التي جمعها Hacker وwtftime لا تنشر أدلة تشفير كاملة، أو حزم بيانات خام، أو شفرات مصدرية مسلحة. ونتيجة لذلك، لا يمكن للمحللين الخارجيين تأكيد أي منصات برمجيات تجسس محددة أو منتجات لموردين معينين جرى نشرها عبر هذه الشبكات الإعلانية. وبالمثل، لم يتأكد عدد الأجهزة الفردية التي اختُرقت بنجاح من خلال آلية التوصيل هذه. ولا تثبت تقارير المصادر المفتوحة ما إذا كانت هذه التقنية قد استُخدمت في عمليات استخباراتية نشطة واسعة النطاق، أم أنها مثلت إثباتات مفهوم تكتيكية محدودة. كما أن هويات الكيانات التي قدمت المزايدات الفائزة، واشترت بيانات القياس عن بعد الخاصة بالأهداف، وأدارت خوادم الحملات الخبيثة، لم تُكشف في وثائق تقنية يمكن التحقق منها. علاوة على ذلك، لم تُربط الثغرات المحددة المستغلة خلال تسلسلات تحميل الإعلانات هذه علناً بمعرفات الثغرات والتعرضات الشائعة. ومع أن التقارير تفترض إيصالاً من فئة «صفر نقرة» أو يتطلب تفاعلاً منخفضاً، فإن التوثيق التقني الذي يفصل أخطاء تلف الذاكرة، أو الهروب من بيئات العزل، أو تصعيد امتيازات النواة المستخدمة في هذه الحوادث يظل غير متاح. ولا يمكن استكمال التحقق التقني المستقل حتى تتاح سجلات الطب الشرعي الرقمي للأنظمة المضيفة وبيانات القياس عن بعد الشاملة للأجهزة الطرفية للتحليل.

الادعاءات

تؤكد التغطيات عبر المنافذ التقنية أن موردي برمجيات التجسس التجارية دمجوا منصات تبادل الإعلانات البرمجية مباشرة في حزم التسليم الجاهزة الخاصة بهم. وتصف هذه الروايات قدرة جاهزة للاستخدام يحدد فيها العملاء رقم هاتف أو معرفاً إعلانياً أو نطاقاً جغرافياً دقيقاً، لتقوم بعدها أنظمة مؤتمتة بالمزايدة على مرات الظهور الصوري ذات الصلة لإيصال تعليمات برمجية خبيثة. ويتمثل الادعاء الأساسي في أن أدوات المراقبة المتقدمة لم تعد تعتمد فقط على التصيد الاحتيالي عبر الرسائل القصيرة، أو الروابط الخبيثة، أو التوجيه المخترق عبر شبكات الاتصالات. ووفقاً لهذه الروايات، يوفر الأسلوب القائم على الإعلانات للمشغلين طبقة من التخفي تفوق أساليب «حفرة الماء» التقليدية. ففي هجمات حفرة الماء التقليدية، يخترق المهاجم موقعاً إلكترونياً مشروعاً يتردد عليه الأهداف، مما يعرض الحمولة الخبيثة لأي زائر ويزيد من احتمال الاكتشاف المبكر. وتدعي الروايات أن الاستفادة من منصات تبادل الإعلانات تسمح للمشغلين بفرض مرشحات استبعاد صارمة، تضمن عدم نشر ثغرات «اليوم صفر» إلا عند استيفاء معايير دقيقة للبصمة الرقمية. وتشير الفرضية المنافسة المتداولة في هذا المجال إلى أن مشغلي المراقبة التجارية استغلوا منصات المزايدة اللحظية ونصوصاً برمجية مخصصة لجمع البصمات الرقمية للأجهزة المحمولة وإطلاق ثغرات «صفر نقرة» بمجرد تحميل مرات الظهور الإعلاني الخبيثة. وفي هذا الإطار، تعمل شبكة الإعلانات كطبقة نقل مؤتمتة تماماً، تخفي هوية المهاجم خلف وسطاء إعلانيين شرعيين.

ما تم التحقق منه

في الوقت الحالي، يظل الادعاء الأساسي القائل بأن برمجيات تجسس تجارية قد نُشرت عبر مزايدات الإعلانات الموجهة في الحالات المحددة التي غطاها Hacker وwtftime غير مدعوم بأدلة تقنية عامة. ومع أن كلا المصدرين الإعلاميين يوردان تقارير عن هذه الظاهرة، فإن تغطيتهما تستند إلى تأكيدات خارجية ومعلومات استخباراتية غير مباشرة من هذا القطاع، بدلاً من تقارير جنائية رقمية منشورة على مستوى الأنظمة المضيفة أو تحليلات للهندسة العكسية يمكن التحقق منها. أما ما تم التحقق منه بشكل مستقل من خلال إجماع واسع في هذا القطاع فهو الجدوى النظرية والعملية لاستخدام الإعلانات البرمجية لجمع البصمات الرقمية للأجهزة بصورة هجومية. فقد أثبت باحثون في مختبرات أمن سيبراني أكاديمية وتجارية أن بيانات تيار المزايدة تسرب معلومات قياس حساسة، كما تسيء حملات الإعلانات الخبيثة استخدام التصاميم الإعلانية بشكل متكرر لإجراء عمليات إعادة توجيه ضارة. كما أن القدرة التقنية على فحص بيئات المتصفح عبر JavaScript القائم على الإعلانات موثقة جيداً في قطاع أمن المعلومات. ومع ذلك، فإن الخطوة التي تربط النشر عبر الإعلانات البرمجية مباشرة بحالات عدوى مؤكدة ببرمجيات تجسس تجارية تتطلب أدلة أولية ليست متاحة للعامة حتى الآن. فلا توجد تقارير عامة مؤكدة لانهيار الأنظمة، ولا ملفات استخبارات تهديدات غير منقحة، ولا إفادات تأكيد من الموردين مرتبطة بالحملة المذكورة. وبالتالي، يُقيّم هذا الادعاء حالياً بأنه غير مثبت، مع بقاء المعلومات المتاحة غير كافية لتأكيد إيصال نشط لبرمجيات تجسس عبر هذه الآلية الدقيقة.

تفسيرات متنافسة

• محتمل: استغل مشغلو المراقبة التجارية منصات تبادل الإعلانات القائمة على المزايدة اللحظية ونصوصاً برمجية مخصصة لأخذ البصمات الرقمية للأجهزة المحمولة المستهدفة وإطلاق ثغرات «صفر نقرة» بمجرد تحميل مرات الظهور الإعلاني الخبيثة.

ما قد يغير تقييمنا

إن حدوث تحول قاطع في التقييم من غير مثبت إلى تم التحقق منه سيتطلب وصولاً مباشراً إلى أدلة تقنية أولية. وسيلزم أن تشمل أدلة الطب الشرعي الرقمي سجلات أجهزة مخترقة تظهر آثاراً في الذاكرة لتنفيذ ثغرات بعد عرض مساحة إعلانية مباشرة داخل حاوية عرض في تطبيق أو متصفح هاتف محمول. ومن شأن هذه السجلات أن تثبت الصلة السببية المباشرة بين عرض الإعلان وتنفيذ تعليمات برمجية غير مصرح بها. بالإضافة إلى ذلك، يتطلب التحقق استخراج النصوص البرمجية للتصاميم الإعلانية الخبيثة وتحليلها بشكل مستقل. كما أن الوصول إلى سلسلة الحمولة البرمجية الكاملة، بما في ذلك نصوص أخذ البصمات، وخوادم التجهيز البعيدة، والملفات الثنائية النهائية لبرمجيات المراقبة، سيتيح للمحللين التحقق مما إذا كانت الأداة تطابق تواقيع برمجيات تجسس تجارية معروفة. ومن شأن التقارير الجنائية المعززة من منظمات بحثية موثوقة ومستقلة في مجالي الحقوق الرقمية والأمن السيبراني أن توفر التحقق متعدد الأطراف اللازم. وعلى الجانب البرمجي الإعلاني، سيتعزز التأكيد من خلال تقارير رسمية لما بعد الحادثة أو إشعارات شفافية عامة من منصات تبادل الإعلانات المتأثرة. ومن شأن التوثيقات المفصلة للحادثة التي تحدد حسابات المعلنين المخادعة، والوسطاء الماليين المستخدمين لتأمين المزايدات، ومسارات المساحات الإعلانية التي سلكتها التصاميم الخبيثة، أن تؤكد الآليات التشغيلية. ومن دون هذه الأدلة الأولية، تظل الرواية احتمالاً تقنياً ذا مصداقية ولكنها تفتقر إلى دعم قاطع بالأدلة.