לפי דוח של Citizen Lab, מכשירים של רשת אל-ג'זירה הודבקו ב-2024 וב-2025 בספיוור של חברת Candiru הישראלית, בלי שהמשתמשים לחצו על דבר. הווקטור היה מערך פרסום ממוקד, ולכן האירוע רלוונטי לכל ארגון שחשוף לרשתות פרסום בדפדפנים ובאפליקציות.
הפרטים
החוקרים מזהים בביטחון גבוה לפחות 45 מכשירים של אל-ג'זירה שהותקפו, ומייחסים את המבצע ל-Candiru. הגורם שהפעיל את המבצע לא זוהה. המודעות הוצבו על ידי Discover-Tech, חברת פרסום ישראלית: סקריפט קטן במודעה שלח לשרת החברה את מזהה הפרסום וכתובת ה-IP של המכשיר, והשרת החליט אם זו מטרה. רק אז נשלח קוד תקיפה לדפדפן או לאפליקציה. מכיוון שהמודעה עצמה לא הכילה קוד זדוני, רשתות הפרסום לא יכלו לזהות אותה.
החוקרים שחזרו את הספיוור ממכשיר אחד, אך לא את הניצול ששימש לחדירה הראשונית. בתחילת אוקטובר הסירו גוגל ו-IAB Europe את Discover-Tech מרשימות הספקים המאושרים, ופלטפורמות פרסום נוספות חסמו או השהו את הגישה שלה. החברה, בעלי Candiru ואל-ג'זירה לא הגיבו לפנייה של Reuters.
נקודות לשים לב
- הופעת מודעה מהמערך הזה ברשת אינה הוכחה להדבקה. הדוח מדגיש שמודעות הופיעו גם ברשתות של גופים רבים בלי קשר להדבקה.
- אם אתה בארגון בסיכון (עיתונאים, פעילים, גופים ממשלתיים), בדוק בלוגי DNS ופרוקסי את הרצף: שרת פרסום של Discover-Tech, אחריו שרת סינון של Candiru, ואחריו שרת C2.
- חסום את האינדיקטורים שפורסמו בדוח של Confiant, כולל הדומיין mtrtb[.]com, וחפש את דגימת הספיוור לפי ה-SHA-256 שבדוח.
- שקול חסימת פרסום ברמת הרשת או הדפדפן למשתמשים בסיכון גבוה, ושמור על דפדפנים ומערכות מעודכנים, כי הניצול הראשוני לא פורסם.
- מה לא נכון להסיק: שכל מי שנחשף למודעות הוא נגוע.
מקורות: Citizen Lab · Confiant · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
