إيكاد تكشف شبكة إسرائيلية تستهدف العرب عبر إعلانات خبيثة
وظيفة في قطر براتب مرتفع، وقرض فوري، وفرصة عمل في اليابان.. كانت هذه بعض الإعلانات الممولة التي ظهرت لمستخدمين عرب أثناء تصفحهم اليومي لفيسبوك وإنستغرام، وبدت كأنها جزء من موجة التوظيف المعتادة على تلك المنصات.
لكن تتبعنا لهذه الإعلانات كشف أن عددًا كبيرًا من الصفحات التي تقف خلفها تدار من داخل إسرائيل، فيما تقود الروابط المرفقة بها إلى بنية تقنية تحمل مؤشرات مرتبطة بهجمات سيبرانية وبرمجيات خبيثة تعمل عبر منظومة "Malvertising" أو الإعلانات الخبيثة.
كيف بدأنا رحلة كشف الشبكة؟
جمع فريق "إيكاد" الصفحات التي تكرر نشر هذا النوع من الإعلانات، وبعد تحليل محتواها بصورة أولية، لاحظنا تشابهًا واضحًا بينها في التصميمات والأسماء وطبيعة المحتوى المنشور، كما كشفت بيانات الشفافية في "فيسبوك" أن معظم تلك الصفحات أنشئت خلال عامي 2024 و2025.
ومع توسيع نطاق التتبع، توصلنا إلى رصد 61 صفحة تنشط في نشر إعلانات إسرائيلية ممولة عبر منصات ميتا، كما اكتشفنا أن 38 صفحة كانت تعيد نشر الإعلانات نفسها في أكثر من دولة عربية، قبل استبعاد الصفحات المكررة والوصول إلى العدد النهائي للشبكة.
آلاف الإعلانات استهدفت دولًا عربية
وأظهرت بيانات الإعلانات التي جمعناها أن الصفحات الـ "61" نشرت ما يقرب من 140 ألف إعلان ممول استهدفت بها الدول العربية خلال فترة الرصد. وتصدرت مصر قائمة الدول الأكثر استهدافًا بـ "28" صفحة نشرت أكثر من 33 ألف إعلان، تلتها الأردن بـ "25" صفحة ونحو 41 ألف إعلان، ثم لبنان بـ "24" صفحة وما يناهز 35 ألف إعلان، والعراق بـ"21" صفحة و45 ألف إعلان تقريبًا.
كما لاحظنا أن الإعلانات نفسها كان يعاد صياغتها ونشرها في أكثر من دولة عربية مع تعديلات طفيفة في اللغة أو التصميم، بينما بقيت الرسائل الأساسية متشابهة، وهو ما عزز فرضية وجود إدارة مركزية للحملة.
ماذا يحدث بعد الضغط على الإعلان؟
ومع شروع فريقنا التقني في فحص الروابط المرتبطة بالإعلانات، لاحظنا أنها لا تقود إلى جهات توظيف معروفة، بل إلى مواقع إلكترونية حديثة التسجيل، مثل "morehackz.com" و"frantip.com" و"wysing.com" وغيرها.
كما كشف التحليل أن عددًا من تلك المواقع استخدم بنية مشتركة وخوادم أسماء مرتبطة بخدمات مثل "Cloudflare" و"NSOne"، ما يشير إلى إدارة تقنية متقاربة للصفحات المختلفة. كذلك أظهرت نتائج الفحص الرقمي وجود تكتيكات اختراق في الروابط، حيث يوجه كل إعلان المستخدم عبر إعادة توجيه خفية إلى نطاقات "SSL" حديثة التسجيل لإظهار المواقع كأنها آمنة وشرعية.
كما لاحظنا أن بعض الروابط يبدأ بتنزيل ملفات تنفيذية وبرمجيات خبيثة موقعة رقميًا عبر تقنيات "Code Signing"، وهو ما يساعدها على تجاوز بعض برامج الحماية. وفي بعض الحالات، وجدنا أنه يكفي أن يتفاعل المستخدم مع الإعلان أو يضغط على متابعة أو عرض التفاصيل حتى تبدأ سلسلة إعادة التوجيه نحو تلك المواقع.
كيف تتحرك البرمجيات داخل الجهاز المستهدف؟
وكشف التحليل الرقمي أن الروابط تتبع بنية تقنية متكررة تبدأ بفحص بيئة الجهاز ومحاولة التأكد مما إذا كانت تعمل داخل أنظمة تحليل أو مراقبة أمنية، مع تجنب العمل داخل بيئات "sandbox" المستخدمة لفحص البرمجيات الخبيثة، كما رصدنا استخدام تقنيات "Execution Guardrails"، التي تسمح للبرمجية بتعطيل نفسها أو تغيير سلوكها عند اكتشاف بيئة تحليل.
كذلك لاحظ الفريق التقني في "إيكاد" أن بعض الملفات تستخدم آليات فك تشفير ذاتي "Deobfuscate/Decode" لإخفاء أجزاء من الشيفرة البرمجية لحين تشغيلها داخل الجهاز المستهدف، ما يصعب عملية اكتشافها من قبل أنظمة الحماية.
وحتى إذا لم تكتشف البرمجية أدوات حماية، فإنها تبدأ بإنشاء قنوات اتصال مع خوادم تحكم وسيطرة "C2" عبر بروتوكولات "HTTP" و"DNS"، مع استخدام تقنيات تشفير وإخفاء داخل الطلبات المرسلة، بينها ترميز البيانات باستخدام "Base64". كما رصدنا استخدام آليات توليد نطاقات ديناميكية "DGA" تسمح بتغيير عناوين الخوادم باستمرار لتفادي الحظر وإطالة عمر الهجوم.
وأظهرت النتائج أن بعض الروابط كانت قادرة على تنزيل حمولات إضافية "Payloads" وإرسال بيانات من الجهاز المستهدف عبر القنوات نفسها، في عملية تهريب بيانات "Exfiltration" تتقاطع مع مراحل موثقة ضمن دليل "MITRE ATT&CK" الخاص بتصنيف الهجمات الإلكترونية.
استهداف دقيق
وأثناء تتبعنا، أظهرت أدوات الاستهداف داخل منصات "ميتا" قدرة الحملة على توجيه الإعلانات بحسب اللغة والموقع الجغرافي والاهتمامات، ما سمح بوصولها إلى فئات محددة بدقة في عدة دول عربية.
ويعرف هذا الأسلوب في بعض الأدبيات التقنية باسم الاستخبارات الإعلانية أو "Ad Int"، وهو أسلوب يعتمد على استغلال البنية الإعلانية في منصات مثل فيسبوك وإنستغرام ولينكد إن لتحديد الفئات المستهدفة بدقة، ثم دفعها نحو روابط تحمل مؤشرات اختراق أو جمع بيانات.
ويختلف هذا النموذج عن حملات التصيد التقليدية، لأنه يمنح القائمين على الحملة قدرة على تنفيذ استهداف دقيق، خصوصًا مع تكامل أدوات الإعلان مع تقنيات تحليل البيانات والذكاء الاصطناعي.
تقاطعات مع تقارير إسرائيلية سابقة
ومن خلال مراجعتنا للتقارير السابقة المتعلقة بهذا النوع من الهجمات، وجدنا تقاطعات بين ما رصدناه وبين ما نشرته وسائل إعلام إسرائيلية وأجنبية منذ 2023 حول استخدام الإعلانات الممولة في نشر برمجيات تجسس أو اختراق.
ومن بين تلك التقارير ما نشرته صحيفة "هآرتس" العبرية حول نظام يحمل اسم "Aladdin"، قيل إنه طور عام 2022 ويستخدم الإعلانات داخل منصات التواصل الاجتماعي لاستهداف المستخدمين واختراق أجهزتهم وجمع البيانات.
فيما تحدثت تقارير أخرى عن استخدام إعلانات وظائف وهمية لنشر برمجيات خبيثة عبر وسائل التواصل الاجتماعي، بعضها يعتمد على أدوات قادرة على تجاوز الدفاعات التقليدية واستخدام برمجيات موقعة رقميًا لتقليل فرص اكتشافها.
كما أشارت تقارير أخرى إلى محاولات استغلال الإعلانات الممولة لإصابة الأجهزة بمجرد مشاهدة الإعلان، في نموذج يعتمد على دمج الإعلانات الرقمية بعمليات التجسس والاختراق السيبراني.
ومن الضروري الإشارة هنا إلى أن ذلك لا يقطع بارتباط الشبكة التي رصدناها بهذه المشاريع، لكن التشابه في أنماط العمل والبنية التقنية والاستهداف يضع الحملة ضمن السياق نفسه، المرتبط باستخدام الإعلانات الممولة كأداة اختراق في العمليات السيبرانية.