عاجل.. الآن نيوز تنشر تفاصيل أخطر حملة سييرانية تقودها إسرائيل للتجسس على العرب

منذ عام 2022 وحتى الآن تحدثت عدة تقارير إخبارية متخصصة عن استخدام إسرائيل برمجيات خبيثة تنشرها عبر الإعلانات الممولة للتجسس على مستخدمي شبكات الإنترنت. كما كشفت صحيفة هآرتس الإسرائيلية في أبريل 2024 عن تطوير إسرائيل نظام اختراق يسمى “Aladdin” لنشر إعلانات منها الوظائف الوهمية على منصات التواصل، يمكنها اختراق أجهزة المستخدمين وجمع بياناتهم وقد حاولت تل أبيب التكتم على قدرات هذا النظام إلا أن بعض التقارير المتخصصة أشارت إلى قدرته على إصابة الهاتف بمجرد مشاهدة الإعلان فقط حتى قبل الضغط عليها

نوضح بداية أن هذه الآلية التي اتبعتها إسرائيل -وفق ما أشارت إليه التقارير الإخبارية- تقع ضمن ما يُسمى بالإعلانات الخبيثة (Malvertising).

وهي إعلانات تبدو شرعية في ظاهرها، لكنها تُخفي برمجيات خبيثة وشيفرات ضارة تُصيب أجهزة المستخدمين دون أي إنذار.ومنذ عام 2023 زاد الاعتماد على هذه الهجمات بقوة بفضل تقنيات الذكاء الاصطناعي والاستهداف المتقدّم.

كما أن تلك الإعلانات نفسها يمكن أن تتحول إلى أدوات تجسس دقيقة، تستهدف أجهزة بعينها وتجمع البيانات منها، وهو ما يسمى بالاستخبارات الإعلانية (Ad Int).تلك الصفحات والإعلانات لاحظنا انتشارها على نطاق واسع في مختلف أرجاء الوطن العربي.

وتبين أن بعض الصفحات كانت مخصصة لاستهداف دول محددة فيما قامت صفحات أخرى باستهداف المستخدمين في أكثر من دولة عربية.

وبالتحليل، وجدنا أن أعلى الدول استهدافًا من تلك الإعلانات والصفحات كانت مصر والأردن ولبنان والعراق

وبالتدقيق بصريًا في هذه الصفحات والإعلانات وتحليلها بشكل مكثف لاحظنا تشابهها وتشاركها في عدة عوامل، منها:

جميع هذه الصفحات تُدار من داخل إسرائيل، كما أن معظمها صفحات جديدة مزيفة تم إنشاؤها بتواريخ متقاربة بين عامي 2024 و2025.

اعتمادها على هوية بصرية متشابهة، كاستخدام نفس الألوان أو الشعارات أو الخط أو التصميم العام، ما يعزز فرضية انتمائهم جميعًا للمصدر نفسه وللأهداف ذاتها.

كما تشابهت الصفحات جميعها في الأسماء، فخلال تحليلنا رصدنا تكرار كلمات معينة في أسماء الصفحات واتباع قوالب مشتركة في التسمية

لم يتوقف التشابه على ذلك فحسب، بل أنها تشابهت في نوع الوظائف المستهدفة في الإعلانات، واعتمادهم جميعًا على فكرة الاحتياج المادي للمستخدمين العرب، واللعب على هذا الوتر من خلال الترويج لعدة أمور، منها:

فرص عمل في أوروبا وأمريكا واليابان وقطر.

وظائف في القطاع العسكري وقطاع الهجرة.

كورسات تعلمية وهمية.

قروض مالية كبيرة بدون ضمانات

وبجانب التشابهات السابقة، لا سيما وعبر برامج التحليل المتخصصة، ارتباط هذه الصفحات الرئيسية الخاصة بهم

ليشير هذا التشابه بين العناوين والترابط بين الصفحات إلى اسم ينتمون جميعًا لمصدر واحد ولهم هدف محدد.

لتدفعنا هذه الدلالات للتحليل أكثر للتحليلات والروابط المتعلقة بها، فما الذي كشفه التحليل ولماذا تحتاج الإعلانات الإسرائيلية وروابطها؟

هذا التشابه بين الإعلانات والترابط بين الصفحات يُشير إلى أنهم جميعًا ينتمون جميعًا لمصدر واحد ولهم هدف محدد، دفعنا للتعمق أكثر وتحليل الإعلانات والروابط المرتبطة بها

فما الذي كشفه التحليل التقني لتلك الإعلانات الإسرائيلية وروابطها؟

أول ما لاحظناه في التحليل التقني للإعلانات هو أن الروابط التي تستخدمها ويتم الوصول لها بعد النقر على الإعلان، تعمل داخل مجموعات تشترك في استخدام نفس خوادم الأسماء (Name Servers) وهو بمثابة الدليل الذي يتحكم في توجيه الزوار إلى الموقع المقصود من الإعلان.

هذا التشابه في استخدام ذات خوادم الأسماء يُعتبر مؤشرًا تقنيًا قويًا على أن هذه المواقع التي يتم استخدام روابطها في الإعلانات، تتصف بـ:

الوقوع تحت إدارة مركزية:غالبًا ما تكون مملوكة أو مدارة من جهة واحدة أو شبكة مترابطة.

بنية تحتية موحدة: لتسهيل التحكم وتوسيع انتشار الإعلانات، مما يجعل من السهل تبديل الروابط داخل الحملات بسرعة دون إعادة تصميم أو إعداد خوادم

ما توصلنا إليه من التحليل التقني لهذه الإعلانات الإسرائيلية لم يتوقف على النتائج السابقة فحسب بل كشفنا أمورًا أكثر خطورة..

فبتحليل مئات الروابط من تلك الإعلانات لاحظنا أنها تقود إلى شبكةٍ من المواقع الخبيثة.

هذه المواقع اتضح أنها أُنشئت خصيصًا لاستدراج الضحايا وإصابة أجهزتهم ببرمجيات ضارّة بمجرد الدخول عليها

وعبر التحليل المكثف لتلك المواقع والروابط لاحظنا استخدامهم جميعًا تركيبة شبه متطابقة من تكتيكات الاختراق المعروفة في حملات الاختراق، منها:

استخدام شهادات أمان قصيرة المدى توحي بأمان الموقع للمستخدمين.

استخدام ملفات وتقنيات لخداع برامج الحماية وتجاوزها.

كما وجدنا أن روابط الإعلانات ذاتها تعتمد على تقنيات تسمى إعادة التوجيه الخفية، التي يمكنها بنقرة واحدة على زر مثل “متابعة” أو “عرض التفاصيل” تحميل ملف ملغم بالفيروسات دون علم المستخدم

وبجانب ما سبق كشف تحليلنا أن تلك الروابط تمرّ بـ6 مراحل منظمة، لتنفيذ حملتها البرمجية الخبيثة.

تلك المراحل تتطابق مع المراحل الواردة في دليل مراحل الهجوم الإلكتروني “MITRE ATT&CK” العالمي الذي يوثّق أساليب وتكتيكات القراصنة في الهجمات السيبرانية، من لحظة بدء الهجوم حتى نهايته

وتهدف هذه المراحل الـ6 في النهاية إلى:جذب الضحية ثمّ تخطّي طبقات الحماية.الاختباء واستمرار الاتصال حتى في حال حُظِر نطاق أو عنوان IP.تحميل أدوات إضافيّة وسحب بيانات من الجهاز دون علم المستخدم

لنستنتج في نهاية تحليلنا: كشف فريق إيكاد 61 صفحة على فيسبوك تُدار من داخل إسرائيل، بثّت أكثر من 140 ألف إعلان خبيث استهدفت بها مستخدمي منصات Meta في الدول العربية. أظهرت الإعلانات والصفحات هوية بصرية موحدة، وأساليب إغراء مكررة مثل عروض العمل والقروض والكورسات، بهدف استدراج المستخدمين إلى روابط ضارة. توصل فريقنا إلى أن تلك الروابط تعمل ضمن بنية تحتية مركزية، تشترك في خوادم أسماء واحدة، وتُدار بطريقة تُتيح تبديل الروابط بسهولة وتنفيذ هجمات منسقة على نطاق واسع. الإعلانات تقود المستخدمين إلى مواقع خبيثة يمكنها تجاوز أنظمة الحماية وسحب البيانات وتحميل ملفات خبيثة دون أن يشعر بها المستخدم. لتؤكد جميع هذه المؤشرات أننا أمام حملة إعلانات خبيثة متكاملة، تستهدف مستخدمي منصات Meta في العالم العربي، وتعمل عبر شبكة تقنية منسّقة هدفها اختراق أكبر عدد ممكن من الأجهزة بأقل تكلفة وأقصى فعالية.