İnternet reklamları üzerinden gerçekleştirilen yeni bir sıfır tıklama casus yazılım saldırısı ortaya çıkarıldı. Citizen Lab ve Confiant araştırmacıları, İsrail merkezli Discover-Tech’in dijital reklam altyapısını kullanarak milyonlarca kullanıcıyı takip edebildiğini ve seçilen gayelere Candiru casus yazılımının bulaştırılmasına aracılık ettiğini tespit etti.

Sistemin en dikkat alımlı yanı ise kullanıcının reklama tıklamasına gerek olmaması. Araştırmacılara nazaran hedeflenen aygıtta reklamın yüklenmesi, hücum zincirinin başlaması için kâfi olabiliyor.

Reklama Tıklamaya Bile Gerek Yok

Toronto Üniversitesi bünyesindeki Citizen Lab ile reklam güvenliği şirketi Confiant tarafından yürütülen araştırma, çevrim içi reklam sistemlerinin casus yazılım dağıtmak için nasıl kullanılabildiğini ortaya koydu.

Araştırmacıların AdFection ismini verdiği formülde Discover-Tech, internet siteleri ve uygulamalarda gösterilen reklamları kullanarak aygıtlara ulaşabiliyor.

Bir reklam yüklendiğinde Discover-Tech sunucularıyla temas kuruluyor ve aygıtla ilgili çeşitli bilgiler aktarılabiliyor. Kullanıcı amaç olarak seçilmemişse akın kodu gönderilmiyor. Fakat seçilmiş bir maksat kelam konusu olduğunda sunucu aygıta özel kod döndürebiliyor ve hücum rastgele bir kullanıcı etkileşimi olmadan ilerleyebiliyor.

Başka bir tabirle kullanıcının kontağa tıklaması, belge indirmesi yahut kuşkulu bir uygulama yüklemesi gerekmiyor. Hedefe özel hazırlanan reklamın aygıtta görüntülenmesi bile kâfi olabiliyor.

Citizen Lab, bunun amaçlı reklamlar üzerinden gerçekleştirilen sıfır tıklama casus yazılım ataklarının kamuya açık birinci teknik doğrulaması olduğunu belirtiyor.

120 Binden Fazla Site ve 70 Binden Fazla Uygulamada Reklam Gösterildi

Discover-Tech’in faaliyetlerinin ölçeği de epey dikkat alımlı.

Citizen Lab, Mart-Haziran 2026 arasındaki yaklaşık dört milyar reklam teklif kaydını inceleyerek Discover-Tech reklamlarının 120 binden fazla internet sitesinde ve 70 binden fazla taşınabilir uygulamada görüntülendiğini tespit etti.

Confiant ise şirketin yaklaşık günde 10 milyon reklam gösterimi gerçekleştirdiğini iddia ediyor.

Ancak burada kıymetli bir ayrım bulunuyor. Discover-Tech reklamıyla karşılaşan herkes casus yazılımla enfekte olmadı. Reklam gösterimlerinin büyük kısmı kullanıcıların ve aygıtların profillenmesi gayesiyle kullanılırken sadece belli gayelere atak kodu gönderildiği belirtiliyor.

Araştırmacılara nazaran reklamlar IP adresleri, reklam kimlikleri, çerezler ve aygıt özellikleri üzere bilgilerin toplanmasına imkan verebiliyor. Böylelikle milyonlarca aygıt arasından belli kullanıcıların tespit edilmesi ve hedeflenmesi mümkün hale geliyor.

Citizen Lab ayrıyeten Discover-Tech altyapısının taşınabilir kullanıcıların reklam kimliklerini telefon numaralarıyla eşleştirmeye çalışan farklı bir tehdit aktörü tarafından da kullanıldığını tespit etti.

Al Jazeera’daki En Az 45 Cihaz Hedef Alındı

Saldırıların sadece teorik olmadığı da doğrulandı.

Citizen Lab, 2024 ve 2025 yıllarında Al Jazeera bünyesindeki en az 45 cihazın Discover-Tech reklamları üzerinden gerçekleştirilen sıfır tıklama taarruzlarıyla gaye alındığını açıkladı.

Araştırmacılar, taarruz sırasında elde edilen ağ kayıtlarında aygıtların evvel Discover-Tech altyapısıyla, akabinde Candiru’ya bağlanan doğrulama sunucularıyla bağlantı kurduğunu tespit etti.

Ele geçirilen aygıtlardan birinde bulunan Windows DLL belgesinin tahlili de akınla Candiru arasında temas kurulmasını sağladı. Citizen Lab, teknik bulgular sonucunda akınları yüksek inançla Candiru casus yazılımıyla ilişkilendiriyor.

Candiru, ticari casus yazılım geliştiren İsrail merkezli şirketlerden biri olarak biliniyor. Şirket, devlet yetkilileri, gazeteciler, aktivistler ve akademisyenlerin gaye alınmasında kullanılan casus yazılımlar sağlaması sebebiyle 2021 yılında ABD Ticaret Bakanlığı tarafından kara listeye alınmıştı.

NATO ve BM Ağlarında da Reklamlara Rastlandı

Araştırmanın daha telaş verici kısımlarından biri ise Discover-Tech reklamlarının ulaştığı ağlarla ilgili.

Citizen Lab, reklam gösterim kayıtlarında NATO ve Birleşmiş Milletler ağlarının yanı sıra Avrupa Parlamentosu, Avrupa Komisyonu ve çeşitli ülkelerin devlet kurumlarıyla ilişkili sistemlere rastladı.

Confiant’ın araştırmasında ise ABD Savunma Bakanlığı, Uluslararası Atom Enerjisi Ajansı ve Uluslararası Ceza Mahkemesi üzere kurumlarla kontaklı ağlarda Discover-Tech reklam gösterimleri tespit edildi.

Intel, Nvidia, SanDisk, Broadcom, Micron ve ARM üzere yarı iletken kesimindeki şirketlerin ağlarında da reklam gösterimlerine rastlandı.

Ancak araştırmacılar burada da değerli bir ihtarda bulunuyor: Bir kurumun ağında Discover-Tech reklamının görüntülenmiş olması, o kurumun casus yazılımla amaç alındığını yahut aygıtlarına sızıldığını tek başına kanıtlamıyor.

Veriler en azından kelam konusu aygıtların Discover-Tech’in profilleme altyapısına maruz kaldığını gösteriyor. Birtakım durumlarda ise Candiru yahut öbür aktörler tarafından gönderilen kodların aygıtlarda çalıştırılmış olabileceği belirtiliyor.

Google ve Reklam Şirketleri Discover-Tech’i Engelledi

Araştırmanın reklam bölümüyle paylaşılmasının akabinde birçok şirket Discover-Tech’e karşı harekete geçti.

Google, Discover-Tech’i reklam sağlayıcısı listelerinden çıkardı ve şirketin reklam borsalarına erişimini sonlandırdı. IAB Europe da Discover-Tech’i global reklam tedarikçilerini içeren listesinden kaldırdı.

Comcast bünyesindeki Beeswax şirketin reklam satın alma platformuna erişimini sonlandırırken Eskimi, Discover-Tech hesaplarını ve ilişkili alan isimlerini engelledi. Vungle’ın sahibi Liftoff ise inceleme sürerken şirketin erişimini askıya aldı.

Araştırmacılara nazaran olay, dijital reklam ekosisteminin sırf kullanıcıları profillemek için değil, belli gayelere direkt casus yazılım ulaştırmak için de kullanılabileceğini birinci defa teknik olarak ortaya koyuyor.

Milyarlarca reklam açık artırmasının saniyeler içerisinde gerçekleştirildiği mevcut sistem düşünüldüğünde, akının ortaya çıkardığı asıl sorun tek bir şirketten daha büyük olabilir. Kullanıcıları reklam göstermek için mümkün olduğunca detaylı tanımlamaya çalışan altyapı, tıpkı bilgiler berbat niyetli aktörlerin eline geçtiğinde son derece hassas bir hedefleme aracına dönüşebiliyor.

Kaynak: Shiftdelete