Citizen Lab ve Confiant araştırmacıları, İsrail merkezli Discover-Tech’in dijital reklam altyapısının kullanıcıları profillemek ve seçilmiş hedeflere Candiru casus yazılımı ulaştırmak için kullanıldığını belirledi. Saldırının başlaması için hedef cihazda reklamın görüntülenmesi yeterli olabiliyor; kullanıcının reklama tıklaması gerekmiyor.
Reklamın yüklenmesi saldırıyı başlatabiliyor
Toronto Üniversitesi bünyesindeki Citizen Lab ile reklam güvenliği şirketi Confiant’ın ortak araştırması, çevrim içi reklam sistemlerinin casus yazılım dağıtımında kullanılabileceğini ortaya koydu. Araştırmacıların AdFection adını verdiği yöntemde Discover-Tech, internet siteleri ve uygulamalardaki reklamları kullanarak cihazlarla bağlantı kurabiliyor.
Reklam yüklendiğinde cihaz, Discover-Tech sunucularına bağlanıyor ve cihazla ilgili bazı bilgiler aktarılabiliyor. Kullanıcı hedef değilse saldırı kodu gönderilmiyor. Hedef olarak belirlenmişse sunucu cihaza özel kod iletebiliyor; süreçte kullanıcının etkileşimi gerekmiyor.
Dolayısıyla bağlantıya tıklamak, dosya indirmek ya da şüpheli bir uygulama kurmak şart değil. Hedefe özel hazırlanmış reklamın cihazda görüntülenmesi saldırı zincirini başlatabiliyor. Citizen Lab, bulguların hedefli reklamlar üzerinden gerçekleştirilen sıfır tıklama casus yazılım saldırılarına ilişkin kamuya açık ilk teknik doğrulama olduğunu belirtiyor.
Reklamlar 120 binden fazla site ve 70 binden fazla uygulamada görüldü
Citizen Lab, Mart-Haziran 2026 dönemine ait yaklaşık dört milyar reklam teklifi kaydını inceledi. Analiz sonucunda Discover-Tech reklamlarının 120 binden fazla internet sitesi ve 70 binden fazla mobil uygulamada gösterildiği tespit edildi. Confiant, şirketin günde yaklaşık 10 milyon reklam gösterimi yaptığını tahmin ediyor.
Araştırmacılar, Discover-Tech reklamını gören herkesin casus yazılımla enfekte olduğu sonucuna varmadı. Gösterimlerin çoğunun kullanıcı ve cihaz profilleme amacı taşıdığı, saldırı kodunun ise yalnızca belirli hedeflere gönderildiği belirtiliyor.
Reklam altyapısı IP adresleri, reklam kimlikleri, çerezler ve cihaz özellikleri gibi verilerin toplanmasını sağlayabiliyor. Böylece milyonlarca cihaz arasından belirli kullanıcıların belirlenmesi ve hedeflenmesi mümkün oluyor. Citizen Lab, Discover-Tech altyapısının mobil reklam kimliklerini telefon numaralarıyla eşleştirmeye çalışan başka bir tehdit aktörü tarafından da kullanıldığını saptadı.
Al Jazeera bünyesindeki en az 45 cihaz hedef oldu
Citizen Lab, 2024 ve 2025 yıllarında Al Jazeera bünyesindeki en az 45 cihazın Discover-Tech reklamları üzerinden yürütülen sıfır tıklama saldırılarında hedef alındığını açıkladı. Saldırı sırasında tutulan ağ kayıtlarında cihazların önce Discover-Tech altyapısıyla, ardından Candiru’ya bağlanan doğrulama sunucularıyla iletişim kurduğu görüldü.
Ele geçirilen cihazlardan birinde bulunan Windows DLL dosyasının incelenmesi de saldırıyla Candiru arasında bağlantı kurulmasına yardımcı oldu. Citizen Lab, teknik bulgulara dayanarak saldırıları yüksek güvenle Candiru casus yazılımıyla ilişkilendiriyor.
İsrail merkezli ticari casus yazılım şirketlerinden Candiru, devlet yetkilileri, gazeteciler, aktivistler ve akademisyenlerin hedef alınmasında kullanılabilecek yazılımlar sağlaması nedeniyle 2021’de ABD Ticaret Bakanlığı tarafından kara listeye alınmıştı.
NATO ve Birleşmiş Milletler ağlarında da reklam gösterimleri bulundu
Citizen Lab, Discover-Tech reklam kayıtlarında NATO ve Birleşmiş Milletler ağlarının yanı sıra Avrupa Parlamentosu, Avrupa Komisyonu ve çeşitli ülkelerin devlet kurumlarıyla bağlantılı sistemlere rastladı. Confiant’ın araştırmasında ABD Savunma Bakanlığı, Uluslararası Atom Enerjisi Ajansı ve Uluslararası Ceza Mahkemesi ile bağlantılı ağlarda da reklam gösterimleri tespit edildi.
Intel, Nvidia, SanDisk, Broadcom, Micron ve ARM gibi yarı iletken şirketlerinin ağlarında da Discover-Tech reklamları görüldü. Ancak araştırmacılar, bir kurumun ağında reklam görüntülenmesinin tek başına o kurumun hedef alındığını ya da cihazlarına casus yazılım yüklendiğini kanıtlamadığını vurguluyor.
Veriler, bu cihazların en azından Discover-Tech’in profilleme altyapısına maruz kaldığını gösteriyor. Bazı durumlarda Candiru veya başka aktörlere ait kodların cihazlarda çalıştırılmış olabileceği de belirtiliyor.
Google ve reklam şirketleri erişimi kesti
Araştırma sonuçlarının reklam sektörüyle paylaşılmasının ardından birden fazla şirket Discover-Tech’e yönelik adım attı. Google, şirketi reklam sağlayıcıları listesinden çıkardı ve reklam borsalarına erişimini sonlandırdı. IAB Europe da Discover-Tech’i küresel reklam tedarikçileri listesinden kaldırdı.
Comcast bünyesindeki Beeswax, şirketin reklam satın alma platformuna erişimini kapattı. Eskimi, Discover-Tech hesaplarını ve bağlantılı alan adlarını engellerken Liftoff’un sahibi Vungle, inceleme devam ederken şirketin erişimini askıya aldı.
Araştırmacıların bulguları, dijital reklam altyapısının kullanıcı profillemenin yanı sıra belirli hedeflere casus yazılım ulaştırmak için de kullanılabildiğini gösteriyor. Saniyeler içinde milyarlarca reklam açık artırmasının yapıldığı sistemlerde, kullanıcıları reklam göstermek amacıyla ayrıntılı biçimde tanımlayan verilerin kötü niyetli aktörlerin elinde hassas bir hedefleme aracına dönüşebileceği uyarısı yapılıyor.
