‘Kabus Senaryosu’: Casus Yazılımlar, Hedefli Reklamlar Yoluyla Telefonlara Bulaşıyor

Perşembe günü, Toronto Üniversitesi’ndeki Citizen Lab’dan araştırmacılar, gerçek ortamda tespit edilen en kötü senaryoyu ortaya çıkardılar: casus yazılım hedeflerin günlük dijital yaşamlarında reklamlara göz atarken fark edilmeden sistemlerine sızıyor.

Saldırıları ‘AdFection’ olarak adlandıran araştırmacılar bir kampanyayı belgelediler; bu kampanyada, İsrail’de kayıtlı bir reklam şirketinin, bir casus yazılım şirketiyle bağlantılı sunuculara bağlandığı ve istilacı kötü amaçlı yazılımıyla düzinelerce cihaza bulaştırdığı iddia ediliyor. Citizen Lab, bunun dijital reklamlar yoluyla cihazlara bulaşan sofistike casus yazılımlarla ilgili kamuoyuna açıklanan ilk ayrıntılı teknik kanıt olduğuna inanıyor.

Sıfır tıklamalı saldırılar, saldırganlar için ‘kutsal kase’ niteliğindeyken kurbanlar için felaket anlamına gelir; zira bu saldırılar, hedefin herhangi bir etkileşimine veya hatasına gerek kalmadan cihazlara kötü amaçlı yazılımları otomatik olarak yükleyebilir. Son yıllarda, deneyimli hackerlar nadir görülen sıfır tıklamalı saldırıları gerçekleştirdiklerinde kurbanları enfekte etmek için genellikle mobil mesajlaşma ve iletişim uygulamalarındaki güvenlik açıklarından yararlanmışlar. Ancak saldırganlar, kötü amaçlı yazılımları yaymak için çevrimiçi reklam ekosisteminin genişleyen alt yapısını da istismar etmişler; bu süreçte kurbanların neredeyse hiç etkileşime girmesine gerek kalmamış. Citizen Lab araştırmacılarının ortaya çıkardığı sıfır tıklamalı casus yazılım kampanyasına dair kanıtlar, bu iki tehdidin birleştiğini göstermekte ve riskin boyutunu ve aciliyetini vurguluyor.

Citizen Lab’da kıdemli araştırmacı olan Bill Marczak, “AdFection, operatörlerin belirli kişileri, uygulamaları kullanırken veya internette gezinirken paralı casus yazılımlarla otomatik olarak ele geçirmelerine olanak tanıyor” diyor. “Bu şekilde ele geçirilen bir kişi, herhangi bir terslik fark etmez. Hatta, hiç reklam görmeyebilir bile.”

Durumun bu kadar endişe verici olmasının nedeni, insanların ‘sıfır tıklamalı’ reklam saldırılarından kendilerini korumak için, tüm web sitelerinde ve platformlarda reklamları olabildiğince kapsamlı bir şekilde engellemekten başka pek bir şey yapamamaları — bu gerçeği, NSA ve CIA gibi istihbarat teşkilatları çok iyi biliyor gibi görünüyor.

Citizen Lab’ın kıdemli araştırmacısı Wolfie Christl, “Sadece reklam gösteren bir web sitesini veya uygulamayı kullanmakla cihazınızın casus yazılım bulaşma riskiyle karşı karşıya kalması, tam bir kabus senaryosu,” diyor.

Citizen Lab, 2024 ve 2025 yıllarında haber kuruluşu Al Jazeera’ya ait 45 cihazın reklamlar aracılığıyla gerçekleştirilen sıfır tıklamalı saldırıların hedefi olduğu sonucuna vardı. Araştırmacılar, hedefli reklamların İsrail merkezli pazarlama şirketi Discover-Tech tarafından yayınlandığını ve İsrailli geliştirici Candiru’ya atfedilen casus yazılımların dağıtıldığını belirtiyor. Citizen Lab’ın analizine göre, virüs bulaşmış cihazlar Discover-Tech ile bağlantılı alan adlarıyla temas kurduktan sonra Candiru ile ilişkili alt yapıya bağlandı. (Soruşturmaya katılan ve cihaz günlüklerini Citizen Lab araştırmacılarıyla paylaşan Al Jazeera, yorum talebine yanıt vermedi.)

Marczak, “Belirli kullanıcılara kişiselleştirilmiş, keyfi içerik sunma yeteneği, modern çevrimiçi reklam ekosisteminin ayırt edici bir özelliğidir ve kar amaçlı casus yazılım endüstrisine son derece uygun,” diyor. “Bu mimari değişene ya da reklam şirketleri müşteri doğrulama konusunda ciddiye alıncaya kadar, bu tür suistimalleri görmeye devam edeceğiz.”

WIRED tarafından Discover-Tech ve şirketin CEO’suna gönderilen e-postalar ve mesajlar, yayınlanana kadar yanıtlanmadı. ABD hükümeti tarafından 2021 yılında uygulanan yaptırımların ardından, Candiru’nun varlıklarına sahip olduğu tahmin edilen Integrity Partners şirketi de yorum taleplerine yanıt vermedi.

Dünyanın en büyük reklamcılık işletmelerinden birini yöneten Google, Citizen Lab ve siber güvenlik şirketi Confiant’tan araştırmacılarla işbirliği yaparak bir casus yazılım bağlantısını doğruladıktan sonra Discover-Tech’in kaydını sonlandırdı. Bir Google sözcüsü, “Citizen Lab ve Confiant ile yürütülen ortak bir soruşturmanın ardından Google, politikalarımızı sistematik olarak ihlal ettiği gerekçesiyle Discover-Tech’i reklam platformlarımızdan engelledi” dedi. “Ayrıca, kullanıcıları bu grupla bağlantılı web sitelerine girmeleri durumunda korumak amacıyla Güvenli Tarama uyarıları da devreye soktuk.”

Reklam sektörü kuruluşu Interactive Advertising Bureau’nun (IAB) Avrupa şubesi, WIRED’a Discover-Tech’i GVL olarak bilinen küresel tedarikçi listesinden askıya aldığını doğruladı. Açıklamaya göre, şirket, politikalarının denetlenmesi sonucunda IAB Europe tarafından askıya alındı. IAB Europe sözcüsü, “Casus yazılımlarla ilgili bulguların daha da teyit edilmesi, GVL’den kesin olarak çıkarılmasını da haklı kılabilir” dedi.

Comcast’in sahibi olduğu çevrimiçi reklamcılık sektörü şirketi Beeswax’ın bir sözcüsü yaptığı açıklamada şunları söyledi: “Beeswax, son dönemde gözlemlenen faaliyetler ve üçüncü taraf bir güvenlik uzmanı tarafından yapılan bağımsız doğrulama sonucunda Discovery-Tech’i platformumuzdan kaldırdı. Kötü niyetli reklamlara karşı sıfır tolerans politikası uyguluyoruz.”

Çoğu zaman, çevrimiçi ortamda veya uygulamalarda gördüğünüz reklamlar, gerçek zamanlı teklif verme olarak bilinen karmaşık bir süreç sonucunda görüntülenir; bu, temelde reklamverenlerin size belirli reklamları göstermek için teklif verdikleri otomatik bir açık artırma. Milisaniyeler süren bu süreç, reklamverenlerin cihazınız, konumunuz ve tarama geçmişiniz hakkında devasa miktarda veri toplamasına ve buna ek olarak çok daha fazlasını elde etmesine yol açabilir. Bu süreç, yıllardır gizlilik açısından bir kabus haline gelmiştir; şaibeli veri aracıları insanların kişisel bilgilerini satarken, kolluk kuvvetleri ve düşman ülkeler bu bilgileri, insanları izlemek veya hedef almak amacıyla satın almaktadır.

Citizen Lab araştırmacıları, Discover-Tech’in, bir reklam görüntülendiğinde kullanıcılarının ‘cihazların anonimliğini kaldırmasına, parmak izi almasına ve cihazları otomatik olarak enfekte etmesine’ olanak tanıyan Controlium adlı bir reklam platformu işlettiğini belirtiyor. Genel olarak araştırmacılar, milyonlarca cihazın Candiru’nun sunucularına yönlendirildiğini ve bu sunucularda profillerinin oluşturulabileceğini tahmin ediyor. Citizen Lab araştırmacıları, Discover-Tech web sitesinde kamuya açık hale getirilen reklam ihale kayıtlarını analiz ederek, saldırgan komut dosyası etiketleri içeren ve bu firmayla bağlantılı reklamların bu yılın Mart ve Haziran ayları arasında 70 binden fazla mobil uygulamada ve 120 binden fazla web sitesinde gösterildiğini belirtiyor. Araştırmacılar, birçok uygulamanın Discover-Tech ile bağlantılı bir milyondan fazla reklam görüntülediğini söylüyor.

Şirketin reklamlarının hepsi casus yazılım yaymak amacıyla tasarlanmış olmayabilir, ancak araştırmacılar genel olarak dünya çapında hükümet ve ulusal güvenlikle bağlantılı ağlarda Discover-Tech reklam gösterimlerine rastladıklarını belirtiyorlar. Bunlar arasında NATO ve Birleşmiş Milletler ağlarının yanı sıra Avrupa’daki yasama organları, Avustralya’daki kritik alt yapı sağlayıcıları ile Norveç ve İsveç’teki silahlı kuvvetler ve devlet kurumları yer alıyor.

Daha önce casus yazılım dağıtan sıfır tıklamalı hedefli reklam kampanyaları nadiren kamuoyuna yansıdı, ancak Citizen Lab araştırmacıları, bunun muhtemelen reklam alt yapısına bu kadar yaygın bir şekilde güvenilmesinin ve bu alt yapının belirli bir denetim olmaksızın dijital yaşamın her yönüne entegre edilmesinin bir belirtisi olduğunu belirtiyor.

“Al Jazeera’nın ağ günlükleri, bu saldırının reklam temelli doğasını anlamada kilit rol oynadı,” diyor Marczak. “Bir kullanıcının kişisel cihazı, örneğin evindeki Wi-Fi ağına veya mobil veriye bağlıyken hedef alınmış olsaydı, orada aynı düzeyde bir ağ izleme söz konusu olmazdı. Dolayısıyla, daha önce bu konuda bir raporlama yapılmamış olmasının temel nedeninin muhtemelen bir görünürlük sorunu olduğunu düşünüyorum: Güvenlik uzmanları doğru zamanda doğru yerde bulunmalı ve doğru verileri incelemeli.”

Dijital reklam ekosisteminin yaygınlığından kaynaklanabilecek tehditler hakkında genel bir değerlendirmede bulunan dijital medya ticaret örgütü Digital Content Next’in CEO’su Jason Kint (WIRED’ın ana şirketi Condé Nast bu örgütün üyesidir), bu tür saldırıların hem olası hem de zarar verici olduğunu belirtiyor.

“Nadir ve karmaşık olsa da, reklamlar yoluyla gerçekleştirilen sıfır tıklamalı saldırılar olduğunu duysam hiç de şaşırmazdım,” diyor Kint. “Kullanıcıların beklentilerine doğrudan aykırı olan ya da açık web’e duyulan güveni sarsan her şey son derece endişe verici.”

Bu makale ilk olarak WIRED’da yayınlanmış ve Samet Kelebek tarafından İngilizceden çevrilmiştir.