Araştırmacılara göre İsrailli reklam firması Discover-Tech, sıfır tıklama casus yazılımını çevrimiçi reklamlar aracılığıyla yaydı

Ne oldu

Güvenlik araştırmacıları, hedefli çevrimiçi reklamcılık aracılığıyla gerçekleştirilen bir sıfır tıklama (zero-click) saldırı operasyonunu ilk kez belgelediklerini söylüyor. The Verge'un aktardığına göre, Citizen Lab ve Confiant'ın ortak soruşturması, Discover-Tech adlı İsrailli bir ad tech şirketinin casus yazılım satıcılarıyla birlikte çalışarak cihazları yalnızca bir reklam görüntüleyerek enfekte ettiğini ortaya çıkardı — kurbanın tıklaması, indirme yapması ya da başka bir etkileşimde bulunması gerekmiyordu. Bulguları ilk olarak NBC News yayımladı.

Bu keşif önemli, çünkü sıfır tıklama saldırıları şimdiye dek mesajlar veya ağ bağlantıları yoluyla gerçekleştirilen sofistike exploit'lerle ilişkilendiriliyordu; gündelik programatik reklamcılık altyapısıyla değil.

Reklam ağı bir saldırı hattına dönüştürüldü

Görünüşte Discover-Tech, sıradan bir çevrimiçi reklam ajansı olarak kendini tanıtıyor. Ancak araştırmacılar onu bambaşka bir şey olarak tanımlıyor: bilgisayar korsanlığı gruplarının web genelinde ölçekli biçimde kötü amaçlı reklam yerleştirebileceği bir kanal.

The Verge'un aktardığı soruşturmaya göre operasyonun merkezinde Controlium adlı bir platform var. Söylendiğine göre platform, casus yazılım ortaklarına çok sayıda insanı profilleme ve kimliğini açığa çıkarma, cihazlarını parmak iziyle tanımlama (fingerprinting) ve ardından seçili hedeflere sıfır tıklama saldırıları düzenleme imkânı veriyor. Bir operatörün, reklam ekosisteminde zaten serbestçe dolaşan tanımlayıcıları — bir IP adresi, mobil reklam kimliği veya tarayıcı tanımlayıcısı — kullanarak enfeksiyon ya da gözetim için belirli bir kişiyi seçebildiği iddia ediliyor.

Başka bir deyişle, reklam endüstrisinin bir alışveriş müşterisine hangi ayakkabı reklamını göstereceğine karar vermek için kullandığı veri noktaları, aynı müşteriyi casus yazılım yerleştirilmek üzere hedeflemek için de kullanılabiliyor.

Araştırmacılara göre Discover-Tech'in ortaklarından biri, ABD hükümeti tarafından kara listeye alınmış İsrailli casus yazılım şirketi Candiru.

Al Jazeera hedefte

Soruşturma, operasyonun gerçek kurbanları olduğunu gösteriyor. The Verge'a göre Discover-Tech reklamları, Katar merkezli haber ağı Al Jazeera'ya 2024'te ve yeniden 2025'te Candiru ile bağlantılı casus yazılım ulaştırdı. Araştırmacılar, bu iki yıl içinde kuruluşta en az 45 cihazın hedeflendiğini tespit etti.

Bir haber kuruluşunun hedef alınması, paralı casus yazılımların gazeteciliğe yakın doğasını gözler önüne seriyor: muhabirler, kaynakları ve ağları bu tür araçların sıklıkla amaçlanan kurbanları oluyor.

Endüstri tepkisi ve savunmalar

Citizen Lab ve Confiant, reklamcılık endüstrisini platformlarını bu tür kötüye kullanıma karşı sağlamlaştırmaya çağırıyor. Bazı adımlar atılmış durumda: The Verge, Reuters'a dayanarak, Google ile Comcast'e bağlı reklam şirketi Beeswax'ın Discover-Tech'i platformlarından çıkardığını bildiriyor. IAB Europe da şirketi onaylı satıcı listesinden geçici olarak çıkardı.

Hedeflenme riski yüksek olan bireyler için araştırmacılar pratik önlemler öneriyor: reklam engelleyiciler kullanın, mümkün olduğu yerlerde reklam takibini devre dışı bırakın ve kalıcı tanımlayıcıların profil çıkarmada daha az işe yaraması için mobil reklam kimliklerini düzenli olarak sıfırlayın.

Neden önemli

Bu bulgular, genellikle ayrı ayrı ele alınan iki dünyayı birbirine bağlıyor: ad tech'in ticari gözetim aygıtı ve paralı casus yazılım endüstrisi. Reklam ekosisteminin — milyonlarca web sitesinde belirli bireyleri tanımlamak, profilleştirmek ve onlara ulaşmak için tasarlanmış — yapısının, saldırganlar için yetkin bir hedefleme ve dağıtım sistemi olduğu ortaya çıkıyor; ve bu sistem her gün devasa sayıda internet kullanıcısının karşısında duruyor.

Olay ayrıca kimlerin reklam satın alıp yayınlayabileceğine dair ne kadar az görünürlük olduğunu gösteriyor. Discover-Tech, araştırmacılar iddia edilen çift kullanımını ortaya çıkarma dek endüstri çerçeveleri içinde onaylı bir satıcı olarak faaliyet gösterdi; bu da programatik reklamcılığın arkasındaki denetim süreçlerinin bu tehdit sınıfını yakalamak üzere tasarlanmadığına işaret ediyor.

Haber kuruluşları, insan hakları çalışanları ve diğer yüksek riskli gruplar için ders daha sert: bazı durumlarda yalnızca reklam içeren bir web sayfasını yüklemek bile bir cihazı tehlikeye atmak için yeterli olabilir. Reklam platformları çok daha güçlü güvenlik garantileri benimseyene dek, araştırmacıların tavsiyesi — reklam engelleme, takibi sınırlama ve reklam tanımlayıcılarını döndürme — sıradan kullanıcıların elindeki ana savunma hattı.