Citizen Lab, hedefli reklamlarla teslim edilen ilk zero-click paralı casus yazılım saldırısını belgeledi

Reklamı sadece görüntüleyerek bulaşan casus yazılım

Citizen Lab, hedefli çevrim içi reklamcılık yoluyla teslim edilen ilk kamuya açık teknik doğrulaması niteliğindeki zero-click paralı casus yazılım saldırısını yayımladı; araştırmacılar bu tekniğe "AdFection" adını verdi. Rapora göre, uluslararası haber ağı Al Jazeera'deki cihazlar, Candiru tarafından satılan paralı casus yazılımıyla — raporda "Integrity Labs" adıyla yeniden markalaştığı belirtilen bir satıcı — sadece bir reklamı görüntüleyerek enfekte oldu. Reklama dokunmak veya tıklamak gerekmedi.

Teslimat hattı olarak Discover-Tech

Kötü amaçlı reklamlar, sıradan bir reklam şirketi gibi görünen ancak Citizen Lab'ın birkaç paralı casus yazılım ortağı için aracı olarak faaliyet gösterdiğini tespit ettiği İsrail merkezli Discover-Tech tarafından satın alındı. Şirketin işlettiği Controlium adlı platform, rapora göre bu ortakların hedefleri anonimlikten çıkarmasına, cihazlarını parmak iziyle tanımlamasına ve reklam görüntülendiği anda otomatik olarak enfekte etmesine imkân veriyor.

Candiru'nun ötesinde Citizen Lab, Discover-Tech'ı Intelos ve Bindecy dahil diğer paralı casus yazılım ve istihbarat aktörleriyle de ilişkilendiriyor. Araştırmacılar ayrıca, Discover-Tech altyapısını kullanarak çok sayıda mobil operatördeki güvenlik açıklarını istismar eden ve cihaz reklam kimliklerini telefon numaralarıyla eşleştirerek internet kullanıcılarını toplu halde anonimlikten çıkaran, DARK CARTOGRAPHER adını verdikleri ayrı bir tehdit aktörü tespit etti; bu bulgular yakında çıkacak bir raporda ayrıntılandırılacak.

Saldırı zinciri nasıl çalışıyor

Rapor sürecin mekaniğini adım adım anlatıyor. Citizen Lab'ın günde yüz milyarlarca kez çalıştığını söylediği gerçek zamanlı ihaleler — Google dahil şirketlerin işlettiği borsalarda — reklamverenlerin tek bir gösterim için teklif verip vermeyeceğine karar verebilmesi için her kullanıcı hakkında ayrıntılı verileri (cihaz tanımlayıcıları, kesin konum ve IP adresi) ortaya koyuyor. Kritik nokta şu: reklamlar sadece görsel veya video değil; reklam gösterilirken reklamverenin veya demand-side platform'un kodunu uygulama veya tarayıcı içinde çalıştırabiliyorlar. AdFection zincirinde bu kod, bir tarayıcı açığını ve casus yazılım yükleyebilecek ek JavaScript dosyalarını çekiyor. Payload belirli bir kullanıcıya veya cihaz tanımlayıcısına anahtarlanabildiği için, keyfi kod tam olarak tek bir kişinin cihazına teslim edilebiliyor ve reklamın yalnızca görüntülenmesi enfeksiyon için yeterli oluyor.

Operasyonun ölçeği

Citizen Lab dört milyar Discover-Tech ihale kaydını analiz etti ve dört aylık bir dönemde şirketin reklamlarının düzinelerce ülkede yaklaşık 200.000 benzersiz web sitesinde ile Android ve iOS uygulamasında gösterildiğini tespit etti. Reklamlar ayrıca milyonlarca cihazı gizlice Candiru'nun sunucularıyla iletişime geçirdi; araştırmacılar bunun muhtemelen büyük ölçekli takip ve keşif amacıyla yapıldığını değerlendiriyor.

Büyük reklam ağlarına sertifikalı erişim

Discover-Tech marjinal bir aktör değildi. Rapora göre, Google'ın ve sektör birliği IAB Europe'un tuttuğu "sertifikalı" ve "onaylı" satıcı listelerinde yer alıyordu ve Google, Yandex ve Beeswax dahil büyük ağlar aracılığıyla reklam sunuyordu. Ayrıca Avrupa Birliği içindeki kullanıcılara ulaşmak için GDPR onay çerçevesini kullandı. Citizen Lab, bu istismarın çevrim içi reklam sistemindeki yapısal kusurları gözler önüne serdiğini — sistem bunu tespit edemedi veya engelleyemedi — ve düzenleyicileri Discover-Tech ile Candiru/Integrity Labs'ın geçerli yasaları ihlal edip etmediğinin araştırılması çağrısında bulunuyor.

Citizen Lab bulgularını ifşa ettikten sonra Google, IAB Europe, Beeswax, Vungle (Liftoff) ve Eskimi, Discover-Tech'ı dijital reklam ekosisteminden koparmak için harekete geçti. Operasyonlarına dahil olan diğer reklam satıcıları, tanınan yorum süresi içinde yanıt vermedi.

Neden önemli

Rekamla bulaşan kötü amaçlı yazılım yıllardır teorik bir vektör olarak tartışılageldi, ancak Citizen Lab raporu, bunun gerçek kurbanlara paralı casus yazılım teslim etmek için kullanıldığının ilk kamuya açık teknik gösterimi. Gazeteciler, aktivistler ve diğer yüksek riskli kullanıcılar için tehdit modelini değiştiriyor: sıradan ticari reklamları taşıyan aynı altyapıyla sunulan bir reklam, oltalama mesajı gerektirmeden ve fark edilecek bir kullanıcı etkileşimi olmadan bir telefonu ele geçirmek için yeterli olabilir. Bulgular ayrıca programatik reklam ekosisteminin birey düzeyinde hedefleme ve üçüncü taraf kod çalıştırma yeteneklerinin gözetim ve anonimlik kaldırma için toptan nasıl yeniden amaçlandırılabildiğini ve sertifikasyon şemaları ile büyük borsaların iddiaya göre casus yazılım hattı gibi davranan bir satıcıyı nasıl yakalayamadığını gösteriyor. Savunucular için rapor, reklam engelleme, üçüncü taraf reklam kodunun agresif biçimde filtrelenmesi ve beklenmedik reklam kaynaklı ağ geri aramalarının izlenmesinin artık karşı casusluk araç setine dahil olması gerektiğini öne sürüyor.