Citizen Lab: İsrailli reklam firmasının platformu milyonlarca reklam aracılığıyla zero-click casus yazılım yaydı

Kampanya nasıl işliyor

The Guardian'ın haberine göre, İsrailli dijital reklam şirketi Discover-Tech, zero-click paralı casus yazılımın bir dağıtım mekanizması olarak işlev gören milyonlarca çevrimiçi reklam yayınladı. Bulgular, Toronto Üniversitesi'nin dijital soruşturma birimi Citizen Lab'dan geliyor; Citizen Lab, Katarlı yayın kuruluşu Al Jazeera'daki düzinelerce cihazın şirketin yayınladığı reklamlar aracılığıyla ele geçirildiğine inandığını söylüyor.

Operasyonun merkezinde, Discover-Tech'in işlettiği Controlium adlı bir platform var. Citizen Lab, bu platformu, müşterilerinin internet kullanıcılarını kitlesel olarak profilleymesine ve kimliklerini açığa çıkarmasına, ardından seçili hedefleri gizlice üçüncü taraf casus yazılım satıcılarına devretmesine imkân veren bir sistem olarak tanımlıyor.

Reklam aracılığıyla zero-click teslimat

Geleneksel casus yazılım kampanyaları genellikle kurbanın bir bağlantıya tıklamasına veya bir ek dosyası açmasına dayanır. Citizen Lab'a göre bu kampanya hiçbir etkileşim gerektirmiyor. Bir kişiye —örneğin bir mobil oyun ya da bir telekom hizmeti reklamı gibi- görünüşte zararsız bir reklam gösterildiğinde, Controlium o anda kimliğini ve IP adresini toplayabiliyor. O kişi hedef olarak işaretlenmişse, paralı bir casus yazılım firması cihaza kötü niyetli kod gönderiyor ve cihaz saniyeler içinde, kullanıcının haberi olmadan enfekte oluyor.

Citizen Lab araştırmacısı Bill Marczak, çevrimiçi reklamcılığın belirli kişileri hassas biçimde tespit etmek ve otomatik olarak hacklemek için kullanılabileceği yönünde uzun süredir spekülasyon yapıldığını, ancak bunun bu sürecin eylem halinde belgelenen somut teknik kanıtının ilk kez ortaya çıktığını söyledi.

Ölçek ve hedefler

2024'ten bu yana dünyanın dört bir yanındaki milyonlarca kullanıcıya —Yemen, Brezilya, Meksika ve Çekya dahil- Discover-Tech reklamları gösterildiği bildiriliyor. Confiant araştırma grubunun ilgili çalışması, reklamların Avrupa ve ABD'deki devlet kurumlarının ağlarındaki insanlara, ayrıca BM, Nato, Uluslararası Ceza Mahkemesi ve Uluslararası Atom Enerjisi Ajansı'na da gösterildiğini ortaya koyuyor.

Citizen Lab, Controlium'un hükümet yetkililerine, gazetecilere, iş insanlarına, aktivistlere, akademisyenlere ve büyükelçilik çalışanlarına yönelen casus yazılım firmaları için bir aracı gibi hareket ettiğini söylüyor. Raporda tarif edilen casus yazılım, cihaza yerleştirildikten sonra mesajları, fotoğrafları ve e-postaları cihazdan çekebiliyor, aramaları kaydedebiliyor ve mikrofonu gizlice etkinleştirebiliyor. The Guardian, hedeflemenin tam kapsamının bilinmediğini ve Discover-Tech'in yorum için kendisine başvurulduğunu belirtiyor.

Ad tech'te sistemik bir sorun

Bulgular, düzenlemenin çok az olduğu bir pazarda ortaya çıkıyor. Birisi bir web sayfası yüklediğinde profili —cihaz ayrıntıları ve siteler arası izleme yoluyla derlenen veriler- düzinelerce ya da yüzlerce şirketin katıldığı saniyenin kesirleri süren otomatik bir açık artırmaya yayınlanıyor. Araştırmacılar, aynı mekanizmanın artık bir gözetim ve saldırı hattı olarak da çalıştığının ortaya konduğunu savunuyor.

Citizen Lab araştırmacısı Wolfie Christl, büyük reklam satıcıları ve kuruluşlarının kötü niyetli operasyonları yıllarca tespit edemediğinin ya da engelleyemediğinin görünmesinin felaket niteliğinde olduğunu, bugün işleyiş biçimiyle çevrimiçi reklam ekosisteminin devletler, özel sektör ve sivil toplum için alike bir güvenlik tehdidi oluşturduğunu söyledi. ABD, Avrupa ve diğer bölgelerdeki siber güvenlik kurumlarını, düzenleyicileri ve yasama organlarını, dahil olan şirketleri soruşturmaya ve sistemik riskleri ele almaya çağırdı.

Diğer haberler de aynı yönü gösteriyor. Reuters, Meta'nın milyarlarca dolarlık reklam gelirinin dolandırıcılık, yasa dışı kumar ve diğer yasaklanmış içerik reklamlarından geldiğini bildirdi; ABD'de ise ICE dahil devlet kurumları, insanların hareketlerini izlemek için ad tech verilerini kullanan yazılımlar satın aldı.

Neden önemli

Bu, programatik reklam altyapısının uçtan uca silah haline getirildiği ilk belgelenmiş vaka: kitlesel profilleme, bireylerin kimliğini açığa çıkarma ve tek bir tıklama olmadan paralı casus yazılım teslim etme. Standart tavsiye olan şüpheli bağlantılardan kaçınmayı geçersiz kılıyor; çünkü saldırı yüzeyi artık bizzat reklamların kendisi — BM, Nato ve Uluslararası Ceza Mahkemesi çalışanları dahil neredeyse her internet kullanıcısının her gün maruz kaldığı bir kanal. Haber odaları, diplomatlar ve insan hakları örgütleri için bu, karşıtların onlara aksi halde meşru sitelerdeki sıradan gezinme üzerinden ulaşabileceği anlamına geliyor. Rapor, yükü doğrudan reklam borsalarına, satıcılara ve düzenleyicilere aktarıyor: hız ve şeffafsızlık için değil hesap verebilirlik için kurulmuş bir ekosistemin içindeki kötü niyetli aktörleri tespit etmek ve engellemek artık onların görevi.