Citizen Lab, online reklam ağları üzerinden teslim edilen ilk doğrulanmış zero-click casus yazılım saldırılarını ortaya çıkardı

TechCrunch'ın aktardığına göre Citizen Lab'deki güvenlik araştırmacıları, devlet destekli zero-click casus yazılımın online reklam ağları üzerinden teslim edildiğine dair ilk doğrulanmış vakayı belgeledi. Bulgular, reklam platformu paralı casus yazılım satıcılarına bir teslimat kanalı olarak hizmet eden İsrailli bir şirket olan Discover-Tech merkezli.

Raporda neler bulundu

Perşembe günü yayımlanan Citizen Lab raporuna göre Discover-Tech kendini meşru bir reklam şirketi olarak tanıtıyor, ancak pratikte "reklam satıcıları ile paralı casus yazılım ekosistemi arasında bir köprü" olarak faaliyet gösteriyor. Controlium adlı platformu, casus yazılım üreticilerinin neredeyse herhangi bir yerdeki belirli kişilere veya cihazlara kötü amaçlı reklamlar yöneltmesini sağlıyordu.

Hizmeti en az iki zero-click casus yazılım satıcısı kullandı: Candiru ve Bindecy. İkisi de kurbanın bir mesaj açması veya bir bağlantıya tıklaması gerekmeksizin cihazı enfekte edebilen gözetim araçları satıyor. Araştırmacıların tespit ettiği en somut olay El Cezire'yi etkiledi; 2024 ve 2025 yıllarında kullanıcılara Candiru'nun casus yazılımına bağlı kötü amaçlı kod yüklü reklamlar gösterildikten sonra en az 45 Windows bilgisayarı hacklendi.

Citizen Lab, saldırıları hangi hükümetlerin sipariş ettiğini belirleyemedi. TechCrunch, El Cezire ve Discover-Tech'in yorum taleplerine yanıt vermediğini, Candiru'nun ana şirketi Integrity Labs ile ise ulaşılamadığını bildiriyor.

Araştırmacılar içeri nasıl girdi

Laboratuvarın elde ettiği içgörü büyük ölçüde Discover-Tech'in kendi zayıf güvenlik uygulamalarından geldi. Controlium'un giriş sayfaları kaynak kodu sızdırdı ve bu sayede araştırmacılar oturum açmadan platformun web tabanlı kontrol panelini yeniden inşa edebildi. Araştırmacılar bu panonun, kötü amaçlı içeriği reklamlarla birlikte bireysel olarak hedeflenen kullanıcılara itmek için "özellikle tasarlanmış göründüğünü" yazdı.

Discover-Tech'in sitesine herkesçe erişilebilen bir bölümü de şifre istemeden kullanıcı giriş kayıtlarını ortaya çıkarıyordu; bunların arasında en az iki Candiru çalışanına ve Bindecy ile bağlantılı birkaç hesaba ait kimlik bilgileri de vardı. Ayrıca milyarlarca reklam teklif kaydı açıkta bırakılmıştı ve bu kayıtlar, platformun reklamlarının Mart-Haziran 2026 arasında on binlerce mobil uygulama ve web sitesinde yayınlandığını ortaya koyuyor.

Potansiyel etki alanı

Bu teklif kayıtları, reklamların ordulara, hükümetlere, kritik altyapı işletmecilerine ve ulusal siber kurumlara ait cihazlara ulaştığını gösteriyor; ancak Citizen Lab, bu gösterimlerin herhangi birinin gerçek bir enfeksiyonla sonuçlanıp sonuçlanmadığının belirsiz olduğunu söylüyor. Soruşturmada Citizen Lab ile çalışan reklam kalitesi platformu Confiant'ın araştırmacıları, potansiyel olarak kötü amaçlı reklamların Uluslararası Atom Enerjisi Ajansı ve Uluslararası Ceza Mahkemesi ağlarındaki cihazlarda da gösterildiğine dair kanıt buldu.

Neden önemli

Reklam ağları neredeyse internete bağlı her cihaza ulaşabiliyor ve belirli kitleleri bulmak için geliştirilmiş hedefleme mekanizması, kişileri düşmanca kodla tek tek hedef almak için yeniden kullanılabilir. Kötü amaçlı reklamcılık (malvertising) kavramı yeni değil; ancak Citizen Lab'ın bulguları, reklam ekosisteminin devlet düzeyinde zero-click casus yazılım için hassas bir teslimat kanalı olarak kullanıldığına dair ilk teknik doğrulamayı oluşturuyor ve bu tırmanma çok sayıda cihazı risk altına sokabilir.

Citizen Lab kıdemli araştırmacısı Bill Marczak, bu yetenekle ilgili spekülasyonların yıllardır dolaşımda olduğunu söyledi. "Online reklamların hedefleri pin noktası hassasiyetiyle tespit edip otomatik olarak hacklemek için kullanılabileceğine dair çok söylenti vardı; ama şimdi ilk kez bu sürecin nasıl işlediğini gösteren somut teknik kanıtımız var," dedi raporun yayımından önce.

Marczak ayrıca Discover-Tech'in "kesinlikle sadece buzdağının görünen ucu" olduğunu uyararak, kim oldukları veya ne yaptıkları nedeniyle hedef olabilecek herkese cihazlarındaki reklam takibini kapatmalarını ya da reklamları tamamen engellemelerini tavsiye etti.

Pratik çıkarımlar

Organizasyonlar için bu rapor, reklam ağlarının bir saldırı yüzeyi olduğunu ve bunlar üzerinden teslim edilen içeriğin herhangi bir güvenilmeyen girdi gibi aynı şüpheyle ele alınması gerektiğini hatırlatıyor. Gazeteciler, aktivistler ve avukatlar gibi yüksek riskli rollerdeki bireyler için ise artık bir reklam engelleyici yalnızca bir kolaylık değil, bir güvenlik kontrolü olarak kabul ediliyor.