İnternet reklamları üzerinden gerçekleştirilen yeni bir sıfır tıklama casus yazılım saldırısı ortaya çıkarıldı. Citizen Lab ve Confiant araştırmacıları, İsrail merkezli Discover-Tech’in dijital reklam altyapısını kullanarak milyonlarca kullanıcıyı takip edebildiğini ve seçilen hedeflere Candiru casus yazılımının bulaştırılmasına aracılık ettiğini tespit etti.
Sistemin en dikkat çekici yanı ise kullanıcının reklama tıklamasına gerek olmaması. Araştırmacılara göre hedeflenen cihazda reklamın yüklenmesi, saldırı zincirinin başlaması için yeterli olabiliyor.
Reklama Tıklamaya Bile Gerek Yok
Toronto Üniversitesi bünyesindeki Citizen Lab ile reklam güvenliği şirketi Confiant tarafından yürütülen araştırma, çevrim içi reklam sistemlerinin casus yazılım dağıtmak için nasıl kullanılabildiğini ortaya koydu.
Araştırmacıların AdFection adını verdiği yöntemde Discover-Tech, internet siteleri ve uygulamalarda gösterilen reklamları kullanarak cihazlara ulaşabiliyor.
Bir reklam yüklendiğinde Discover-Tech sunucularıyla bağlantı kuruluyor ve cihazla ilgili çeşitli bilgiler aktarılabiliyor. Kullanıcı hedef olarak seçilmemişse saldırı kodu gönderilmiyor. Ancak seçilmiş bir hedef söz konusu olduğunda sunucu cihaza özel kod döndürebiliyor ve saldırı herhangi bir kullanıcı etkileşimi olmadan ilerleyebiliyor.
Başka bir ifadeyle kullanıcının bağlantıya tıklaması, dosya indirmesi veya şüpheli bir uygulama yüklemesi gerekmiyor. Hedefe özel hazırlanan reklamın cihazda görüntülenmesi bile yeterli olabiliyor.
Citizen Lab, bunun hedefli reklamlar üzerinden gerçekleştirilen sıfır tıklama casus yazılım saldırılarının kamuya açık ilk teknik doğrulaması olduğunu belirtiyor.
120 Binden Fazla Site ve 70 Binden Fazla Uygulamada Reklam Gösterildi
Discover-Tech’in faaliyetlerinin ölçeği de oldukça dikkat çekici.
Citizen Lab, Mart-Haziran 2026 arasındaki yaklaşık dört milyar reklam teklif kaydını inceleyerek Discover-Tech reklamlarının 120 binden fazla internet sitesinde ve 70 binden fazla mobil uygulamada görüntülendiğini tespit etti.
Confiant ise şirketin yaklaşık günde 10 milyon reklam gösterimi gerçekleştirdiğini tahmin ediyor.
Ancak burada önemli bir ayrım bulunuyor. Discover-Tech reklamıyla karşılaşan herkes casus yazılımla enfekte olmadı. Reklam gösterimlerinin büyük bölümü kullanıcıların ve cihazların profillenmesi amacıyla kullanılırken yalnızca belirli hedeflere saldırı kodu gönderildiği belirtiliyor.
Araştırmacılara göre reklamlar IP adresleri, reklam kimlikleri, çerezler ve cihaz özellikleri gibi bilgilerin toplanmasına imkan verebiliyor. Böylece milyonlarca cihaz arasından belirli kullanıcıların tespit edilmesi ve hedeflenmesi mümkün hale geliyor.
Citizen Lab ayrıca Discover-Tech altyapısının mobil kullanıcıların reklam kimliklerini telefon numaralarıyla eşleştirmeye çalışan farklı bir tehdit aktörü tarafından da kullanıldığını tespit etti.
Al Jazeera’daki En Az 45 Cihaz Hedef Alındı
Saldırıların yalnızca teorik olmadığı da doğrulandı.
Citizen Lab, 2024 ve 2025 yıllarında Al Jazeera bünyesindeki en az 45 cihazın Discover-Tech reklamları üzerinden gerçekleştirilen sıfır tıklama saldırılarıyla hedef alındığını açıkladı.
Araştırmacılar, saldırı sırasında elde edilen ağ kayıtlarında cihazların önce Discover-Tech altyapısıyla, ardından Candiru’ya bağlanan doğrulama sunucularıyla iletişim kurduğunu tespit etti.
Ele geçirilen cihazlardan birinde bulunan Windows DLL dosyasının analizi de saldırıyla Candiru arasında bağlantı kurulmasını sağladı. Citizen Lab, teknik bulgular sonucunda saldırıları yüksek güvenle Candiru casus yazılımıyla ilişkilendiriyor.
Candiru, ticari casus yazılım geliştiren İsrail merkezli şirketlerden biri olarak biliniyor. Şirket, devlet yetkilileri, gazeteciler, aktivistler ve akademisyenlerin hedef alınmasında kullanılan casus yazılımlar sağlaması nedeniyle 2021 yılında ABD Ticaret Bakanlığı tarafından kara listeye alınmıştı.
NATO ve BM Ağlarında da Reklamlara Rastlandı
Araştırmanın daha endişe verici bölümlerinden biri ise Discover-Tech reklamlarının ulaştığı ağlarla ilgili.
Citizen Lab, reklam gösterim kayıtlarında NATO ve Birleşmiş Milletler ağlarının yanı sıra Avrupa Parlamentosu, Avrupa Komisyonu ve çeşitli ülkelerin devlet kurumlarıyla bağlantılı sistemlere rastladı.
Confiant’ın araştırmasında ise ABD Savunma Bakanlığı, Uluslararası Atom Enerjisi Ajansı ve Uluslararası Ceza Mahkemesi gibi kurumlarla bağlantılı ağlarda Discover-Tech reklam gösterimleri tespit edildi.
Intel, Nvidia, SanDisk, Broadcom, Micron ve ARM gibi yarı iletken sektöründeki şirketlerin ağlarında da reklam gösterimlerine rastlandı.
Ancak araştırmacılar burada da önemli bir uyarıda bulunuyor: Bir kurumun ağında Discover-Tech reklamının görüntülenmiş olması, o kurumun casus yazılımla hedef alındığını veya cihazlarına sızıldığını tek başına kanıtlamıyor.
Veriler en azından söz konusu cihazların Discover-Tech’in profilleme altyapısına maruz kaldığını gösteriyor. Bazı durumlarda ise Candiru veya başka aktörler tarafından gönderilen kodların cihazlarda çalıştırılmış olabileceği belirtiliyor.
Google ve Reklam Şirketleri Discover-Tech’i Engelledi
Araştırmanın reklam sektörüyle paylaşılmasının ardından birçok şirket Discover-Tech’e karşı harekete geçti.
Google, Discover-Tech’i reklam sağlayıcısı listelerinden çıkardı ve şirketin reklam borsalarına erişimini sonlandırdı. IAB Europe da Discover-Tech’i küresel reklam tedarikçilerini içeren listesinden kaldırdı.
Comcast bünyesindeki Beeswax şirketin reklam satın alma platformuna erişimini sonlandırırken Eskimi, Discover-Tech hesaplarını ve bağlantılı alan adlarını engelledi. Vungle’ın sahibi Liftoff ise inceleme sürerken şirketin erişimini askıya aldı.
Araştırmacılara göre olay, dijital reklam ekosisteminin yalnızca kullanıcıları profillemek için değil, belirli hedeflere doğrudan casus yazılım ulaştırmak için de kullanılabileceğini ilk kez teknik olarak ortaya koyuyor.
Milyarlarca reklam açık artırmasının saniyeler içerisinde gerçekleştirildiği mevcut sistem düşünüldüğünde, saldırının ortaya çıkardığı asıl sorun tek bir şirketten daha büyük olabilir. Kullanıcıları reklam göstermek için mümkün olduğunca ayrıntılı tanımlamaya çalışan altyapı, aynı veriler kötü niyetli aktörlerin eline geçtiğinde son derece hassas bir hedefleme aracına dönüşebiliyor.
