Toronto Üniversitesine bağlı Citizen Lab, hedefli reklamları kullanarak kurbanın reklama tıklamasına veya reklamla etkileşime girmesine gerek kalmadan iOS ve Android cihazlara gelişmiş casus yazılımlar yükleyen bir siber kampanyayı ortaya çıkardı. Laboratuvar kampanyaya “AdFection” adını verdi ve kampanyanın 2024 ve 2025 yıllarında El Cezire medya kuruluşundaki 45 cihazı etkilediğini belirtti.
İncelemenin bulgularına göre kampanyanın önemi, hedefli reklamlar aracılığıyla paralı casus yazılımların ulaştırıldığına ilişkin ilk muhtemel doğrulamayı sunmasıdır. Bu senaryoda bir web sayfasının yüklenmesi veya yüklü bir uygulamanın açılması istismar sürecini başlatmak için yeterli oluyor; enfeksiyon ise adli araçlar veya uzmanlaşmış adli yazılımlar olmadan genellikle kullanıcı tarafından fark edilmiyor.
Reklam ekosistemi nasıl kullanıldı?
Citizen Lab, reklamların kendisini meşru bir reklam şirketi olarak tanıtan İsrailli Discover-Tech tarafından sağlandığını, ancak şirketin reklam alıcıları ile yayıncılar veya uygulama geliştiricileri arasında aracı görevi gördüğünü ve reklam pazarını paralı casus yazılım ekosistemine bağlamada rol oynadığını belirtti.
Bu tür aracılık, mobil cihaz tanımlayıcıları, konum, IP adresleri ve diğer verileri kullanarak belirli grupları hedefleyen reklam açık artırmalarına dayanıyor. Laboratuvar, Discover-Tech tarafından işlenen 4 milyardan fazla teklif kaydına ulaştı. Bu kayıtlar, şirketin reklamlarının Mart ve Haziran 2026 arasında 70 binden fazla mobil uygulamada ve 120 bin web sitesinde gösterildiğini ortaya koydu.
Bulgulara göre Discover-Tech, Avrupa Birliği içindeki kullanıcıları hedeflemek için Avrupa Genel Veri Koruma Tüzüğü ile bağlantılı izin çerçevelerini kullandı; ayrıca reklamlarını Google, Yandex ve Beeswax ağları üzerinden gösterdi. Google ve IAB Europe, şirketi adını kayıtlardan kaldırmadan önce “onaylı” veya “doğrulanmış” bir tedarikçi olarak listelemişti. Google daha sonra şirketin reklam borsası platformlarına erişimini sonlandırdı. Beeswax da şirketi platformundan kaldırdı; Liftoff’a bağlı Vungle, inceleme için erişimini geçici olarak durdurdu; Eskimi ise şirketin hesaplarını ve alan adlarını engelledi.
Uygulamada ne değişti?
İncelemeye göre reklamlar, belirli profil özellikleriyle eşleşen hedeflere gösteriliyor, ardından JavaScript veya başka bir kod Candiru’nun kontrol sunucularına bağlanıyordu. Candiru’nun sunucuları da kullanıcı etkileşimi olmadan kötü amaçlı yükü yerleştiren bir istismar gönderiyordu. Citizen Lab, Candiru’nun yazılımı geliştirdiğini ve dağıttığını, şirketin şu anda Integrity Labs adı altında faaliyet gösterdiğini belirtti.
Raporda istismar edilen güvenlik açıkları veya kampanya tarafından yüklenen nihai yazılım açıklanmadı. Kaynak, bunların Citizen Lab’in kampanyayı keşfetmesinin ardından giderilen “sıfır gün” açıkları olduğunu tahmin ediyor; ancak bu husus yayımlanmış teknik ayrıntılarla doğrulanmadı. Discover-Tech ve Candiru da yorum taleplerine yanıt vermedi.
Bu haber neden önemli?
Citizen Lab, Discover-Tech ile bağlantılı reklamların Kuzey Atlantik Antlaşması Örgütü ve Birleşmiş Milletlere bağlı ağlarda, Avrupa yasama organlarında, ayrıca Avustralya’daki kritik altyapı sağlayıcılarında ve Norveç ile İsveç’teki hükümet kurumları ve silahlı kuvvetlerde görüldüğünü belirtti. Laboratuvar, haber merkezlerinin, gazetecilerin, editörlerin ve bu kuruluşlarda çalışan kişilerin doğrudan hedef olabileceği konusunda uyarıyor.
Kampanya, kurbanın cihazını aşan bir sorunu ortaya koyuyor: Geniş ticari kitleleri belirlemek için tasarlanan reklam hedefleme araçları, yüksek düzeyde uzmanlaşmış casus yazılımları ulaştıran bir kanala dönüşebiliyor. Bu nedenle Citizen Lab, reklamverenleri ve hükümet yetkililerini bu tür kampanyaları önlemek için proaktif önlemler almaya çağırdı.
Riskleri azaltma açısından kaynak; reklam engelleme kullanılmasını, iOS ve Android’de reklam tanımlayıcısının sıfırlanmasını, ev veya ofis ağlarına engelleme araçları kurulmasını ve sistem ile yazılım güncellemelerinin yayımlandıkları anda yüklenmesini önerdi. Ancak özellikle güvenlik açıklarının ve nihai yükün ayrıntıları yayımlanmadığı için bu önlemler, her durumda enfeksiyonu önlemeyi garanti etmiyor.