Citizen Lab tarafından yayımlanan yeni bir rapor, zararlı bir reklamın görüntülenmesiyle, kurbanın bir bağlantıya tıklamasına veya dosya açmasına gerek kalmadan telefonlara ve bilgisayarlara bulaşabilen AdFection adlı bir casus yazılımı ortaya çıkardı. Araştırmacılar bunu, elektronik reklamlar üzerinden teslim edilen ve «tıklamasız» yöntemle çalışan devlet destekli casus yazılım saldırılarına ilişkin ilk doğrulama olarak nitelendiriyor.
Rapora göre bu teknoloji, kendisini meşru bir reklam şirketi olarak tanıtan İsrailli Discover-Tech tarafından geliştirildi. Sistem; El Cezire ağındaki gazetecileri ve çalışanları, ayrıca Kuzey Atlantik Antlaşması Örgütü, Avrupa Komisyonu, NVIDIA ve Arm dahil olmak üzere kurum ve kuruluşlardaki yetkilileri ve çalışanları hedef almak için kullanıldı.
Reklamlar nasıl bir casusluk kanalına dönüştü?
Discover-Tech, hedefli reklamlarda kullanılan ve reklamverenlerin belirli kullanıcılara reklam gösterme konusunda rekabet etmesini sağlayan gerçek zamanlı teklif sisteminden yararlandı. Citizen Lab'a göre bu altyapı, kullanıcıların kimliğini belirlemek veya anonimliklerini kaldırmak ve ardından belirli hedefleri seçmek için kullanıldı; sonrasında sıradan görünen reklamların içine kötü amaçlı kod yerleştirildi.
Yöntemin tehlikesi, reklam ağının geniş kapsamından kaynaklanıyor. Kuruluş, sistemle bağlantılı reklamların BBC ve The New York Times gibi 120 binden fazla web sitesinde ve Duolingo, Badoo ve Grindr gibi uygulamalarda 442 milyon kez gösterildiğini söyledi. Reklamlar ayrıca ordular, hükümetler, kritik altyapılar ve ulusal siber güvenlik kurumları tarafından kullanılan cihazlarda da görüntülendi.
Google'ın adımı ve açık sorular
Google, bu teknikle hedef alınan reklam platformları arasındaydı; ancak Citizen Lab ve Confiant şirketiyle yürüttüğü ortak soruşturmanın ardından Discover-Tech'i küresel tedarikçi listesinden çıkardı. Google, şirketin politikalarını sistematik biçimde ihlal ettiği gerekçesiyle platformlarından engellendiğini söyledi.
Araştırmacılar ayrıca Discover-Tech'in internet sitesine giriş kayıtlarında casus yazılım şirketi Candiru'nun çalışanlarına ait veriler buldu. Discover-Tech veya planda adı geçen diğer taraflar, haber yayımlandığı sırada yorum yapmadı.
Bu haber neden önemli?
Ortaya çıkarılanlar, çok sayıda web sitesi ve uygulama üzerinden kullanıcılara ulaşan dijital reklam modelinin, kurbanın belirgin bir davranış sergilemesini gerektirmeyen bir bulaşma kanalına dönüşebileceğini gösteriyor. Bu durum, kimlik avına veya dosya indirmeye dayanan saldırılara kıyasla risklerin kapsamını genişletiyor; ancak her reklamın veya her reklam platformunun aynı şekilde savunmasız olduğunu kanıtlamıyor. Zira rapor, belirli bir sistem ve belirli bir şirkete odaklanıyor ve soruşturmaların tüm ayrıntıları henüz açıklanmış değil.
Citizen Lab araştırmacısı Bill Marczak, ortaya çıkarılanların «buzdağının yalnızca görünen kısmı» olabileceğini söyledi ve kimlikleri veya işleri nedeniyle hedef alınabilecek kişileri reklam takibini devre dışı bırakmaya ya da reklamları engellemeye çağırdı. Teknolojinin ne kadar yaygın olduğu, gerçekte kaç cihaza bulaştığı ve kullanım operasyonlarının arkasında hangi tarafların bulunduğu soruları, mevcut materyalde hâlâ tam olarak yanıtlanmış değil.