İsrailli Discovere-Tech şirketiyle bağlantılı bir aktör, Candiru casus yazılımını Al Jazeera Media Network'e ait cihazlara ulaştırmak için hedefli dijital reklamlar kullandı. Bu “tıklamasız” saldırıda kurbanın yalnızca reklamı cihazında görüntülemesi yeterliydi. Citizen Lab araştırmacıları bu tekniği AdFection olarak adlandırdı ve bunun paralı casus yazılımların hedefli reklamlar aracılığıyla ulaştırıldığına dair kamuya açık ilk teknik doğrulama olduğunu belirtti.
İnceleme, Al Jazeera'nın sunduğu kanıtlara, ağ kayıtlarına ve ele geçirilmiş bir Windows sisteminden kurtarılan bir DLL dosyasına dayandı. Kanıtlar, 2024 ile 2025 yılları arasında en az 45 cihazın hedef alındığını gösteriyor. İletişim zinciri Discovere-Tech'in altyapısından başlayarak Candiru'nun doğrulama sunucularından geçti ve yazılımın komuta ve kontrol sunucularında sonlandı.
Bulaşma zinciri nasıl işledi?
Saldırgan aktör, tanınmış reklam ağları ve reklam borsaları üzerinden reklam alanı satın aldı ve reklamların içine, görüntülendiklerinde Discovere-Tech'in NOAS veya getAd sunucusu olarak adlandırdığı bir sunucuyla bağlantı kuran JavaScript kodu yerleştirdi. Sunucu, cihazın hedefin özellikleriyle eşleşip eşleşmediğini belirlemek için IP adresi ve reklam tanımlayıcıları gibi göstergeleri kullanıyordu.
Cihaz doğrulama sürecini geçerse ek kod gönderiliyordu; diğer cihazlar ise kötü amaçlı yükü almadan reklamı görüntülüyordu. Bu seçicilik gürültüyü azaltıyor ve operasyonun olağan reklam trafiği içinde gizlenmesine yardımcı oluyordu.
Operasyonun kapsamı bulaşma sayısına eşit değil
Citizen Lab'in tahminlerine göre operasyon, Mart ile Haziran 2026 arasında 3,77 milyar reklam teklifi gösterimi gerçekleştirdi ve 442 milyon açık artırmayı kazandı. Saldırgan kodun etiketlerini içeren reklamlar Android ve iOS'ta 75.373 uygulamada ve 120.768 internet sitesinde göründü. Bu sayılar, söz konusu uygulama ve sitelerin tamamının ya da kullanıcılarının tümünün bulaştığı anlamına gelmiyor.
Araştırmacılar, yüz binlerce ila milyonlarca kullanıcının Discovere-Tech reklamlarıyla bağlantılı alan adlarına yönlendirildiğini tahmin etti. Citizen Lab'in raporlarını almasının ardından Google, IAB Europe, Beeswax, Eskimi ve Vungle; ihlal gerçekleştiren hesapların kaldırılması ve belirli alan adlarına erişimin engellenmesi de dahil olmak üzere önlemler aldı.
Bu yöntem neden önemli?
Olay, dijital reklam zincirinin, kullanıcıdan doğrudan etkileşim gerekmeksizin gelişmiş casus yazılımları ulaştırmak için bir kanala dönüşebileceğini ortaya koyuyor. Belirli cihazların hedeflenmesi, kampanyayı geniş kapsamlı kötü amaçlı kampanyalara kıyasla tespit etmeyi zorlaştırırken, reklamların büyük ağlar üzerinden satın alınması olası erişim alanını genişletiyor.
Candiru, şirketin hükümetlere resmî olarak sattığı casus yazılımlarla ilişkilendiriliyor. Bunlar arasında Windows için dosyaları, kimlik bilgilerini ve mesajları çalabilen DevilsTongue da bulunuyor. Şirketin araçları daha önce gazetecileri, aktivistleri ve siyasetçileri hedef almak için Windows ve Chrome'daki zero-day türü güvenlik açıklarından yararlanılmasıyla ilişkilendirilmişti.
Benzer bir yöntem, 2025'in sonlarında Aladdin adıyla belgelenmişti. O dönemde hedeflere Predator yazılımını tıklama olmadan bulaştırmak için reklamlar kullanılmıştı; ancak bu inceleme, Intellexa şirketinden sızdırılan dosyalara ve pazarlama belgelerine dayanıyordu. AdFection ise gerçek saldırılara ve Citizen Lab'in casus yazılım şirketleri ile reklam ekosistemi arasında bağlantı olarak tanımladığı Discovere-Tech'e bağlanan adli kanıtlara dayanıyordu.