Reklamlar Üzerinden Sıfır Tıklamalı Casus Yazılım Saldırısı

Çevrim içi reklamlar, kullanıcıları ürün ve hizmetlerle buluşturmanın ötesinde, devlet destekli casus yazılım saldırılarında da kullanılabiliyor. Toronto Üniversitesi bünyesindeki araştırmacıların yayımladığı çalışma, kötü amaçlı reklamların kullanıcı herhangi bir bağlantıya tıklamadan cihazları hedef almak için kullanıldığına dair teknik kanıtlar ortaya koydu.

Araştırmanın merkezinde İsrail merkezli Discover-Tech şirketi ve şirketin Controlium adını verdiği reklam platformu bulunuyor. İncelemeye göre platform, kendisini meşru bir reklam hizmeti olarak konumlandırsa da casus yazılım geliştiricileriyle reklam sağlayıcıları arasında aracı olarak çalışabiliyor. Bu yapı, zararlı içeriğin doğrudan bir e-posta veya sahte internet sitesiyle değil, günlük internet kullanımı sırasında karşılaşılan reklamlarla dağıtılmasına imkân veriyor.

Reklam gösterimi saldırı kanalına dönüştü

Geleneksel kötü amaçlı reklam saldırılarında kullanıcıların zararlı bir bağlantıya tıklaması veya dosya indirmesi gerekebiliyor. İncelenen yöntemde ise hedef cihaz, sıradan bir internet reklamının gösterilmesi sırasında kötü amaçlı kodla karşılaşabiliyor. Kullanıcının reklamı açması, bağlantıya dokunması ya da ek bir işlem yapması gerekmiyor.

Bu yaklaşım, güvenlik açısından saldırının fark edilmesini zorlaştırıyor. Kullanıcı herhangi bir dosya indirmediği veya şüpheli bir sayfaya yönlendirilmediği için saldırının kaynağını günlük kullanım sırasında anlamak mümkün olmayabiliyor. Reklam içeriğinin kişiye, cihaza veya belirli bir kuruma göre seçilebilmesi de kampanyaların geniş kitlelere rastgele yöneltilmek yerine belirli hedeflere odaklanmasına yardımcı oluyor.

Araştırmacılar, sıfır tıklamalı saldırı yeteneğine sahip en az iki casus yazılım üreticisinin Discover-Tech platformunu kullandığını tespit etti. Bunlar Candiru ve Bindecy olarak açıklandı. Her iki şirket de cihaz sahibinin mesaj açmasına veya bağlantıya tıklamasına ihtiyaç duymadan bulaşabilen gözetim ürünleri sunuyor.

İncelemede, Al Jazeera medya kuruluşuna ait en az 45 Windows bilgisayarının bu yöntemle hedef alındığı belirlendi. Cihazların 2024 ve 2025 yıllarında Candiru’nun casus yazılımı kullanılarak ele geçirilmiş olabileceği ifade edildi. Saldırının arkasındaki hükümetlerin hangileri olduğu ise tespit edilemedi. Bu nedenle araştırma, saldırıların belirli bir devletle doğrudan ilişkilendirildiğini ortaya koymuyor; ancak kullanılan araçların hükümet destekli gözetim operasyonlarıyla bağlantılı olduğunu gösteriyor.

Kontrol paneli ve giriş kayıtları açıkta kaldı

İnceleme yalnızca reklam kampanyalarının işleyişiyle sınırlı kalmadı. Araştırmacılar, Controlium’un giriş sayfalarında platformun bazı kaynak kodlarının açıkta bırakıldığını gördü. Bu açık sayesinde, oturum açmadan web tabanlı kontrol panelinin yeniden oluşturulabildiği aktarıldı.

Kontrol panelinin, belirli kullanıcıları hedefleyen zararlı içerikleri reklamlarla birlikte cihazlara göndermek üzere tasarlandığı değerlendiriliyor. Araştırmacılar ayrıca Discover-Tech’in internet sitesinde şifre gerektirmeden erişilebilen bir bölüm buldu. Bu bölüm, Controlium paneline ait çok sayıda kullanıcı giriş kaydının indirilmesine izin veriyordu.

Açığa çıkan bilgiler arasında Candiru’da çalışan en az iki kişiye ait giriş detaylarının yanı sıra Bindecy ile bağlantılı bazı kayıtlar da yer aldı. İnceleme sırasında milyarlarca reklam teklif kaydının da korumasız biçimde erişilebilir olduğu görüldü. Bu kayıtlar, reklam ekosistemindeki teklif süreçleri ve kampanyaların nasıl yönetildiği hakkında bilgi sağlayabilecek nitelikteydi.

Kontrol paneline ve kayıtlarına erişilebilmesi, yalnızca platformun kendi güvenliğini değil, reklam teknolojisi zincirindeki diğer aktörleri de riske atıyor. Bir reklam platformunda tutulan hedefleme bilgileri, saldırganların hangi cihazlara veya kullanıcı gruplarına ulaşabileceğini anlamasına yardımcı olabilir. Böyle bir veri sızıntısı, casus yazılım kampanyasının doğrudan parçası olmayan kuruluşlar açısından da ek tehdit oluşturabilir.

Reklam ekosistemi neden risk taşıyor?

Reklam ağları, reklamverenlerin belirli kullanıcı gruplarını, cihaz türlerini ve kuruluşları hedeflemesini sağlıyor. Bu sistemler dünya genelindeki internet bağlantılı cihazlara erişebildiği için saldırganlar açısından geniş bir dağıtım kanalı oluşturuyor. Normalde pazarlama amacıyla kullanılan hedefleme seçenekleri, kötüye kullanıldığında belirli kişilere veya cihazlara zararlı kod ulaştırmak için kullanılabiliyor.

Kötü amaçlı reklamlar yeni bir saldırı biçimi değil. Ancak devlet destekli casus yazılımların, kullanıcı etkileşimi gerektirmeden reklam gösterimi üzerinden çalıştırılması saldırının etkisini büyütüyor. Araştırmacılar, bunun çevrim içi reklamlar aracılığıyla gerçekleştirildiği doğrulanmış ilk hükümet destekli sıfır tıklamalı casus yazılım saldırısı olduğunu belirtiyor.

Reklam engelleyiciler, masaüstü ve mobil cihazlarda zararlı reklamlarla karşılaşma ihtimalini azaltabiliyor. Buna rağmen reklamların web siteleriyle sınırlı kalmaması ve uygulamaların içinde de gösterilmesi, kullanıcıların bu ekosistemden tamamen uzaklaşmasını zorlaştırıyor. Ayrıca reklamların çoğu zaman içerikten bağımsız biçimde üçüncü taraf ağlar üzerinden sunulması, kullanıcıların hangi şirketin reklamı dağıttığını fark etmesini güçleştiriyor.

Araştırmanın ortaya koyduğu tablo, reklam güvenliğinin yalnızca rahatsız edici içerikleri engelleme meselesi olmadığını; cihaz güvenliği ve kişisel verilerin korunmasıyla da doğrudan bağlantılı olduğunu gösteriyor. Kullanıcı etkileşimi gerektirmeyen saldırılar karşısında güvenlik yazılımlarının, tarayıcıların ve reklam platformlarının tehdit tespit süreçleri daha kritik hâle geliyor. Özellikle gazeteciler, insan hakları savunucuları ve hassas bilgilerle çalışan kuruluşlar için reklam altyapıları artık göz ardı edilemeyecek bir saldırı yüzeyi oluşturuyor.