Citizen Lab, tıklamasız reklamla bulaşan casus yazılımı belgeledi

Çevrimiçi bir reklam, bir görselden fazlasını taşıyabilir. Kod da taşıyabilir. Toronto Üniversitesi bünyesindeki Citizen Lab araştırmacıları, bu kodun tek bir dokunuş bile olmadan hedef alınan kişinin cihazına casus yazılım yüklemek için kullanıldığını ortaya koydu. Laboratuvar bu tekniğe AdFection adını veriyor. Kıdemli araştırmacı Bill Marczak, Wired’a yaptığı açıklamada, bu yöntemle hacklenen kişinin “olağandışı bir şey fark etmeyeceğini” söyledi. “Hatta ekranda hiçbir reklam bile görmeyebilir.”

Ücretsiz uygulamalarla dolu bir telefon kullanan herkes için bu önemli. Sıfır tıklamalı saldırılar şimdiye kadar çoğunlukla şirketlerin yama yayımlayabildiği mesajlaşma uygulamalarındaki açıklar üzerinden gerçekleştiriliyordu. Bu saldırıysa hangi reklamı göreceğinize karar veren sıradan sistemden yararlandı: Bir uygulama ya da web sayfası her yüklendiğinde saniyenin çok küçük bir bölümünde çalışan ve cihazınızın reklam kimliğini, IP adresinizi ve telefonunuza ilişkin bilgileri zaten ileten bir açık artırma mekanizmasından.

İşin merkezinde, kendisini bir reklam şirketi olarak tanıtan ve İsrail’de kayıtlı Discover-Tech bulunuyor. Rapora göre şirketin Controlium platformu, müşterilerin reklam kimliği, tarayıcı çerezi ya da IP adresi üzerinden tek bir hedef belirlemesine ve reklam görüntülenir görüntülenmez o cihaza kod göndermesine imkân tanıyordu. Diğer herkes sıradan bir reklam görüyordu. Citizen Lab, Al Jazeera haber ağına yönelik bir dizi saldırıyı yüksek güven düzeyiyle, artık Integrity Labs adını kullanan casus yazılım üreticisi Candiru’ya bağlıyor. Yayın kuruluşunun içindeki en az 45 cihaz hedef alındı; bulaşan bir Windows bilgisayarından elde edilen dosya ise Candiru’nun sunucularına işaret ediyordu.

Araştırmacıların sisteme nasıl girdiği neredeyse komik. Controlium’un giriş sayfası, kendi kontrol panelinin kaynak kodunun tamamını içeriyordu. Ekip sayfayı kaydetti, dış sunuculara giden bağlantıları kesti ve tüm ekranları etkinleştirdi. Discover-Tech’e ait bir sunucuda da yaklaşık dört milyar reklam teklifi kaydı açıkta bırakılmıştı. Bu kayıtlar, saldırganın komut dosyası etiketini taşıyan reklamların 75.373 Android ve iOS uygulamasında ve 120.768 web sitesinde gösterildiğini ortaya koyuyor. Tanıdık isimler de listede: Mesajlaşma uygulaması Viber, Android’de bu reklamlardan 700.000’den fazlasını gösterdi; reklamlar Yahoo Mail, Opera Mini ve Duolingo’da da yer aldı.

Bu rakamları dikkatle yorumlamak gerekiyor. Laboratuvarın özellikle vurguladığı gibi, ekranınızda Discover-Tech reklamı görmek telefonunuzun hacklendiği anlamına gelmiyor. Çoğu durumda şirketin sunucusu hiçbir kod göndermedi; ayrıca teklif verilerine ait kayıtlar, şirketin reklam platformlarından yalnızca birini ve dört aylık bir dönemi kapsıyor. Citizen Lab, Al Jazeera operasyonunun masraflarını hangi hükümetlerin karşıladığını açıklamadı. Reklamların NATO, Birleşmiş Milletler ve bazı Avrupa kurumlarının ağlarına ulaştığı bulgusu da doğrulanmış bulaşmaları değil, erişim alanını gösteriyor. Norveç’te reklamlar parlamento ve polis ağlarına; İsveç’te ise silahlı kuvvetlerin ve ulusal elektrik şebekesi işletmecisinin ağlarına ulaştı. Sıradan kullanıcıların başvurabileceği önlemler ise sınırlı. Marczak’ın “kim olduğunuz ya da ne yaptığınız nedeniyle” hedef alınabilecek kişilere tavsiyesi, reklam takibini kapatmak ya da reklamları tamamen engellemek.

Reklam sektörü harekete geçmeye başladı. Google, Citizen Lab ve güvenlik şirketi Confiant ile yürüttüğü ortak soruşturmanın ardından Discover-Tech’i reklam platformlarından engellediğini ve grupla bağlantılı web siteleri için Safe Browsing uyarıları eklediğini söylüyor. IAB Europe, şirketi onaylı reklam sağlayıcıları listesinden çıkardı; Comcast’in sahibi olduğu Beeswax da şirketi platformundan kaldırdı. Discover-Tech, Wired’ın ve TechCrunch’ın sorularına yanıt vermedi.

Citizen Lab raporu 15 Ekim 2026’da yayımladı. Raporda Al Jazeera’ya 2024 ve 2025’te düzenlenen saldırılar ile Mart-Haziran 2026 dönemine ait teklif verileri ele alınıyor. Laboratuvarın DARK CARTOGRAPHER adını verdiği ayrı bir grupla ilgili ikinci bir rapor da yolda. Laboratuvar, bu grubun 30’dan fazla ülkede mobil operatörlerdeki açıklardan yararlanarak telefonların reklam kimliklerini telefon numaralarıyla eşleştirmek için aynı altyapıyı kullandığını belirtiyor.

Marczak, Discover-Tech’in “buzdağının yalnızca görünen kısmı olduğuna şüphe olmadığını” söylüyor. Ekibinin reklamlara rastlamak için uzağa bakması gerekmedi. Araştırmacılar CBC ve Yahoo sitelerini okurken, Android’de Sudoku oynarken bu reklamlar kendi ekranlarında da belirdi.

Etiketler: siber güvenlik, AdFection, Candiru, casus yazılım, çevrimiçi reklam, Citizen Lab