Araştırmacılar uyardı: Çevrim içi reklamlar casus yazılım yaymak amacıyla silaha dönüştürüldü

Kanadalı bir üniversitedeki araştırmacılar, İsrailli bir reklam ajansının, hedeflere karşı 'tıklamasız' casus yazılımların kullanılmasına olanak tanıyan milyonlarca çevrimiçi reklam yayınladığını belirtti.

Toronto Üniversitesi bünyesindeki bir dijital araştırma birimi olan Citizen Lab, Katarlı yayın kuruluşu Al Jazeera'daki onlarca cihazın, kendisini özel bir dijital reklam ajansı olarak tanımlayan Discover-Tech tarafından yürütülen reklamlar aracılığıyla gönderilen casus yazılımlarla ele geçirildiğine inandığını bildirdi.

Citizen Lab'e göre Discover-Tech, müşterilerinin internet kullanıcılarını 'büyük ölçüde profillemesine ve kimliklerini açığa çıkarmasına', ardından hedefleri üçüncü taraf casus yazılımlarla gizlice hacklemesine olanak tanıyan Controlium adlı bir yazılım platformu işletiyor. Citizen Lab, kişilerin bağlantılarla veya dosyalarla etkileşime girmesine dayanan enfeksiyonların aksine, bu casus yazılımın yüklenmesi için kurbandan hiçbir etkileşim gerektirmediğini ve bunun yeni bir dağıtım tekniği olduğunu söylüyor.

Raporda, '[Çevrimiçi reklamcılık] ekosistemi, milyonlarca kullanıcının profilini çıkarmak ve ardından hedeflere sessizce tıklamasız paralı casus yazılımlar bulaştırmak için büyük ölçekte silah haline getiriliyor' deniliyor.

Rapora göre Controlium, bir kullanıcıya -örneğin dijital bir oyun veya telekomünikasyon hizmeti için- görünüşte zararsız, özel olarak oluşturulmuş bir reklam gösterildiğinde kullanıcının kimliğini ve IP adresini toplama yeteneğine sahip. Araştırmacılar, kullanıcının hackleme için hedef olarak seçilmesi durumunda, bir paralı casus yazılım firmasının daha sonra cihazına casus yazılım içeren kötü amaçlı bir kod gönderebileceğini belirtiyor.

Araştırmacılar, Yemen, Brezilya, Meksika ve Çekya dahil olmak üzere 2024'ten bu yana dünya çapında milyonlarca kullanıcıya Discover-Tech tarafından reklam sunulduğunu söylüyor.

Araştırma grubu Confiant'ın ilgili çalışmaları da Discover-Tech'in reklamlarının Avrupa ve ABD'deki devlet kurumlarının ağlarındaki kullanıcıların yanı sıra BM, NATO, uluslararası ceza mahkemesi ve Uluslararası Atom Enerjisi Ajansı'na gösterildiğini gösteriyor.

Citizen Lab araştırmacısı Wolfie Christl, 'Başlıca reklam satıcılarının ve kuruluşların şirketin kötü amaçlı reklam operasyonlarını yıllarca fark edememesi ve önleyememesi felaket bir durumdur' dedi ve ekledi: 'Çevrimiçi reklamcılık ekosisteminin bugün işleyiş biçimi devletler, özel sektör, sivil toplum ve diğer herkes için aynı şekilde bir güvenlik tehdididir.'

Citizen Lab'e göre Controlium, 'kamu görevlilerini, gazetecileri, iş insanlarını, aktivistleri, akademisyenleri ve büyükelçilik çalışanlarını' hedef alan üçüncü taraf casus yazılım firmaları için bir 'kolaylaştırıcı' görevi görüyor. Citizen Lab, hedefin cihazındaki her şeye erişebilen, mesajları, fotoğrafları ve e-postaları çıkaran, aramaları kaydeden ve mikrofonları gizlice etkinleştiren casus yazılımlar sunabileceğini iddia ediyor.

Discover-Tech tarafından mümkün kılındığı iddia edilen hedeflemenin tam boyutu bilinmiyor. Citizen Lab'in bulguları, çevrimiçi reklamcılık dünyasının temelini oluşturan şeffaf olmayan anlaşmaların gözetim için nasıl kullanılabileceğine dair artan kanıtlara katılıyor.

Citizen Lab araştırmacısı Bill Marczak, 'Çevrimiçi reklamların hedefleri tam bir hassasiyetle belirlemek ve otomatik olarak hacklemek için kullanılabileceğine dair çok fazla söylenti vardı, ancak şimdi ilk kez bu sürecin işleyişini gösteren somut teknik kanıtlarımız var' dedi.

Discover-Tech'e yorum için ulaşıldı. Bir kullanıcı reklam gösteren bir web sitesine gittiğinde, bilgileri onlarca veya yüzlerce şirketin dahil olduğu anlık programatik açık artırmanın bir parçası haline geliyor. Bu şirketler, o kullanıcının önüne bir reklam yerleştirmek için otomatik olarak teklif veriyor.

Bu teklifler, kullanıcının cihazı hakkındaki bilgileri ve web genelindeki faaliyetleri takip edilerek üzerlerinde derlenen verileri içerebilen profiline dayanıyor. Örneğin, spor bahislerine ve kriptoya ilgi duyan 35 yaşında bir kişinin profili verilen şirketler, o kişiye bir enerji içeceği reklamı göstermek için teklif verebilir.

Bu otomatik çevrimiçi pazar üzerinde çok az düzenleme var ve bunun kötü niyetli aktörler tarafından istismar edildiğine dair artan kanıtlar bulunuyor.

Reuters, Meta'nın reklam gelirlerinin milyarlarca dolarının dolandırıcılık, yasadışı kumar, pornografi ve diğer yasaklanmış içerik reklamlarından geldiğini bildirdi. ABD'de ICE ve diğer devlet kurumları, insanların hareketlerini takip etmek için reklam teknolojisi verilerini kullanan yazılımlar satın aldı.

Christl, 'ABD, Avrupa ve diğer bölgelerdeki siber güvenlik ajansları, düzenleyiciler ve yasa koyucular acilen devreye girmelidir. İlgili şirketleri soruşturmalı ve kötü amaçlı reklam hedeflemesine olanak tanıyan sistemik riskleri düzeltmelidirler' dedi.