Kanada merkezli siber güvenlik gözetim kuruluşu Citizen Lab ve New York’ta bulunan reklam güvenliği firması Confiant tarafından yayınlanan bir incelemeye göre, İsrailli dijital reklam şirketi Discover-Tech, dünya genelinde kişisel verileri toplamak ve hedeflenen cihazlara paralı yazılımlar ulaştırmak için geniş bir ticari reklam ağı kullandı.
Bu operasyon, gizli gözetim için reklam altyapısını kullanarak operatörlerin potansiyel hedefleri belirlemesine, çevrimiçi aktivitelerini takip etmesine ve tespit edilmeden spyware göndermesine olanak sağladı. Confiant, kampanyayı son derece sofistike olarak tanımlarken, anti-interception önlemleri ve hassas hedefleme yeteneklerine dikkat çekti.
İnceleme, operasyonun ABD tarafından kara listeye alınan ve Integrity Labs olarak yeniden markalaşan İsrailli spyware şirketi Candiru ile ilişkilendirildiğini ortaya koydu. Şirketlerin, Google, Beeswax ve Rusya’nın Yandex’i gibi büyük platformlar üzerinden ticari reklam envanterlerini kullanarak hedeflerin izlenmesini ve tüketici cihazlarının ele geçirilmesini sağladığı iddia edildi.
Confiant, “Ana bulgu, reklam altyapısının gelişmiş sahneleme, öncelikli hedefleme ve yükün iletimi için silahlandırılmasıdır. Bu durum, olağanüstü teknik sofistikasyon, sağlam anti-interception önlemleri ve cerrahi mikro hedefleme ile karakterize edilmektedir,” şeklinde belirtiliyor.
Citizen Lab, kampanyayı çevrimiçi reklamlar aracılığıyla sunulan sıfır tıklama paralı yazılımların ilk olarak teknik olarak onaylandığı olay olarak nitelendirirken, bu yöntemi “AdFection” olarak adlandırdı.
Uluslararası haber ağı Al Jazeera’nın çalışanlarına ait cihazlar, görünür açılır pencereler veya şüpheli bağlantılar olmadan sessizce işlemiş silahlandırılmış reklam yerleşimleri aracılığıyla enfekte oldu.
Discover-Tech, rutin ticari reklam açık artırmalarını bir gözetim sistemine dönüştüren özel bir sistem olan Controlium’u işletiyordu. Araştırmacılar, 4 milyar teklif kaydını inceledikten sonra, şirketin 200.000’den fazla benzersiz web sitesi ve mobil uygulama üzerinden reklâm dağıttığını tespit etti.
Confiant, “Discover-Tech günde yaklaşık 10 milyon reklam gösterimi yapıyor ve her biri cihaz parmak izleri, IP adresleri, reklam kimlikleri ve genellikle yayımlayıcının kendi birinci taraf çerezleri ile oluşturulan bir kimlik grafiğini besliyor,” ifadesini kullandı.
Araştırmalar, reklamların rutin olarak kullanıcı oturum çerezlerini, kimlik doğrulama token’larını ve kişisel kimlik bilgilerini yayımlayıcı web sitelerinden doğrudan topladığını, hatta Avrupa Birliği gizlilik düzenlemelerinin iznini gerektirdiği durumlarda dahi verilerin sızdırıldığını ortaya koydu.
Citizen Lab ayrıca, Discover-Tech’ın altyapısını kullanarak mobil telekomünikasyon sağlayıcılarındaki güvenlik açıklarını sömüren Dark Cartographer adında bağlantılı bir tehdit aktörünü de belirledi. Bu grup, dijital reklam kimliklerini telefon numaralarıyla eşleştirerek mobil aboneleri büyük ölçekle tespit etti.
Coğrafi veriler, araştırmacıların gündeme getirdiği sıradan ticari reklam kampanyalarından ziyade kasıtlı istihbarat operasyonlarına işaret eden trafik artışları gösterdi. Filistin, Discover-Tech’ın tüm dijital reklamların yaklaşık %2’sini servis ettiği en fazla hedef alınan bölge oldu ve 7 Nisan’da bu oran %10’a kadar ulaştı.
Gözetim trafiği, Ermenistan Başbakanlık Ofisi, uluslararası kuruluşlar, yargı kurumları, üniversiteler ve savunma kuruluşları gibi hassas idari ve kurumsal ağlara da ulaştı. Araştırmacılar, dokuz ülkede Candiru sunucularıyla hedef alınmış bağlantılar tespit etti; Belçika, gözlemlenen aktivitenin %56’sını oluştururken, Birleşik Arap Emirlikleri, Suudi Arabistan, Bahreyn, Meksika, İspanya ve diğer ülkeler onu takip etti.
Ortak araştırmanın açıklanmasının ardından Google, Avrupa reklam derneği IAB Europe, Beeswax, Vungle ve Eskimi, Discover-Tech’ın dijital reklam sistemlerine erişimini kesti.