Citizen Lab: Candiru casus yazılımı Al Jazeera cihazlarına hedefli reklamlarla bulaştı

Toronto Üniversitesi bünyesindeki Citizen Lab ile reklam güvenliği firması Confiant, İsrailli casus yazılım üreticisi Candiru'nun cihazlara sıradan çevrim içi reklamlar aracılığıyla ve kullanıcı hiçbir şeye tıklamadan bulaştığını 15 Ekim 2026'da açıkladı. The Hacker News'ün aktardığına göre Citizen Lab bu bulguyu, paralı casus yazılımların hedefli reklamlar yoluyla gerçek cihazlara ulaştığının kamuoyuna açık ilk teknik doğrulaması olarak nitelendirdi. Bu yöntem daha önce yalnızca sızdırılmış şirket belgelerinden biliniyordu.

Neler oldu?

İncelemelerin merkezinde, 2020'de İsrail'de kurulan ve kendini dijital reklam şirketi olarak tanıtan Discover-Tech bulunuyor. The Record'un haberine göre araştırmacılar şirketi reklam sağlayıcıları ile casus yazılım üreticileri arasında bir köprü olarak tanımlıyor ve iddiaya göre Candiru, reklamları dağıtması için Discover-Tech ile çalıştı. Dark Cartographer olarak izlenen ayrı bir tehdit aktörünün de Discover-Tech'in yazılımını kullandığı bildiriliyor.

Doğrulanan mağdurlar arasında Al Jazeera var. The Hacker News'e göre 2024 ve 2025'te en az 45 Al Jazeera cihazı hedef alındı ve Citizen Lab saldırıları yüksek güvenle Candiru'ya bağladı. The Record, gazeteciler, muhalifler, büyükelçilik personeli ve hükümet yetkililerinin de hedefler arasında olduğunu aktarıyor. İki yayın da operasyonun arkasındaki devlet müşterilerinin adını vermiyor.

Teknik detaylar

The Hacker News'ün aktardığına göre her reklam, yüklendiğinde cihazın reklam kimliğini ve IP adresini bir Discover-Tech sunucusuna gönderen küçük bir betik taşıyordu; bazı durumlarda reklam görünmeyecek şekilde arka planda yükleniyordu. Ardından sunucu cihazın hedef olup olmadığına karar veriyor, saldırı kodu yalnızca seçilen cihazlara gönderiliyordu. Reklamın kendisi istismar kodu içermediği için reklam ağlarının tespit edebileceği zararlı bir şey de bulunmuyordu. Al Jazeera'nın trafik kayıtları; bir Discover-Tech reklam sunucusu, bir Candiru eleme sunucusu ve ardından bir komuta-kontrol sunucusundan oluşan zinciri ortaya koydu.

Araştırmacılar casus yazılımı bir cihazdan, ayrıca teknikleri Citizen Lab'in 2021'de incelediği bir Candiru aracıyla örtüşen bir Windows programını ele geçirdi. İlk sızmayı sağlayan tarayıcı veya uygulama istismarı ise elde edilemedi ve herhangi bir CVE kimliği açıklanmadı. The Record'a göre Discover-Tech'in Controlium adlı platformu, müşterilerin reklam görüntülendiği anda cihazların parmak izini çıkarıp otomatik olarak bulaştırmasına imkân veriyor.

Kimler etkileniyor?

Reklam altyapısının ölçeği büyük. The Hacker News'e göre Discover-Tech, Mart-Haziran 2026 arasında tek bir platformda yaklaşık dört milyar reklam teklifi verdi; geri çağırma kodunu taşıyan reklamlar yaklaşık 75 bin mobil uygulamada ve 120 bin web sitesinde görüldü. Confiant şirketin trafiğini günde yaklaşık 10 milyon reklam olarak tahmin ediyor. Reklamlar NATO, Birleşmiş Milletler, AB kurumları ve yaklaşık yirmi dört ülkedeki devlet ofislerinin ağlarında da görüntülendi; ancak araştırmacılar bunun bu ağlarda enfeksiyon olduğu anlamına gelmediğinin altını çiziyor. Confiant, doğrudan Candiru'ya bağlanabilen az sayıdaki reklamın düşük hacimli olduğunu ve çoğunlukla ev ile mobil bağlantılara ulaştığını belirledi.

The Hacker News'e göre Google, Discover-Tech'i "politikalarını sistematik olarak ihlal ettiği için" kaldırdı; IAB Europe, Comcast'e ait Beeswax ve Eskimi de şirketle bağlarını kopardı, Vungle ise erişimi inceleme süresince askıya aldı.

Ne yapmalı?

• Discover-Tech reklam sunucusu alan adı mtrtb[.]com ile casus yazılım örneğinin 255869de85e2a171993fc5eb8a556d873a1b8966e040f6f55926f2fa2d595cc8 özetini ve Confiant raporundaki tam listeyi engelleyin.
• Ağ kayıtlarında bir Discover-Tech reklam sunucusu, bir Candiru eleme sunucusu ve bir komuta-kontrol sunucusuyla art arda kurulan bağlantıları arayın.
• Gazeteci, diplomat veya yetkili çalıştıran kurumlar, yönetilen cihazlarda ağ düzeyinde reklam engellemeyi değerlendirmeli ve hedef olma ihtimali yüksek personel için tehdit avcılığına öncelik vermeli.