İsrailli şirketin reklamlarıyla casus yazılım: El Cezire’de 45 cihaz hedef alındı

Toronto Üniversitesi bünyesindeki Citizen Lab, 15 Ekim 2026 tarihinde yayımladığı AdFection araştırmasında İsrail merkezli Discover-Tech şirketinin reklam altyapısının hedefli gözetim ve casus yazılım saldırılarında nasıl kullanıldığını ortaya koydu. Araştırmacılar, çevrim içi reklamların açılmasıyla çalışan bir yöntem üzerinden Katar merkezli El Cezire haber kuruluşundaki en az 45 Windows cihazının 2024 ve 2025 yıllarında hedef alındığını bildirdi. Reklamlarla casus yazılım dağıtımına ilişkin teknik inceleme, Candiru adıyla bilinen ticari gözetim yazılımının bu saldırılardaki rolünü ayrıntılandırıyor.

Reklamlarla casus yazılım nasıl dağıtıldı?

İnternette bir ürün ilanı gösterilmeden önce reklam teknolojisi şirketleri milisaniyeler içinde düzenlenen açık artırmaya katılıyor. Kullanıcıya hangi reklamın gösterileceği belirlenirken cihazın ve bağlantının özelliklerine ilişkin veriler reklam alıcılarına iletiliyor. Citizen Lab, Discover-Tech tarafından kullanılan Controlium sisteminin bu bilgileri birleştirerek kişileri tanımlamak, cihazların izini sürmek ve seçilen hedeflere kod ulaştırmak amacıyla kullanıldığını bildiriyor. Araştırmacılar tekniği AdFection olarak adlandırdı.

Discover-Tech reklamlarında, şirketin NOAS veya getAd adını verdiği sunuculara bağlantı gönderen JavaScript etiketleri bulundu. Reklam görüntülendiğinde tarayıcı, reklam tanımlayıcılarını ve bağlantıyla ilgili bazı bilgileri bu sunucuya iletiyordu.

Sunucu, IP adresi ve tanımlayıcılarla eşleşen cihazlar için çalıştırılacak kod gönderebiliyordu. Diğer ziyaretçilerde boş yanıt döndürüyordu. Böylece aynı ilan farklı kullanıcılarda farklı işlemlere yol açabiliyordu.

Teknik inceleme, reklam gösteriminin reklamı görüntüleyen kişinin bilgisini tıklama olmadan toplamasına ve belirli hedeflerde zararlı kodun çalıştırılmasına imkân verdiğini teknik kayıtlarla anlattı. Sistem, çevrim içi reklamların alışılmış görünürlüğünden yararlanırken hangi cihazların özel bir işlem için seçildiğini ilanı yayımlayan siteye açıklamıyordu.

El Cezire’deki 45 cihazda hangi kayıtlar incelendi?

Araştırma için El Cezire tarafından paylaşılan ağ günlükleri, 2024 ve 2025 yıllarında gerçekleştirilen saldırıların zaman sıralamasını gösterdi. İncelemede cihazların önce Discover-Tech altyapısındaki alan adlarıyla iletişim kurduğu, ardından Candiru casus yazılımının dağıtımında kullanılan altyapıyla bağlantı kurduğu belirlendi. Citizen Lab bu zincire dayanarak en az 45 cihazın AdFection yöntemiyle hedeflendiğini ve Candiru saldırısına uğradığını yüksek güven düzeyiyle değerlendirdi.

TechCrunch’ın 15 Ekim tarihli haberinde Citizen Lab araştırmacısı Bill Marczak, reklamlardan yararlanan bu yöntemin sahada ilk kez somut teknik kanıtla belgelendiğini söyledi. Hedef alınan 45 cihaz Windows işletim sistemini kullanıyordu. Candiru, hedeflenen cihazların iletişim ve saklanan verilerine erişmek için kullanılan ticari gözetim yazılımlarından biri.

Dört milyar reklam kaydı ne gösterdi?

Araştırmacılar dört aylık döneme ait yaklaşık dört milyar reklam teklif kaydını inceledi. Citizen Lab’in bulgularına göre Discover-Tech reklamları onlarca ülkede yaklaşık 200 bin farklı internet sitesi ve Android ya da iOS uygulamasında görüntülendi. Yaklaşık 200 bin rakamı, reklamların yayımlandığı benzersiz site ve uygulama sayısını ifade ediyor.

Reuters’ın 15 Ekim tarihli araştırma haberinde reklamların 120 binden fazla web sitesi ve 75 bin uygulama üzerinden dağıldığı aktarılıyor. Siber güvenlik şirketi Confiant’ın kurucularından Jérôme Dangu, Discover-Tech’in günde en az 10 milyon reklam yayımladığını söyledi. Dangu, reklam kimliklerini eşleştiren veri paylaşımı nedeniyle faaliyetlerden etkilenmiş olabilecek kullanıcı sayısının yüz milyonlarla ifade edilebileceği görüşünü dile getirdi.

Ağ kayıtları, şirketin reklamlar aracılığıyla milyonlarca cihazı Candiru sunucularıyla iletişime yönlendirdiğini belirledi. Rapora göre bu trafik, cihazların izlenmesi ve hangi hedeflerin seçileceğine ilişkin keşif faaliyetlerinde kullanılmış olabilir. Araştırmacılar cihaz tanımlayıcılarının eşleştirilmesini, tarayıcı çerezlerinin okunmasını ve IPv6 adreslerinin toplanmasını teknik izlerde kaydetti.

NATO, BM ve savunma kurumlarının ağlarında reklam gösterimi

Reklam gösterim kayıtlarında NATO ile bağlantılı ağların yanı sıra savunma bakanlıkları, silahlı kuvvetler, ulusal siber güvenlik kurumları, uluslararası kuruluşlar ve kritik altyapı kurumlarıyla ilişkilendirilen bağlantılar bulunuyor. Araştırmacılar, bu ağlardaki reklam gösterimlerinin en azından cihaz ve kullanıcı profili oluşturmak için veri aktarımı sağladığını belirtti. Bu kurumların cihazlarında kaç casus yazılım bulaşması yaşandığını açıklayan bir teknik bulgu raporda yayımlanmadı.

Financial Times’ın araştırma hakkındaki haberinde NATO ve Avrupa Komisyonu bağlantıları, rapordaki hassas ağ örnekleri arasında sayıldı. Citizen Lab, El Cezire olayında doğruladığı saldırı zincirini diğer kurumlardaki reklam gösterimlerinden ayrı kayıtlarla ele aldı. Gösterim verileri, reklamın hangi ağ ortamında yüklendiğine ilişkin gözlem sağlıyor.

Google ve reklam platformları hangi işlemleri yaptı?

Discover-Tech, reklam satın almak için MyDSP adlı sisteminden ve farklı reklam aracılarından yararlanıyordu. Citizen Lab, Google, Yandex, Vungle (Liftoff) ve Sunteng ağlarını; MyDSP dışındaki kanallar olarak da Eskimi ile Comcast grubuna bağlı Beeswax platformunu sıraladı. Şirketin 2020’den 2026’ya kadar bazı sektör listelerinde onaylı reklam satıcısı olarak yer aldığı belirlendi.

Araştırma sırasında Google, Discover-Tech’in reklam alışveriş platformlarına erişimini sonlandırdı. IAB Europe şirketi onaylı tedarikçi kayıtlarından çıkardı; Beeswax reklam satın alma erişimini kesti. Vungle inceleme süresince erişimi durdururken Eskimi ilgili hesapları ve alan adlarını engelledi. Bu işlemler Citizen Lab’in yayımladığı bulguların ardından ekim ayı başında uygulandı.

Candiru ile diğer İsrailli gözetim şirketlerinin bağlantısı

Çalışma, Discover-Tech’i birden fazla ticari casus yazılım sağlayıcısıyla bağlantılı bir reklam aracısı olarak inceledi. Raporda Candiru’nun Integrity Labs adını da kullandığı, şirketin 2021’de ABD Ticaret Bakanlığının kısıtlama listesine alındığı anlatılıyor. Araştırmacılar Discover-Tech’in yönetim ve ortaklık yapısında geçmişte başka gözetim şirketleriyle ilişkili kişilerin de bulunduğunu kaydetti.

Gelişmiş casus yazılımların kamu kurumlarındaki kullanımına ilişkin başka bir dosya, Polonya Parlamentosunun Pegasus soruşturmasında ele alınmıştı. Polonya’daki inceleme, satın alınan gözetim yazılımının kamu kurumlarınca denetlenmesini ve verilerin ülke dışına aktarılmasını konu alıyor. Discover-Tech araştırması ise reklam pazarından sağlanan hedefleme verileri ile casus yazılım dağıtımı arasındaki teknik bağlantıya odaklanıyor.

Reuters, Discover-Tech’e şirketin internet sitesi üzerinden ulaşmaya çalıştığını, CEO Dekel Boni’ye gönderilen mesajlara yanıt alamadığını aktardı. Reuters ayrıca Candiru sahiplerine ulaşamadı. Citizen Lab, bulgularını reklam teklif kayıtları, internet altyapısı incelemesi ve El Cezire’nin sağladığı bağlantı günlükleriyle destekliyor.