Hack 4 Career E-Kitap 2023

mertsarica

Hack 4 Career E-Kitap 2023 Copyright © by Mert SARICA. All Rights Reserved.

This book was produced with Pressbooks.

Contents

Giriş

1. Kripto Para Dolandırıcıları

2. Pratik Veri Sızıntısı Analizi

3. e-Devlet Hacklendi mi?

4. WhatsApp Dolandırıcıları

5. Evim Evim Güvenli Evim

6. Akıllı Izgaramı Nasıl Hackledim ?

7. e-Devlet Hesaplarımızı Nasıl Hackliyorlar?

1

Giriş

2009 yılında “Bilgi güçtür ve paylaşıldıkça artar” mottosuyla oluşturduğum blogumda, bilgi güvenliği farkındalığını arttırma adına çok sayıda teknik yazıya yer vermeye çalıştım. Yıllar içinde okurlarımdan aldığım olumlu geri dönüşler sonucunda, yazılarımı yıllar bazında e-kitap olarak derlemeye ve siber güvenlik meraklıları ile paylaşmaya karar verdim.

Emek, zaman ve kaynak ayırarak yaptığım araştırmalar sonucunda yazdığım bu yazıların, siber güvenlik alanında kendini geliştirmek isteyenler için faydalı olması dileklerimle…

Mert SARICA
https://www.mertsarica.com
https://twitter.com/MertSARICA
https://www.linkedin.com/in/mertsarica
CCISO, CISSP, SSCP, OSCP, CREA & CEREA

1

Kripto Para Dolandırıcıları

If you are looking for an English version of this article, please visit here.

Yıllar içinde dolandırıcılar tarafından kimi zaman direkt (LinkedIn Dolandırıcıları, Sponsorlu Dolandırıcılık) kimi zaman dolaylı yoldan hedef alındıkça (Profilime Kim Baktı ?), bunları blog yazısına döküp etrafımdakileri bu konuda uyarmayı kendime görev edindim. Öyle ki bazı zamanlarda eşten, dosttan, yakın çevremden de dolandırıcılık girişimleri ile ilgili mesajlar alıp, bunları da (Instagram Dolandırıcıları) fırsat buldukça yazıya dökmeye çalıştım. Bu defa da yine kaleme aldığım yeni bir dolandırıcılık girişimi ile karşınızdayım.

2022 yılının Haziran ayında Twitter hesabımdan da duyurduğum üzere bu girişim, Anna isimli korumalı Twitter hesabından 14 Haziran 2022 tarihinde gelen bir mesaj ile başladı. Bu mesajda Anna, uzun zamandan beri beni görmediğinden bahsederek sohbete başladı. Adımı (Mark), nerede yaşadığımı (Türkiye’de yaşayan bir Belçikalı) ve çalıştığımı (Bir FinTek firmasında Finansal İşler Müdürü (CFO)) öğrendikten sonra konu nerelere nasıl yatırım yaptığımdan, Bitcoin kripto parasının o zamanlardaki değer kaybına geldi.

Sohbete bir süre ara verip bir yandan Anna’nın profilindeki fotoğrafının sahte olduğunu düşünerek fotoğrafın gerçekte kime ait olduğunu bulmaya karar verdim. Bunun için Yandex arama motorunun Görsel Arama özelliğini kullanarak profil fotoğrafının Çinli Shasha Zhao isimli bir kişiye ait olduğunu tespit ettim. Shasha’nın profilinde paylaştığı fotoğraflara göz attığımda ise Anna’nın profil fotoğrafında yer alan fotoğrafı bulmam çok zor olmadı.

Sohbetimizin başlarında Singapur‘da yaşadığını ve konfeksiyon şirketi sahibi olduğunu söyleyen Anna, sohbete WhatsApp üzerinden devam etmek istediğini belirttikten sonra cep telefonu numarası olarak ABD’den bir numarayı (+19295654212) benimle paylaştı. E hani Singapur’da yaşıyordun diye üzerine gittikten sonra manevra yaparak iş nedeniyle ABD’de yaşadığını belirtti. Ardından ilgimi çekmek için ise 300.000$ ile kripto para yatırımından yaklaşık 715.000$ kazandığını paylaştı. Ben de kendisinin beni hızlıca avlayarak taktiklerini ortaya dökmesi için 500.000$ ile yatırım yapmayı düşündüğümü paylaştım.

Kendisiyle onun çok iyi bir yatırımcı olduğunu ve onunla yatırım yapmak istediğimi paylaştıktan sonra kısa vadeli yatırım için MonexCrypto isimli platforma girmem gerektiğini söyledi. Bunun için de https://app[.]monexcrypto[.]net adresini ziyaret edip mobil uygulamayı indirip kayıt olmam gerektiğini paylaştı.

Uygulamayı indirmek için web sayfasına gidip kaynak koduna baktığımda uygulamanın hem Android (update.apk) hem de iOS sürümü olduğunu öğrendim. Android uygulamasını VirusTotal‘a ve Pithus isimli mobil tehdit istihbaratı platformuna yükleyip oldukça şüpheli görünen çıktılarına kabaca göz attıktan sonra zararlı yazılımlara çok daha az rastlanan iOS işletim sistemi için geliştirilmiş olan sürümünü detaylı olarak incelemeye karar verdim.

3. parti uygulamaların iOS işletim sistemi üzerinde çalışmasına imkan tanıyan mobileprovision dosyasının GitHub üzerinde saklandığını gördükten sonra Apple’ın Geliştirici Programı’na kayıtlı, imza yetkisi olan yazılımcı/firma (QuanLi Network Technology Co., Ltd. (SRD7J8LLBV)) ile ilgili bilgileri görüntüledim.

Sıra Apple aygıtlarına ayarları ve yetkilendirme bilgilerini yükleyen verilerden oluşan app.mobileconfig XML dosyasını incelemeye geldi. Dosyayı Xcode içinde yer alan Simulator uygulaması üzerinde çalıştırdığımda bunun https://www.monexcrypto.net web sayfasını açmaya yarayan bir Web Klip (WebClip) olduğunu ve Gang Dai isimli bir geliştiri tarafından imzalanmış olduğunu öğrendim.

Web klipleri: Web kupürü, aygıtın Ana Ekran’ında bir web sitesine veya URL’ye bağlantı sağlayan bir simgedir. Web klipleri isteğe bağlı olarak tam ekran web uygulamalarını başlatabilir ve HTML5 yerel saklama alanını kullanarak çevrimdışı çalışabilir. Konfigürasyon profilleri özel bir başlık ve simge kullanan ve isteğe bağlı olarak silinemez yapılabilen web klipleri içerebilir. Web klipleri, öğrencileri eğitim amacıyla belirli web sitelerine yönlendirebilir. Bir aygıttaki web kupürlerini ayarlama hakkında daha fazla bilgi için Apple Geliştirici belgelerindeki WebClip profil sayfasına bakın.

Web sitesine kayıt olmaya çalıştığımda kayıt formundaki bir alana Kuruluş Kodu girmem bekleniyordu. Dolandırıcılar tarafından forma böyle bir kod koyulmasının amacı muhtemelen siber güvenlik araştırmacılarının ve/veya siber güvenlik üreticilerinin bu sayfayı tespit edip, bilgi toplamalarını engellemekti ve bu zamana kadar da bunu başarmışlardı. Zaman kazanmak için ara ara Anna’ya uygulama kurulumunda hata aldığımı söylediğimde sağolsun ekran görüntüleri ile bana yardımcı olmak için elinden geleni yapıyordu. 🙂 Ben de bunun üzerine kuruluş kodunu öğrenmek için Anna’dan yardım istemeye karar verdim. 🙂

Sıra Kuruluş Kodunu öğrenmeye geldiğinde heyecandan ilk önce Çince kelimeler yazan Anna (muhtemelen İngilizce’si pek iyi olmadığı için Çince-İngilizce çeviri programı kullanarak benimle iletişim kuruyordu) daha sonra forma girmem gereken kodu (768919) benimle paylaştı.

Başarıyla kayıt olup Web Klip ile web sitesini gezmeye başladığımda ilk olarak bir kripto para platformunda olan temel menülerin (anlık piyasa takibi, cüzdana para yatırma, çekme vb.) olduğunu gördüm.

Daha sonra dolandırıcıların kurbanlarını ağlarına düşürmek için en ideal yer olabileceğin düşündüğüm kripto para alma ve çekme sayfası olan Recharge sayfasını ziyaret ettim. Diğer borsalarda, platformlarda olduğu gibi ziyaret ettiğimde karşıma kripto para cüzdanlarıma ait adresler çıktı.

Tarih 28 Haziran 2022‘yi gösterdiğinde, kurbanını dolandırmaya çok yakın olduğunu anlayan Anna, cüzdanıma Binance isimli kripto para borsası üzerinden nasıl kripto para (USDT) göndereceğim konusunda beni yönlendirmeye başladı.

İçten içe acaba Anna gerçekte hangi ülkeden benimle bağlantı kuruyor sorusu kafamı meşgul etmeye başladıkça Anna’nın IP adresini öğrenmek için neler yapabileceğimi düşünmeye başladım. Twitter profilimde kocaman Cyber Security Researcher yazmasına rağmen benden hiç şüphelenmeyen ve ağına düşürmek için planını 15 gündür ilmek ilmek işletmeye devam eden Anna’nın Operasyon Güvenliği (OPSEC) ile ilgili pek bir kaygısı olmadığını tahmin ediyordum. Bu sebeple Anna ile web sitemde barındırdığım ekran görüntülerinin adreslerini Bitly URL kısaltma servisinden faydalanarak paylaşmaya ve IP adresini elde etmeye karar verdim.

Anna, paylaştığım 3 tane bit.ly adresine tıklamaktan zerre kadar imtina etmediği için SOCRadar IOC Radar üzerinden kısa sürede Hong Kong‘da yer alan 45.204.66.140 IP adresinden benimle iletişim kurduğunu öğrenmiş oldum.

MonexCrypto web sitesini gezmeye kaldığım yerden devam ettiğimde, Bitcoin ve Ethereum kripto para cüzdanlarıma ait kripto para adreslerinin gerçek kripto para borsalarında olduğu gibi sadece bana özel üretilip üretilmediğini kontrol etmeye karar verdim. Şayet bu cüzdan adresleri dolandırıcılara ait ise ve her platforma üye olan kişiye (kurban) cüzdan adresi olarak kendi adreslerini gösteriyorlar ise kolay yoldan kurbanlarına ait kripto paraları rahatlıkla çalabilirlerdi. Buna yönelik yaptığım araştırmalar sonucudan;

28 Haziran 2022 tarihinde Bitcoin cüzdan adresimi (3QX2Csna3FEbXD9PxhgEXL36qAfYXWSwQU) Blockchain.com web sitesi üzerinde sorguladığımda, bu cüzdanın 6 Haziran 2022 tarihinde oluşturulduğu ve 29 Eylül 2022 tarihine dek bu cüzdana 55,618.73$ değerinde Bitcoin aktarıldığı ve daha sonrasında çekildiği görülüyordu. Aynı tarihte Ethereum cüzdan adresimi (0xF88997e493C08874d9e0D485463386ABf0EBe6bf) aynı yerde sorguladığımda bu cüzdanın da 26 Haziran 2022 tarihinde oluşturulduğu ve 23 Kasım 2022 tarihine dek bu cüzdana ~839.000$ değerinde Ethereum ve USDT aktarıldığı görülüyordu. Yine aynı tarihte bu defa USDC cüzdan adresimi (0xcfddf006ec9f4af5bf34a6f71af41655fb7d4167) sorguladığımda bu cüzdanın 17 Haziran 2022 tarihinde oluşturulduğu ve 16 Ağustos 2022 tarihine dek bu cüzdana da ~46.000$ değerinde Ethereum ve USDT aktarıldığı görülüyordu.

Feragatname: Herhangi bir hataya karşı Tracers in the Dark: The Global Hunt for the Crime Lords of Cryptocurrency kitabında olduğu gibi uçtan uca kripto para transferlerini takip edebilecek bir IRS ajanı veya Blockchain uzmanı olmadığımı hatırlatmış olayım. 🙂

MonexCrypto web sitesine kayıt olduğum 26 Haziran 2022 tarihinden 29 Ocak 2023 tarihine kadar aşağı yukarı 5 defa MonexCrypto web sitesine girip cüzdan adreslerimi her kontrol ettiğimde değiştiklerini gördüm. Bu bilgilere göre cüzdan adresleri kişiye özel üretilmeyip dolandırıcıların kendi cüzdan adresleriydi ve belli aralıklarda bu adresleri değiştiriyorlardı. Not aldığım değişen cüzdan adreslerimi ve bu cüzdanlara yapılan para transferlerini kabaca alt alta koyup topladığımda, dolandırıcıların tahminimce yaklaşık 3 milyon dolar değerinde kripto para çaldıklarını anladım.

Tabii ben Anna’nın maskesini düşürmeye çalışırken 18 Temmuz 2022 tarihinde FBI, MonexCrypto gibi sahte kripto borsa/yatırım uygulamaları üzerinden yapılan dolandırıcılık girişimlerine karşı bir uyarı yayınladı. Bu uyarıya göre dünya genelinde 244 kişiden yaklaşık 42.7 milyon dolar değerinde kripto para çalınmıştı. 3 milyon dolarının nasıl çalındığını çoktan öğrenmiştim. 🙂

2021 yılında FBI’ın İnternet Suçları Şikayet Merkezi’ne bu dolandırıcılık yöntemiyle ilgili olarak 4.300‘den fazla başvuru yapılmış ve toplamda 429 milyon dolardan fazla kayıp yaşanmıştır. Kasım ayının sonunda ise ABD Adalet Bakanlığı, 2022 yılında dolandırıcılar tarafından kullanılan yedi alan adına el koyduğunu açıkladı. (Kaynak: Wired)

14 Haziran 2022 tarihinden 6 Temmuz 2022 tarihine kadar beni dolandırmak için tüm ikna yollarını tüketen Anna, 6 Temmuz tarihinde isyan bayrağını çekerek sitem dolu mesajlar göndermeye başladı. Ben de dişe diş kana kan diyerek 1 Ağustos 2022 tarihinde Anna’ya FBI’ın uyarısını ileterek kötü adam gülüşüyle sohbetimize son noktayı koymuş oldum. 🙂

Anlaşılan o ki Anna ilerleyen aylarda hız kesmeden gözüne kestirdiği yeni kurbanlarını ağına düşürmeye devam etmiş ve de başarılı olmuş ki SOCRadar Siber Tehdit İstihbaratı platformunda zararlı yazılım (Stealer) tarafından çalındığı tespit edilen bilgiye göre 5 Eylül 2022 tarihinde monexcrypto.net sitesine giriş yapan bazı kullanıcıların parolaları da çalınmıştı.

Ekim ayına geldiğimizde ise Monex Grubu, başta monexcrypto.net web sitesi olmak üzere iki web sitesinin daha grup logolarını izinsiz kullandığına dair bir uyarı yayınladı.

Sonuç itibariyle Anna ve klavye arkadaşlarının Pig Butchering Scam adı verilen, iyi kurguladıkları bu dolandırıcılık yöntemi ile nasıl milyonlarca dolar vurgun yaptıklarını, Apple App Store ve Google Play Store’dan indirdiğimiz uygulamalardan, sosyal medya üzerinden gelen mesajlara kadar neden çok dikkat etmemiz gerektiğini diğer yazılarımda da olduğu üzere detaylı bir şekilde öğrenmiş olduk.

Farkındalık yaratma adına bu yazıyı arkadaşlarınızla, dostlarınızla ve sevdiklerinizle paylaşmanızı önemle rica eder, bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

2

Pratik Veri Sızıntısı Analizi

If you are looking for an English version of this article, please visit here.

Gerçekleştirdikleri fidye yazılım (ransomware) saldırıları ile 2021 yılında 180 milyon dolar gelir elde etmiş ve dünyanın sayılı siber suç çeteleri arasında yer almayı başarmış Rusya destekli Conti grubu, 2022 yılında Rusya’nın Ukrayna’yı işgal etmesi ile önemli bir dönemece gelmişti. Conti grubunun Rus işgalini desteklediğini açıklaması ile uluslararası grup üyeleri arasında oluşan fikir ayrılıkları neticesinde üyelerden biri @ContiLeaks isimli Twitter hesabından grubun kendi aralarında 2020-2021 yıllarında gerçekleştirdiği yazışmaları sızdırmaya başlamıştı ve sızıntılar, siber saldırılarda kullandıkları fidye yazılımlarının kaynak kodunun da sızdırılması ile devam etmişti.

Bir siber güvenlik araştırmacısı olarak bu gibi tehdit aktörlerine ait veriler sızdığında en çok merakımı cezbeden konuların başında bu veriler arasında Türkiye’de hacklenmiş bir sisteme ait bilgilerin ve de Rusça olmayan, özellikle Türkçe yazışmaların, metinlerin yer alıp, almadığı oluyor. Neden diye soracak olursanız, bu tür sayılı tehdit aktörleri tarafından Türkiye’nin ne kadar geniş çapta hedef alındığını ve de bu tür uluslararası, organize, gruplarda hangi milletlerden üyelerin olduğunu öğrenme şansım olabiliyor.

Bu zamana dek bu merakımı gidermek için diğer güvenlik araştırmacılarının analiz çalışmaları ile yetinmeyi tercih etmiş biri olarak buna bir dur demeye, çok daha hızlı bir şekilde bu bilgiye nasıl ulaşabileceğimi öğrenmeye ve benim gibi bu konuya ilgili duyan siber güvenlik araştırmacılarına fikir vermek için kolları sıvamaya karar verdim.

İlk iş olarak Conti grubuna ait yazışmaların da yer aldığı dosyaları vx-underground isimli web sitesinin paylaşım alanından indirdim. Tüm dosyaları teker teker açtığımda içinden 11000‘den fazla dosya çıktı.

Yazışmaların okunabilir metin olarak JSON uzantılı dosyalarda saklandığını (Örnek: 185.25.51.173-20220301.json) öğrendikten sonra ilk iş olarak tüm dosyalardaki IP adreslerini aşağıdaki regex destekli GREP komutu ile bulup, tekilleştirip ip.txt isimli bir dosyaya kaydettiğimde elimde toplamda bu 2 regex paternine uyan 3819 tane IP adresi oldu.

grep -R -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)" > ../ips.txt

grep -iRE "(\b25[0-5]|\b2[0-4][0-9]|\b[01]?[0-9][0-9]?)(\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)){3}" ../ips.txt | grep -E -o '[1-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' | sort | uniq -i > ../../ip.txt

Sıra bu IP adreslerinden hangilerinin Türkiye’ye ait olduğunu bulmaya geldiğinde imdadıma IPinfo API‘si ve Python kütüphanesi yetişti. Elimdeki tüm IP adreslerini (ip.txt) bu kütüphaneden faydalanarak geliştirdiğim IP2Geo Tool v2 isimli araç ile sorguladığımda, bu IP adreslerinden 2 tanesinin (31.210.111.142, 5.188.168.19) Türkiye’de bulunduğunu öğrenmiş oldum.

Elde etmiş olduğum sonucu doğrulamak için ise veri sızıntılarını analiz ederek kurumları anlık olarak haberdar eden Siber Tehdit İstihbarat Platformu SOCRadar‘a göz attığımda, sonuçların örtüştüğünü görmüş ve merak ettiğim ilk konuyu açıklığa kavuşturmuş oldum. 🙂

Sıra merak ettiğim diğer konuya geldiğinde metinden dil tespiti yapabilen Python kütüphanelerine göz atmaya karar verdim. Kısa bir araştırma yaptıktan sonra karşıma bu alanda öne çıkan fastText, langdetect, langid kütüphaneleri çıktı.

Kütüphaneleri teker teker Conti’nin sızan verilerindeki metinler üzerinde test ederken kütüphanelerin kimi metinler için doğru kimi metinler için hatalı dil tespiti yaptığını gördüm. Hangisini kullanacağım konusunda kara kara düşünürken üçünden de faydalanan bir araç geliştirmeye ve kullanan kişinin ihtiyacına, tercihine göre güvenirlik seviyesi (confidence level) parametresi ile bu aracı kullanmasının daha doğru bir yol olacağında karar kıldım.

find . -type f -print -exec cat {} \; > ../logs.txt komutu ile Conti’nin sızan verilerini tek bir dosyada birleştirdikten sonra geliştirdiğim Language Identification aracı ile logs.txt dosyasındaki her bir satırın Türkçe dil tespitine yönelik olarak üç kütüphane tarafından (güven seviyesi olarak High parametresini belirttim) kontrol ettim.

Language Identification aracını kullanmak için ilk parametre olarak öncelikle satır satır analiz edilmesini istediğiniz metin dosyasını belirtmeniz gerekmektedir. İkinci parametre olarak ise hangi dile dair tespit gerçekleştirmesini istiyorsanız o dilin kodunu (Türkçe ise TR, İngilizce ise EN gibi) belirtmeniz gerekmektedir. Opiyonel parametre olan 3. parametre ise güven seviyesini belirlemektedir. Bu seviyeyi High olarak belirlerseniz üç kütüphanenin de belirttiğiniz dil kodunu tespit etmesi durumunda bunu ekranda belirtecektir.

Örnek kullanım: python3 lang_id.py logs.txt TR High

Metin dosyalarında herhangi bir Türkçe kelime, cümle kullanılmadığı için üç kütüphane tarafından Türkçe dil kullanımına dair herhangi bir tespit olmadı. Aracın düzgün çalıştığını test etmek için ise logs.txt dosyasına Türkçe sahte 3 metin eklediğimde ise programın başarıyla bunları tespit ettiğini görmüş oldum. Bu analiz sayesinde Conti’nin sızan verilerine göre grup üyeleri arasında Türkçe konuşulmadığını öğrenmiş ve merak ettiğim son konuyu da netleştirmiş oldum.

İzlediğim bu yöntemin ve geliştirmiş olduğum iki aracın bu gibi veri sızıntılarında güvenlik araştırmacıları, uzmanları için fayda sağlayacağını ümit ederek bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

3

e-Devlet Hacklendi mi?

If you are looking for an English version of this article, please visit here.

Öncelikle yazının sonunda söyleyeceğimi başta söyleyeyim, “Hayır, hack-len-me-di!” Peki bu durumda vatandaş olarak rahat bir nefes alabilir misiniz ? Maalesef hayır. Bunun sebebini de yazının devamında okuyabilirsiniz.

Zaman zaman hortlayan “e-Devlet Hacklendi!”, “e-Devlet verileri çalındı!”, “85 Milyon Vatandaşın Kimlik Bilgileri Çalındı!” vb. haberlerin (#1, #2) çıkış noktasına baktığınızda çoğunlukla dolandırıcıların, siber suç örgütlerinin yer aldığı ve hizmetlerini/servislerini pazarlamaya çalıştıkları Telegram, ICQ, Discord, forumlar gibi mecralarda paylaştıkları ilanların buna sebep olduğunu görebilirsiniz.

Bu ilanları incelediğinizde ise siber suç örgütlerinin “Sorgu Paneli/Checker” adı altında dolandırıcılara kimi zaman ücreti mukabilinde kimi zaman ücretsiz olarak vatandaşların verilerine kurdukları web siteleri, Telegram kanalları ve Discord odaları üzerinden erişim hizmeti/servisi sağladıklarını görebilirsiniz.

Bunları gördükten sonra “Peki ama nasıl?” sorusunun endişeyle aklınızı kurcaladığını tahmin edebiliyorum. Bu soruya yanıt bulmak için siber suçluların, dolandırıcıların, tehdit aktörlerinin her adımını yakından takip eden ve bunlara yönelik olarak müşterilerini uyaran SOCRadar Siber Tehdit İstihbaratı firmasında çalışan bir profesyonel olarak elimdeki imkanlardan sonuna kadar faydalanmaya karar verdim.

Bunun için ilk olarak SOCRadar’ın XTI platformu tarafından izlenen Telegram kanallarında kısa süreli bir gezintiye çıktım.

Sorgu panellerine yönelik arama yaptığımda bazı Telegram kanallarında bu panellere ait dosyaların bazı kişiler tarafından paylaşıldığını gördüm.

Son 1.5 yılda dolandırıcılar arası artan rekabetin kimilerinin piyasadan çekilmesine kimilerinin ise hacklenmesine yol açtığını öğrendim.

Sorgu panellerinin nasıl çalıştığını öğrenmek için paylaşılan dosyaları (kaynak kodları) yakından incelemeye başladım. Bazı kaynak kodlarında dolandırıcıların, tanıdıkları, akrabaları olduklarını tahmin ettiğim TCKN bilgilerine yönelik kontrol koyduklarını gördüm. Örneğin herhangi bir kişi bu TCKN bilgisini panel üzerinde sorgulattığında işlem gerçekleşmiyordu.

Bazı kaynak kodlarında ise bu kaynak kodlarını indirip daha sonra kullanacak dolandırıcıların web sitelerine sızmak için arka kapı (web shell) yerleştirildiğini tespit ettim.

Kaynak kodlarında yer alan tehdit aktörlerinin imzalarını (rumuz/nickname) SOCRadar XTI platformunda arattığımda hangi Telegram kanallarında barındıklarını ve onlarla ilgili olan mesajları okuma şansı elde ettim. (siber güvenlik uzmanları, emniyet yetkilileri için müthiş bir imkan!)

Sıra bu sorgu panelleri üzerinden vatandaşlara ait bilgilere nasıl erişildiğini öğrenmeye geldiğinde, 3 farklı panele ait kaynak kodları üzerinde yapmış olduğum araştırmalarda iki farklı yöntem ile karşılaştım.

Birinci yöntemde panel üzerinden yapılan sorgular aynı veya farklı dolandırıcılara ait başka sistemlere yani Web APIlere, Web APIlerden de kuvvetle muhtemel çalıntı hesap bilgileri (çerez/cookie) ile erişim yetkisi olan web sitelerine (devlet, üniversite vb.) iletiliyordu. Gelen yanıtlar da yine aynı yol üzerinden sorguyu yapan kullanıcılara/kişilere geri iletiliyordu. İletişimi kısaca akışa dökmem gerekirse;

Kullanıcı -> Sorgu Paneli (Dolandırıcıya ait) -> API (Dolandırıcıya ait) -> Web Sitesi (yetkili, çalıntı bir hesabın çerezi ile erişim)

API Nedir?
API’ler, iki yazılım bileşeninin belirli tanımlar ve protokoller aracılığıyla birbiriyle iletişim kurmasına olanak tanıyan mekanizmalardır. Örneğin, meteoroloji müdürlüğünün yazılım sistemi, günlük hava durumu verilerini içerir. Telefonunuzdaki hava durumu uygulaması, API’ler aracılığıyla bu sistemle “konuşur” ve telefonunuzda size günlük hava durumu güncellemelerini gösterir. (Referans: Amazon)

İkinci yöntemde ise bu defa panel üzerinden yapılan sorgularda arada Web API olmadan yine kuvvetle muhtemel çalıntı hesap bilgileri (çerez/cookie) ile erişim yetkisi olan web sitelerine (devlet, üniversite vb.) iletiliyordu. Gelen yanıtlar da yine bir önceki yöntemde olduğu gibi aynı yol üzerinden sorguyu yapan kullanıcılara/kişilere geri iletiliyordu. Bunun da iletişimine akışa dökmem gerekirse;

Kullanıcı -> Sorgu Paneli (Dolandırıcıya ait) -> Web Sitesi (yetkili, çalıntı bir hesabın çerezi ile erişim)

Kuvvetle muhtemel çalıntı hesaplarla yapılıyor dememin başlıca sebebi SOCRadar’ın siber tehdit istihbaratı platformunda kötüye kullanılan bu web sitelerini arattığımda, erişim bilgilerini içeren kayıtların (stealer logs: kullanıcı adı, parola, çerez vb.) yeraltı dünyasında satıldığını görmem ile oldu. Muhtemelen bazı tehdit aktörleri bu sitelere, sistemlere erişim yetkisi olan kullanıcıların sistemlerini hackleyip, elde ettikleri bu bilgileri (stealer logs) başka tehdit aktörlerine, dolandırıcılara satıyorlar. Yazının sonundaki videoda geçen ifadelerin de bunu destekler nitelikte olduğunu söyleyebiliriz.

Ayrıca yaptığım araştırmalarda Web APIlerinin de sorgu panelleri gibi yeraltı dünyasında (underground) ayrı bir piyasasının olduğunu öğrendim.

Kaynak kodlarını incelemeye devam edip TCKN bilgisi ile hangi bilgilerin bu paneller üzerinden elde edilebileceğine dair kodlara göz attığımda kabaca aşağıdaki bir tablo ortaya çıktı.

Kaynak kodlarını incelemeye devam ettiğimde, önceki konudan bağımsız olarak yine son günlerde haberlere ve tartışmalara konu olan yaklaşık 131 adet kişi ve kimlik fotoğrafları ile de karşılaştım. Bunları geçmiş haberlerde yer alan görüntülerle kıyasladığımda bunların binlerce kişinin dolandırıldığı kripto para borsası Thodex ile ilişkisi olduğunu, 2021 yılından beri dolandırıcıların elinde bulunduğu ve 50 TL‘ye satıldığını öğrendim.

Konuyu toparlayacak olursak, e-Devlet hacklenmemiş olsa da biz sade vatandaşlar için maalesef ortaya endişe verici bir sonuç çıkıyor. Bu düzeyde, organize dolandırıcılıklara karşı verilerimizin, bilgilerimizin güvenliğini bireysel olarak sağlamamız veya elde edildiğini düşündüğümüz verileri değiştirmemiz, güncellememiz (TCKN, Anne Adı, Baba Adı, Kızlık Soyadı vb.) pek mümkün değil bu nedenle;

Bu şekilde çalınan, kötüye kullanılan hesapları, web sitelerini/APIlerini/servislerini siber tehdit istihbaratından, platformlarından, hizmetlerinden faydalanarak tespit etmek ve müdahale etmek için yetkililere büyük bir görev düşüyor.

Her ne kadar emniyet güçlerinin dolandırıcılara, tehdit aktörlerine karşı operasyonları aşağıdaki gibi hız kesmeden devam etse de, kötüye kullanılma riski olan bu tür web sitelerinde/APIlerde/servislerde yazılım ve ağ seviyesinde güvenlik kontrollerinin uygulanması (Mümkün olan yerlerde Captcha kontrolü, bir sayfaya/servise maks x saniyede y web isteği yapılabilmesi, çoklu istek yapılması durumunda hesabın askıya alınması ve incelenmesi, ağ bağlantısının kesilmesi, ilave doğrulama adımlarına tabi tutulması gibi gibi), sistemlerin sıkılaştırılması da (hardening) büyük önem arz ediyor.

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

One or more interactive elements has been excluded from this version of the text. You can view them online here: https://pressbooks.pub/hack4career2023/?p=291#oembed-1

4

WhatsApp Dolandırıcıları

If you are looking for an English version of this article, please visit here.

[powerkit_toc title=”İÇİNDEKİLER” depth=”2″ min_count=”4″ min_characters=”1000″]

Başlangıç

Son günlerde hemen hemen WhatsApp uygulaması kullanan herkesi rahatsız eden yabancı cep telefonu numaralarından gelen çağrılardan, mesajlardan ben de yakın zamanda nasibimi aldım ve tabii ki diğer dolandırıcılıklarla ilgili yazılarımda (Kripto Para Dolandırıcıları, LinkedIn Dolandırıcıları, Instagram Dolandırıcıları) olduğu gibi farkındalık yaratma adına bunu da araştırmak, yazıya dökmek için kolları sıvadım.

Bu hikaye 31 Temmuz 2023 tarihinde rehberimde kayıtlı olmayan, Malezya ülke koduna sahip bir cep telefonu numarasından (+60 11-6436 2947) aldığım mesaj ile başladı. Bu mesajda şüpheli şahıs, Türkiye’de turizm verilerinin artmasına yardımcı olmak amacıyla pazar araştırması yaptığını ve 3 basit soru sorarak 180 TL kazanabileceğimi söylüyordu.

Bu şahsın profiline baktığımda 3 Temmuz 2023‘ten beri WhatsApp uygulamasını kullandığını ve profil fotoğrafını Yandex arama motorunun Görsel Arama özelliğini kullanarak internette arattığımda tahmin ettiğim üzere, bazıları sahte olmak üzere çok sayıda farklı hesapta kullanıldığını, paylaşıldığını öğrendim.

Dolandırıcının tüm sorularını yanıtladıktan sonra bana bir ödül kodu verip hesabıma ödeme yapılabilmesi için Telegram’da Rsp_Nilu kullanıcı adına sahip Nilu BALPANÇ isimli bir kişi ile iletişime geçmemi söyledi. Telegram Desktop uygulamasına göre profil fotoğrafının 30 Temmuz 2023 tarihinde yüklediği anlaşılan bu kişi ile iletişime geçtiğimde, vermiş olduğum banka hesap numarasının hatalı olduğunu söyledi. Bir süre yazıştıktan sonra istediğinin hesap numarası değil IBAN numarası olduğunu anladıktan sonra beklediği bilgiyi kendisine en azından hata almayacağı fakat para transferini de gerçekleştiremeyeceği şekilde yine yanlış olarak ilettim. 🙂

“Dolandırıcıyı dolandırdım, hesabıma para göndermelerini sağlattım” veya “Dolandırıcıdan parayı aldım, elektrik faturamı ödedim.” demek, dolandırılmış masum bir vatandaşın parası yani çalıntı para ile işlem yaptığınız anlamına gelebilir.

Bu hesaplara yönelik soruşturma başlatıldığında dolandırıcılarla ilişkiniz olup olmadığına dair kendinizi sanık koltuğunda, savunma yaparken bulabilirsiniz bu nedenle sakın ola dolandırıcılarla finansal bir ilişki içinde yer almayın.

Hesabınıza dolandırıcıların hesaplarından para transferi yapıldıysa ivedilikle bankanızla iletişime geçin.

Hesapla ilgili hata aldığını paylaştığında aklımı hemen bir soru kurcalamaya başlamıştı. Gerçekten kurbanlarının güvenlerini kazanmak için öncesinde onların banka hesaplarına bir miktar para mı gönderiyorlardı? Bunun için dolandırıcıya ilettiğim IBAN numarasına para transferi yapılıp yapılmadığını sorgulattığımda para transferi yapıldığını öğrendim! Kaz gelecek yerden tavuk esirgemeyen dolandırıcıların tezgahı yavaş yavaş ortaya çıkıyordu.

Parayı ve dekontu almadan görevleri yapmayacağımı kendisine söyledikten sonra dekontu gönderen dolandırıcı ardından beni 64 kişiden oluşan Yarı Zamanlı Görev Grubu isimli bir Telegram grubuna aldı. Grupta günlük olarak paylaşılan görevleri yerine getirirsem görev başına 60 TL kazanabileceğimi de belirtmeyi ihmal etmedi.

Dolandırıcıya para transferini X bir bankadan mı yaptığını sorduğumda, ödemelerin üçüncü bir parti tarafından yapıldığını söyledi. Bu defa yeni bir soru aklımı kurcalamaya başladı. Dolandırıcılar, ağlarına başka yöntemlerle düşürdükleri kurbanlarının hesaplarını bu dolandırıcılık operasyonunda paravan olarak mı kullanıyorlardı yoksa bu hesaplar gerçekten dolandırıcıların kendilerine mi aitti?

Hızla bu ve aklımı kurcalayan aşağıdaki diğer soruların yanıtlarını aramaya koyuldum.

Cep telefonu numaralarımızı nereden, nasıl bulmuş olabilirlerdi? Kurbanlarını nasıl ağlarına düşürüyorlardı? Para transferi için kullanılan hesaplar kimlere aitti? Bu operasyonu hangi ülkeden yürütüyorlardı? Dolandırıcılar Türkçe biliyorlar mıydı yoksa çeviri araçları mı kullanıyorlardı?

Cep telefonu numaralarımızı nereden ve nasıl bulmuş olabilirlerdi?

e-Devlet Hacklendi mi? başlıklı yazımda olduğu üzere bilgilerimizin yer altı dünyasında elden ele gezdiği son yıllarda tehdit aktörlerinin, dolandırıcıların cep telefonu bilgilerimize ulaşmak için ilave bir efor harcayarak bir yerleri hacklediğini ve oradan bu bilgileri sızdırdığına pek ihtimal vermiyorum.

Neden derseniz, tehdit aktörlerini, dolandırıcıları siber dünyada adım adım izleyen ve buna yönelik olarak müşterilerine anlık olarak siber tehdit istihbaratı sağlayan SOCRadar XTI platformunda örnek bir cep telefonu numarasını arattığımda, yer altı dünyasında paylaşılan veri sızıntıları dosyalarında bu cep telefonu numaralarının yer aldığını görebildim. Hatta birden fazla sızıntı dosyasında ortak olarak kullanılan cep telefonu numarasından bir kişi ile ilgili eksik bilgileri de tamamlamak mümkün olabiliyor.

Ayrıca WhatsApp üzerinden buna benzer gerçekleştirilen dolandırıcılıkların dünyanın başka ülkelerinde de yapıldığını unutmamak gerekiyor dolayısıyla uluslararası bir dolandırıcılık şebekesi ile karşı karşıya kaldığımızı söylersek yanlış olmaz.

Kurbanlarını nasıl ağlarına düşürüyorlardı?

Yarı Zamanlı Görev Grubu isimli bir Telegram grubuna girdikten kısa bir süre sonra görevlerin paylaşıldığı, ekran görüntülerinin ve yazışmaların yağmur gibi yağdığı bir ortamda kendimi buldum ve grupta olan biteni izlemeye karar verdim.

Bir süre izledikten sonra yöneticiler de dahil olmak üzere gruptaki kişilerin isim – profil resimleri ve kullandıkları dil arasında uyuşmazlık olması dikkatimi çekti. Birkaç profil fotoğrafını yazının başında olduğu gibi internette arattığımda bambaşka kişilere ait olduğunu dolayısıyla sahte olduğunu tespit ettim.

Gruba gönderilen Türkçe mesajlardaki yazım hatalarından, zaman zaman Türkçe konuşan kişilerin Çince ve İngilizce cümleler de kurmasından dolayı gruptaki çoğu kişinin aslında bot olduğunu anladım.

İşin kötü yanı ise botlar tarafından kullanılan profil fotoğraflarının masum vatandaşlarımıza ait olduğu anlaşılıyordu.

Türkiye saati ile saat 09:00‘da başlayan, 20 dakikada bir yenilenen ve akşam saat 20:30‘a kadar süren görevlerde, grup yöneticisi tarafından paylaşılan YouTube kanallarına abone olunması ve ekran görüntüsünü ya grupta ya da grup yöneticileri ile paylaşması bekleniyordu. Bu paylaşımları yapanların da bu işten kazanç elde edebileceği vadediliyordu. Ayrıca daha fazla para kazanmak ve özel odalara katılabilmek için de tüccar görevi yapmanız bekleniyordu. Bunun için de en düşük miktar olan 500 TL yatırmanız ve bunun karşılığında 650 TL kazabileceğiniz belirtiliyordu.

Görev esnasında paylaşılan bu YouTube kanalları, gruptaki kurbanları ikna etmek adına dolandırıcılar tarafından rastgele seçilen kanallar mıydı yoksa takipçi kazanmak için hizmet satın alan kişilerin kanalları mıydı sorusunun yanıtını bu zaman zarfında bulma şansım maalesef olmadı.

Takipçi hizmeti satın alanların istemeden de olsa bu tür dolandırıcıları finanse etme ihtimali olduğunu da unutmamaları faydalı olacaktır.

Abone olduklarına dair ekran görüntülerini paylaşan botlar zaman zaman paylaşımlarından elde ettikleri kazançları içeren dekontlarını da paylaşmayı ihmal etmiyorlardı. Dekontlara baktığımda bazılarında gözle görülür fotomontaj yapıldığı anlaşılıyordu. Diğer yandan dolandırıcıların dekontlardaki her bir bilgiyi değiştirmekle uğraşmayacaklarını tahmin ettiğim için alıcı/gönderici banka adı ile alıcı/gönderici IBAN numarasındaki banka kodu arasındaki uyumsuzluklar da hemen dikkatimi çekti.

Bir yandan gün içinde gruba dolandırıcıların yeni kurbanlar eklediğini de gördüm. Neyse ki tezgahın farkına varanlar hem diğerlerini uyardılar, hem de gruptan hemen ayrıldılar.

Grupta paylaşılan ekran görüntülerini dikkatlice incelediğimde, çeşitli ipuçlarından bunlardan bazılarının sanal telefon yazılımlarına (Android Emulator vb.) ait olduğunu, bazılarının da operatör isimleri içermesi ve ayrıca başka uygulamalar da çalıştırmaları nedeniyle gerçek, belki de hacklenmiş telefonlar olabileceğine kanaat getirdim.

Bazı ekran görüntülerinde, muhtemelen Türkiye’den bir IP adresine sahip olmak için VPN kullandıklarını gördüm. Ayrıca botların toplu abonelik işlemi gerçekleştirdikten sonra kimi zaman YouTube’dan hata aldığı (Resource has been exhausted (e.g. check quota).) gözümden kaçması. Görevin başlangıcı esnasında ve sonrasında abone olunması (Subscribe) istenilen YouTube hesaplarının abone sayılarına baktığımda 2000 arttığını gördüm. Buradan yola çıkarak basit bir hesapla dolandırıcıların bu iş için binlerce bot ordusuna sahip olduklarını söyleyebilirim.

Saat 20:30 olduğunda sözde kişiler yani botlar birbirlerine iyi geceler dedikten sonra grup bir sonraki gün sabah saat 09:00‘a kadar sessizliğe bürünüyorlardı. Yine aklıma çeşitli sorular takılmaya başladı. Türkiye’de FAST sayesinde 7/24 para transferi yapılabiliyorken neden saat 20:30‘da uykuya geçiriyorlardı? Botları yöneten dolandırıcının/operatörün bulunduğu lokasyonda gece geç saat olduğu için mesaisini ve botları bu saate göre mi ayarlamıştı? Bu sorularıma yanıt bulmayı daha sonraya bırakıp araştırmama kaldığım yerden devam ettim.

4 Ağustos 2023 tarihinde Telegram grubunun kapatıldığını farkettim ve dolandırıcı ile iletişime geçip beni gruba tekrar geri almasını istedim. Bu defa gruba girdiğimde grup üyelerinin listesi gizlenmişti. Dolandırıcılık girişimin detaylarını öğrenmek için grubu bir süre izleyip, 4 görevi tamamladıktan sonra beni hem daha kalabalık bir gruba alması hem de hesabıma parayı yatırması için dolandırıcı ile iletişime geçtim.

Tabii ki dolandırıcı bunun için 4 tüccar görevini (500 TL öde 650 TL kazan modeli) tamamlamam gerektiğini belirtti. Ödemeyi nereye, nasıl yapacağımı sorduğumda banka hesabına yapabileceğimi söyledi. Dolandırıcıların daha fazla vatandaşımızı mağdur etmemesi adına bu banka hesaplarını hızlıca öğrenmem ve o bankaların yetkililerine izlemeleri için iletmem gerekiyordu. Vakit kaymeden dolandırıcıya ödeme yapmak istediğimi söyledim.

Birinci hesap bilgisini öğrendikten ve ilgili banka yetkilisini bu konuda haberdar ettikten sonra dolandırıcıya para transferimin gerçekleştirilemediğini, hesaplarında sorun olduğunu söyledim. Ardından ikinci bir hesap bilgisi vermesi konusunda onu ikna etmeye çalıştım ve başardım. 🙂

Olmuyor, etmiyor, şöyle problem var, çağrı merkezini aramam lazım, banka şubesine gitmem lazım, tamam sorunu çözdüler diye diye günün sonunda dolandırıcıların 4 farklı bankada kullandığı 5 farklı hesap bilgisini bu bankaların yetkilileri ile hızlıca paylaştım ve çok kısa sürede daha fazla vatandaşımızın mağdur olmasını el birliği ile engellemiş olduk. Bu noktada isimlerini açıklayamadığım bankalara ve oradaki tüm yetkililere hızlı aksiyonları için de ayrıca da teşekkür ederim. 15 yıl boyunca farklı farklı bankalarda çalışınca bu gibi durumlarda kime ulaşacağınızı bilmenizin de hızı arttıran önemli etkenlerden biri olduğunu söyleyebilirim. 🙂

Elde ettiğim tüm bu bilgiler ışığında dolandırıcıların kurduğu tezgahı özetleyecek olursam;

WhatsApp üzerinden yabancı bir numara kullanarak kurbanla iletişime geçip bir Telegram grubuna alıyorlar. Telegram grubunda botlar tarafından gerçekleştirilen yazışmaların ve paylaşılan dekontların tamamı kurbanı etkilemek, ikna etmek adına yapılan düzmecesinin önemli bir parçası oluyor. En başta kurbanın hesabına 180 TL göndererek güven kazanan dolandırıcılar, daha fazlası için kurbanı ödeme yapması konusunda ikna etmeye çalışıyorlar. Dolandırıcılar para transferleri için birden fazla bankada açılmış hesapları kullanıyorlar. Kurbanın gün içinde Telegram grubunda paylaşılan 26 YouTube hesabına abone olmasını sağlayarak muhtemelen bundan da ya ana ya da yan kazanç elde ediyorlar yani bir taşla iki kuş!

Para transferi için kullanılan hesaplar kimlere aitti?

Kötüye kullanılan hesap bilgilerini dolandırıcıdan teker teker aldıkça aklımı yine farklı sorular kurcalamaya başlamıştı. Bu hesap sahiplerinin isim ve soyadlarını LinkedIn sosyal ağında arattığımda isim benzerliği ihtimali de olsa çoğunun ya şuan da ya da yakın bir zamana kadar üniversite öğrencisi olduğunu gördüm. Bunlar dolandırıcılar ile bilerek ve isteyerek işbirliği yapan 20’li yaşlarındaki genç kişiler miydi yoksa hayat şartlarının zorluğu nedeniyle gelir elde etme uğruna dolandırıcılar tarafından istismar edilen öğrenciler miydi? Maalesef bu soruya yanıt bulma şansımın olmayacağını bilerek aklımı kurcalayan diğer soruların yanıtlarını aramaya devam ettim.

Bu operasyonu hangi ülkeden yürütüyorlardı?

Yerli de olsa yabancı da olsa dolandırıcıların çoğunlukla Operasyon Güvenliğine önem vermediklerini Kripto Para Dolandırıcıları gibi benzer araştırmalarımda da tecrübe ettiğim için bu dolandırıcıda da IP adresini tespit etmek için aynı yöntemi denemeye karar verdim.

Bunun için websiteme yüklediğim sahte ekran görüntüsünün adresini Bitly URL kısaltma servisinden faydalanarak paylaşmaya ve IP adresini elde etmeye çalıştım.

Dolandırıcı ilk önce bağlantı adresine tıklamaktan çekinse de işin ucunda gelir olduğu ve klavyenin diğer tarafında da benim olduğumu bilmediği için gözünü kararttı ve tıkladı. Ben de websitemin kayıtlarından elde ettiğim IP adresini SOCRadar IOC Radar üzerinde arattığımda dolandırıcının 171.102.239.190 IP adresi ile benimle Tayland üzerinden iletişim kurduğunu öğrendim.

Tayland ile Türkiye arasında 4 saat fark olduğunu öğrendiğimde botların neden Türkiye saati ile 20:30’da, Tayland saati ile 00:30’da birbirlerine iyi geceler dediğini anlamış oldum. 🙂

Tabii websitemdeki kayıtlardan sadece dolandırıcının bulunduğu ülkeyi öğrenmekle kalmadım. User-Agent başlığında yer alan 007scrm/4.58.8 bilgisinden bu dolandırıcının birden fazla sosyal medya hesabını yönetmek ve kurbanları ile haberleşmek için için SCRM Windows isimli uygulamayı kullandığını da öğrendim.

Dolandırıcılar Türkçe biliyorlar mıydı yoksa çeviri araçları mı kullanıyorlardı?

Ekran görüntülerine göz attığınızda hem gruptaki botların hem de dolandırıcının/operatörün çeviri araçları kullandığı anlaşılıyordu ancak yine de emin olmak için çeviri araçlarının %100 başarısız olacağı ancak sadece Türkçe bilenlerin anlayabileceği Anadolu ağızlarına ve yazım hatalarına başvurmaya karar verdim. Ekran görüntüsünden de anlaşılacağı üzere çeviri programları Anadolu ağızları karşısında çuvalladıkları için çeviri araçları kullandıklarından emin olmuş oldum. 🙂

Sonuç

e-Devlet Hacklendi mi? blog yazımdaki yerli ve milli dolandırıcılarımız yetmiyormuş gibi bir de üzerine vatandaşlarımızı ağlarına düşürmeye çalışan okyanus ötesinden dolandırıcıların eklenmiş olduğunu üzülerek öğrenmiş oldum.

Dolandırıcılık girişimlerine karşı kaynağını bilmediğimiz yerlerden gelen çağrıları, mesajları yanıtlamadan önce hattın, klavyenin diğer ucunda potansiyel bir dolandırıcı olduğunu, bedava peynirin sadece fare kapanında olacağını her zaman aklınızın bir köşesinde bulundurmanız gerekiyor.

WhatsApp uygulaması özelinde bilinmeyen numaralardan gelen çağrıları sessize alarak (Ayarlar -> Gizlilik -> Aramalar -> Bilinmeyen kullanıcıları sessize al) en azından bir süre sizi rahatsız etmelerinin önüne geçebilirsiniz.

Bu dolandırıcılık yöntemine karşı farkındalık yaratmak adına bu yazıyı eşinizle, dostlarınızla, sevdiklerinizle, çevrenizdekilerle paylaşabilirseniz hep birlikte daha fazla vatandaşımızın dolandırılmasının önüne geçebiliriz!

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

5

Evim Evim Güvenli Evim

If you are looking for an English version of this article, please visit here.

2022 yılının sonlarına doğru eşimle birlikte ABD’ye yerleşme kararı aldığımızda ilk iş olarak kendimize barınacak bir ev bulmamız gerekiyordu. İstanbul’da yıllarca 7/24 güvenliğe sahip bir sitede oturduğumuz için güvenlik konusunda bu zamana dek pek bir kaygımız olmamıştı ancak mevzu bahis ABD’de müstakil bir evde yaşamak ve fiziksel güvenliğini sağlamak olunca, bir siber güvenlik profesyoneli olarak iş başa düştü. 🙂

Arda AKBAŞ Hanım sayesinde ABD’ye adım atmadan (remote) suç oranı oldukça düşük bir bölgede kendimize 3 katlı, müstakil bir ev bulduktan sonra ilk iş olarak Google Haritalar ile evin dış cephesini inceleyerek dış mekan kameraları için uygun olan yerleri kabaca belirlemeye çalıştım.

Sıra uygun bir alarm sistemi bulmaya geldiğinde, DIY sevdalısı biri olarak Ring, Eufy, SimpliSafe, ADT Blue alarm sistemleri dikkatimi çekti. Uzun incelemeler ve değerlendirmeler sonucunda her ne kadar hakkında mahremiyete ve zafiyetlere dair olumsuz haberler çıkmış olsa da, fiyat, performans ve geniş bir ekosisteme sahip olması nedeniyle tercihimi Ring alarm sisteminden yana yapmaya karar verdim.

Eve taşındıktan sonra ilk iş olarak hırsız gözüyle evin her katını gezmeye başladım. Özellikle Amerikan filmlerinden az çok tahmin edeceğiniz üzere evde çok sayıda (27) sürgülü pencere ve bahçeye açılan 3 kapı ile karşılaştım. Bodrum katı ise Amerikan korku filmlerinde her daim canavarların, kötü ruhların mesken ettiği yerlerin aksine halıfleks zemine sahip 1 odası, 2 penceresi ve garaja açılan bir kapısı olan kısaca spor salonu (Home Gym) yapmak için ideal, sevimli bir yerdi.

Ortaya çıkan ihtiyaçlar doğrultusunda ilk olarak 14 parçadan oluşan Ring’in 2. jenerasyon ana alarm sistemini sipariş ettim. Buna ilave olarak 3 saniye basılması durumunda sirenin çalmasını sağlayan panik butonları, cam kırılma sesini tespit edebilen dedektörler, hareket algılayan dedektörler sipariş ettim.

Camları ve kapıları manyetik kapı kontakları, evin belli bölümlerini cam kırılma ve hareket dedektörleri ile güvenli bir hale getirdikten sonra sıra iç ve dış mekan kameralarını satın almaya geldi.

Garaja dışarıdan açılan 2, içeriden de 1 kapı olduğu için burası iç mekan kamerasını konumlandırmak için önemli bir yerdi. Elektrik tesisatı ile uğraşmamak için tercihimi bataryalı kameralardan yana kullanmaya karar verdim ve garaj için Ring Stick Up Cam satın alıp, kurulumunu gerçekleştirdim.

Sıra dış cephe kameralarına geldiğinde ilk olarak kapıya gelenleri kamerası sayesinde kayıt altına alıp, çift taraflı görüşme gerçekleştirebildiğim Ring Video Doorbell 4 isimli akıllı kapı zilini satın aldım. Zili, matkapla uğraşıp duvara monte etmek yerine kapıya asmayı tercih ettiğim için ilave olarak bir de DOORBELLBOA Anti-Theft Video Doorbell Door Mount isimli ürünü satın aldım.

Akıllı zili devreye aldıktan 2 gün sonra ilk davetsiz misafir kameraya yakalandı. 🙂

One or more interactive elements has been excluded from this version of the text. You can view them online here: https://pressbooks.pub/hack4career2023/?p=48#oembed-1

Garajın ana giriş kapısı, zilin kamerasının görüş açısı dışında kaldığı için hem ana giriş kapısının üstüne hem de evin arka kapısının üstüne geçtiğimiz kasım ayında yeni sürümü piyasaya sunulan Ring Spotlight Cam Pro kamerasını koymaya karar verdim. Kameraların bataryalarını sıklıkla değiştirmemek (kullanıma bağlı olarak normal şartlarda 3 ay) için kameralara 1 batarya yerine 2 batarya takmakla yetinmeyip üzerine bir de 2. jenerasyon güneş enerji paneli olan Ring Solar Panel satın alıp kameralara bağladım. Bu sayede paneller, güneşli günlerde bataryaları doldurarak beni büyük bir zahmetten kurtarmış oldular.

İlerleyen günlerde de yine misafirlerimiz eksik olmadı. 🙂

One or more interactive elements has been excluded from this version of the text. You can view them online here: https://pressbooks.pub/hack4career2023/?p=48#oembed-2

Siber güvenlikte olduğu gibi (CISSP Domain 3: Security Architecture and Engineering) fiziksel güvenlikte de caydırıcılık (Deterrence) önemli bir güvenlik kontrolü olduğu için güneş enerjisi ile çalışıp gece yanan 2 adet Ring Solar Security işaretini evin girişine ve arka bahçeye koymayı da ihmal etmedim.

Süreklilik adına ana alarm sisteminde (Base Station) 15 dakikaya kadar kısa süreli elektrik kesintisilerine karşı bir batarya, internet kesintisine karşı da hücresel bağlantı (Cellular) desteği bulunuyor. Tabii eşeği sağlam kazığa bağlamak isteyen biri olarak hem yönlendiriciyi (router) hem alarm sistemini hem de diğer elektronik aletlerimi desteklemek için APC BE600M1 and BE425M Battery Backup kesintisiz güç kaynağı da satın aldım.

Tüm kurulumları gerçekleştirdikten sonra Ring’in mobil uygulaması üzerinden 7/24 evimde ve çevresinde olan biteni izlememe, uyarı almama imkan tanıyan akıllı bir alarm sistemine kavuşmuş oldum. İzlemeyi sadece kendimle sınırlı tutmamak için ayrıca Ring’in Protect Pro 7/24 profesyonel izleme hizmetinden de faydalanmaya başladım.

Son olarak Ring alarm sistemi ile entegre olup alarm sistemi tarafından üreyen alarmları sesli olarak iletebilen, kameraları canlı olarak izlemeye imkan tanıyan, zile basan kişi ile görüşme gerçekleştirebildiğiniz ve de en önemlisi Routines sayesinde spesifik olarak alarmları ihtiyacınıza göre özelleştirebildiğiniz yapay zeka destekli sesli asistan Alexa, Echo Show 10 ile kadroyu tamamlamış oldum.

Sonuç olarak her şeyiyle birlikte yaklaşık 2000$‘a mal olan Ring alarm sistemi, ailemizin koruyucusu, sadık dostumuz North’un yerini tutamayacak olsa da en azından kendisine erken emeklilik, uzun süreli kestirmeler için iyi bir fırsat yaratacağına inanıyoruz. 🙂

Bu yazının benim gibi DIY alarm sistemi kullanmak isteyenlere fayda sağlayacağını ümit ederek bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

6

Akıllı Izgaramı Nasıl Hackledim ?

If you are looking for an English version of this article, please visit here.

Üst düzey bürokrat olan Mert SARICA’yı hedef alan Rus Askeri İstihbarat Dairesi (GRU), yaşadığı evinin kablosuz ağına sızıp Çok Gizli sınıfındaki belgeleri ele geçirmesi için 2004 yılından bu yana faaliyetlerine devam eden 26165 birimi olan namıdiğer APT 28 hacker grubunu görevlendirir.

10 Nisan’da diplomatik pasaport ile ülkeye giriş yapan APT 28 grup üyeleri, kiraladıkları Citroen C3 marka arabanın bagajına, kablosuz ağ hacklemek için bir bilgisayar ve çeşitli donanımlardan oluşan teçhizatlarını yerleştirdikten hemen sonra evin adresine doğru yola koyulurlar.

Eve yaklaştıklarında hedef alacakları kablosuz ağın adını (SSID) tespit edebilmek için Wardriving yöntemine başvururlar. Evin önünden 2 defa geçtikten sonra sinyal seviyesi en yüksek olan Hack4Career ağının ona ait olduğunu tespit ederler.

Şüphe çekmemek için eve en yakın sokağın başına arabalarını park eden APT 28 grubu, WPA3 protokolü ile korunan kablosuz ağın, özel karakter de içeren 15 hane uzunluğundaki alfanumerik parolasını tespit etmek için bilgisayarın başına geçerler.

Uzun uğraşlar sonucunda şifreyi kıramayacakları konusuna kanaat getiren grup, evin etrafında keşfe (reconnaissance) çıkmaya karar verirler.

Günümüz dünyasında mutfak gereçlerinden, otomobillere, termostatlardan, akıllı ev sistemlerine kadar birçok alanda karşılaşılan Nesnelerin İnternetinin (IoT), barındırdıkları zafiyetler nedeniyle kolayca istismar edilebilmesi sebebiyle akıllı cihaz aramaya koyulurlar.

İstatistiklere göre 2023 yılı itibariyle gezegenimizde 8 milyar insan yaşarken, IoTlerin sayısının ise insan sayısının iki katına yani 16 milyara ulaştığı görülmektedir.

Kısa bir keşif gezisinden sonra terasta yer alan ve fişe takılı olan Wi-Fi, Bluetooth destekli akıllı pelet ızgarası dikkatlerini çeker. Marka ve modelinin fotoğrafını uzaktan çektikten sonra bir tane satın alıp, zafiyet araştırması yapmaya başlarlar. 8 saatin sonunda sadece fişe takılı olması yeterli olan bu ızgaraya Bluetooth üzerinden gönderdikleri bir paket/komut sayesinde dahil olduğu kablosuz ağın adını ve parolasını uzaktan kolayca elde etmeyi başarırlar.

Bu bilgi ışığında vakit kaybetmeden arabalarına binip Mert SARICA’nın evine doğru yola çıkarlar. Araçlarını sokağın başındaki aynı yere park ettikten sonra 300 metre mesafeden bilgisayarlarının USB bağlantı noktasına taktıkları Parani-UD100 aygıt ile Bluetooth üzerinden akıllı ızgaraya paket/komut gönderirler. Akıllı ızgaradan gelen yanıt ile Hack4Career kablosuz ağ adını, 15 haneli parolayı elde ettikten sonra başarıyla kablosuz ağa bağlanırlar ve operasyonlarının birinci adımını başarıyla tamamlamış olurlar.

Yukarıda anlattığım bu kurgu hikaye birçoğunuza iki nedenden dolayı ütopik gelebilir.

Birincisi, Rus hackerların ellerini kollarını sallayarak bir ülkeye giriş yapıp daha sonrasında kablosuz bir ağa sızmaya çalışmalarına ancak bir film senaryolarında rastlanabileceğini düşünebilirsiniz. Bu şekilde düşünenlerin 2018 yılına ait şu habere göz atmalarını tavsiye ederim. Eminim ki haberde yer alan bazı fotoğraflar sizlere bir yerden tanıdık gelecektir. 🙂

İkinci neden ise akıllı bir ızgarayı hackleyerek ev ağına sızmanın pratikte bu kadar kolay olamayacağını ve bunun da ancak Mr. Robot dizisinin bir bölümünde gerçekleşebileceğini düşünebilirsiniz. Bu şekilde düşünenlerinizi de bu defa başroldeki kişinin ve tüm anlatılanların gerçek olduğu aşağıdaki hikaye ile başbaşa bırakıyorum. 🙂

Barbekü sezonunun yaklaşmasıyla 2023 yılının Nisan ayında evimin terasında kullanmak üzere bir mangal arayışına girdim. Kömürle her defasında kim uğraşacak, gazlı mangal gibi pratik bir şey mi alsam derken WiFi ve Bluetooth destekli akıllı bir pelet yakıtlı ızgara satın almaya karar verdim.

Izgara elime ulaştıktan sonra her ne kadar yıllardır “Akıllı cihaz demek, casus cihaz demektir.” desem de akıllı cihazlar kullanmayı tercih etmekten geri kalmayan biri olarak (Doktorun dediğini yap, yaptığını yapma derler.) ızgaranın kullanım kılavuzunda yer alan mobil uygulamayı indirip, kurdum. Hemen ardından da çuvaldızı kendime batırarak kendimi eleştiren bir tweeet paylaşmayı ihmal etmedim. 🙂

Honeypot isimli bir kişi tarafından gönderilen tweet aslında yapacağım güvenlik araştırmasına bir nevi davetiye çıkardı.

Uygulamayı açtıktan sonra yönlendirmeleri takip ederek önce Bluetooth üzerinden ızgarayı ekledim ardından da kablosuz ağımın parolasını girerek ızgarayı ev ağıma dahil ettim.

Eşimle birlikte ızgarada ilk yemeğimizi pişirip, afiyetle yedikten sonra tabii ki satın aldığım cihazları, aygıtları güvenlik araştırmalarıma (Koş Mert Koş vb.) konu eden biri olarak bu akıllı ızgarayı da boş geçmemeye karar verdim. 🙂

İlk iş olarak ApkPure sitesinden ızgaranın mobil uygulamasını indirip jadx aracı ile kaynak kodunu incelemeye başladım. Derleme aşamasında herhangi bir gizleme yöntemi (obfuscation) kullanılmadığı için kaynak kodlarını rahatlıkla inceleyebildim.

Kodlar arasında biraz gezindikten sonra getFileContent() fonksiyonuna parametre olarak gönderilen init.js dikkatimi çekti. getFileContent() fonksiyonunu incelediğimde Fs.Get metodu ile ızgaranın işletim sisteminde yer alan init.js dosyasını okuduğunu gördüm.

Tabii bunu görünce kafamda şimşekler çaktı ve aklımda tek bir soru belirdi: “init.js yerine başka bir dosya ismini Bluetooth üzerinden ızgaraya iletirsem, gelen yanıtta o dosyanın içeriğini görebilir miydim?”

Bu sorunun yanıtını bulmak için Koş Mert Koş başlıklı blog yazımda olduğu gibi mobil uygulama ile ızgara arasındaki Bluetooth haberleşmeyi incelemek için Samsung’un destek sayfasında Bluetooth paketleri kaynaklı problem yaşayan bir kişinin mesajına yazılan yanıttaki adımları adım adım gerçekleştirdim.

btsnoop_hci.log dosyasını Wireshark ile analiz etmeye başladığımda iletişimin bir noktasında mobil uygulamanın, ızgaranın 5f6d4f53-5f52-5043-5f74-785f63746c5f (CHARACTERISTIC_BROIL_KING_WRITE_DATA_LENGTH) Bluetooth servisinin karakteristiğine ait olan 0x33 tanıtıcısına (handle) 00000055 değerini yazdığını (WRITE REQUEST) gördüm.

Sonraki adımda ise bu defa 5f6d4f53-5f52-5043-5f64-6174615f5f5f (CHARACTERISTIC_BROIL_KING_WRITE_COMMAND) servisinin karakteristiğine ait olan 0x2e tanıtıcısına (handle), {“id”:999,”method”:”FS.Get”,”params”:{“filename”:”init.js”,”offset”: 0 , “len”:20}} komutunun parça parça gönderildiğini (WRITE REQUEST) gördüm.

Izgaradan gelen yanıtta (READ RESPONSE) yer alan {“id”:999,”src”:”XXX-XXXXXXX”,”result”:{“data”: “Ly9CS1B2MDQyLjQ1ICAgICAgICA=”, “left”: 35298}} Base64 ile kodlanmış veriyi çözdüğümde ise //BKPv042.45 karakter dizisi ile karşılaştım.

Google arama motorunda mobil uygulamanın kaynak kodunda dikkatimi çeken bazı kelimeleri arattığımda ızgaranın Mongoose OS isimli bir işletim sistemine sahip olduğunu öğrendim.

Daha önce bu işletim sistemini görmediğim, duymadığım için web sitesinde yer alan kullanıcı kılavuzuna göz atmaya karar verdim. Yapılandırma sayfasını ziyaret ettiğimde conf ile başlayan json uzantılı dosyalar arasında yer alan conf9.json dosyası hemen dikkatimi çekti.

Kullanıcı ayarlarını içeren bu dosyada dikkate değer bilgiler olabileceğini düşündüğüm için init.js yerine conf9.json dosyasını bluetoothctl aracı ile Bluetooth bağlantısı üzerinden okumamı sağlayacak 88 karakter uzunluğundaki aşağıdaki isteği oluşturup Bash betiği üzerinden ızgaraya gönderdiğimde Invalid Offset ile hatası ile ile karşılaştım.

{“id”:999,”method”:”FS.Get”,”params”:{“filename”:”conf9.json”,”offset”: 0 , “len”:20}}

Biraz araştırma yaptıktan sonra “invalid offset” hatasının boyuttan kaynaklı tetiklendiğini öğrendim. Daha sonra 85 karakter uzunluğundaki init.js isteği ile yukarıdaki 88 karakter uzunluğundaki conf9.json isteğini boyut olarak eşitlemeye karar verdim. 3 tane boşluk karakterini (space) sildikten sonra istek aşağıdaki şekle bürünmüş ve 85 karakter uzunluğunda olmuş oldu.

{“id”:999,”method”:”FS.Get”,”params”:{“filename”:”conf9.json”,”offset”:0,”len”:20}}

Bu isteği ızgaraya gönderdikten sonra conf9.json dosyasının ilk 20 karakterini başarıyla okuyabildiğimi gördüm.

Opsiyonel parametre olan Offset değerini yavaş yavaş arttırarak dosyayı okumaya devam ettiğimde ise aşağıdaki istek sonucunda ızgaranın kurulumu aşamasında uygulamaya girmiş olduğum kablosuz ağ adımı ve parolamı elde edebildiğimi gördüm!

{“id”:999,”method”:”FS.Get”,”params”:{“filename”:”conf9.json”,”offset”:280,”len”:99}}

Sonuç itibariyle yaptığım güvenlik araştırması sonucunda ortaya çıkan bu kritik zafiyeti istismar ederek, art niyetli bir kişinin bu marka ve model bir ızgaraya 30 ila 300 metre mesafe uzaklıktan istek göndererek dahil olduğu kablosuz ağ adını ve parolasını kolaylıkla öğrenebileceğini ortaya koymuş oldum. İşin şaşırtıcı kısmı ise bu zafiyetin istismar edebilebilmesi için ızgaranın açık konumda (POWER ON) olmadan sadece fişe takılı olması yeterli oluyordu.

Bu zafiyetin kaç haneyi etkilediğini bilemesem de istatistiklere göre Amerika’da 2021 yılı başı itibariyle 100 milyon hanenin ızgara kullandığını, her üç haneden birinin de birden fazla ızgara kullandığını dikkate aldığımızda, bu tür akıllı ızgaraların (IoT) yaygınlaşması ile ciddi güvenlik risklerini beraberinde getireceğini söyleyebilirim.

Keşfettiğim bu ciddi zafiyet sonrasında akıllı ızgaram ile yollarımızı ayırmak yerine kendisini diğer IoTler ile birlikte Wi-Fi Misafir Ağına taşıyarak iştahımı kaçırmasını engelledikten sonra lezzetli yemeklerin keyfini çıkarmaya devam etmeye karar verdim. 🙂

Her ihtimale karşı üretici bu zafiyeti ortadan kaldırana dek mümkünse akıllı ızgaranızı kullanmadığınız zamanlarda fişe takılı bırakmamanızı tavsiye ederim.

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

Not: Izgara üreticisine 1 Nisan tarihinde zafiyetle ilgili e-posta gönderdiğimi ancak bu zamana kadar yanıt alamadığımı da üzülerek paylaşmak isterim.

7

e-Devlet Hesaplarımızı Nasıl Hackliyorlar?

If you are looking for an English version of this article, please visit here.

[powerkit_toc title=”İÇİNDEKİLER” depth=”2″ min_count=”4″ min_characters=”1000″]

Başlangıç

25 Ekim 2023 günü saat 11:46’da e-Devlet uygulamasından ve e-posta adresime gelen uyarılardan e-Devlet Kapısı hesabıma üst üste birden fazla defa yanlış parola ile giriş yapılmaya çalışıldığı için hesabımın bir saatliğine geçici olarak kullanıma kapatıldığını öğrendim.

Art niyetli bir kişinin uzun ve karmaşık olan parolamı tahmin etme ihtimalinin oldukça zayıf olması ve ayrıca e-Devlet Kapısı’nda da iki aşamalı giriş yöntemini kullandığım için bu konu beni çok fazla endişelendirmese de bir güvenlik araştırmacısı olarak hesabımın nasıl kullanıma kapatıldığını öğrenmeye karar verdim.

Meslek hayatıma 2005 yılında Etik Hacker, Sızma Testi Uzmanı olarak başladığım ve yıllarca web uygulamalarına yönelik güvenlik testleri de gerçekleştirdiğim için ilk iş olarak e-Devlet Kapısı giriş sayfasını, hesabımı hacklemeye çalışan art niyetli bir kişi gözüyle incelemeye başladım.

Art niyetli bir kişinin hesabıma giriş yapabilmesi için öncelikle TCKN bilgime sahip olması gerekiyordu. Çiçekçiden kargocuya kadar yıllar içinde herkese vermek zorunda kaldığımız ve e-Devlet Hacklendi mi? yazımdan da anlaşılacağı üzere birçok bilgimizin yeraltı dünyasında elden ele gezdiğini gördüğümüz için TCKN bilgimi nereden, nasıl buldukları üzerine pek kafa yormama pek gerek kalmadı.

Peki TCKN bilgime sahip olan art niyetli bir kişi deneme yanılma / kaba kuvvet saldırısı (brute force) gerçekleştirerek er ya da geç parolamı tespit edip, iki aşamalı giriş aşamasına gelebilir miydi? Bu saldırı tekniğini engellemeye yönelik olarak e-Devlet Kapısı’nda CAPTCHA veya IP adresi engelleme gibi bir dizi güvenlik önlemi yok muydu? sorularına yanıt bulmak için öncelikle hatalı parolalar ile e-Devlet hesabıma giriş yapmaya çalıştım. İki hatalı giriş denemesinden sonra güvenli bir web uygulamasında olması gerektiği gibi karşıma CAPTCHA kontrolü çıktı ve hesabım kullanıma kapatılmadı. O halde saldırgan hesabımı nasıl geçici süreliğine kullanıma kapatmayı başarmıştı?

CAPTCHA (İnsan ve Bilgisayar Ayrımı Amaçlı Tam Otomatik Genel Turing Testi), sorgulama-yanıt doğrulaması olarak bilinen bir güvenlik önlemidir. CAPTCHA spam ve şifre çözme koruması sağlanmasına yardımcı olur. Bunun için sizden basit bir testi yanıtlamanızı isteyerek şifre korumalı bir hesaba girmeye çalışan bir bilgisayar değil insan olduğunuzu kanıtlamanızı sağlar. (Kaynak: Google)

Bu soruya yanıt bulmak için bu sefer VPN ile farklı IP adreslerinden e-Devlet hesabıma hatalı giriş denemeleri yapmaya başladığımda 5. denemede hesabımın bir saatliğine geçici olarak kullanıma kapatıldığını gördüm. Bu da yine güvenli bir web uygulamasında olması gereken bir güvenlik kontrolü olup, belki yüzlerce belki binlerce bot üzerinden hedef hesaba yönelik gerçekleştirilecek kaba kuvvet saldırısı (brute force) ile parolanın tespit edilmesinin (password guessing) önüne geçiyordu.

Hedef Kim?

Son aylarda WhatsApp Dolandırıcıları ve Kripto Para Dolandırıcıları yazılarım ile dolandırıcıların tekerine çomak soktuğum için bu siber saldırıda art niyetli kişi veya kişiler direkt benim hesabımı mı hedef almışlardı yoksa geniş çaplı kullanıcı kitlesine yönelik olarak gerçekleştirdikleri parola spreyi saldırısında tesadüfen benim hesabıma mı denk gelmişlerdi bu defa da bu soruya yanıt aramak için işe koyuldum.

Parola spreyi saldırılarında kötü amaçlı kişiler, en yaygın kullanılan parolaları birçok farklı hesap ve hizmette deneyerek bulabildikleri tüm parola korumalı varlıklara erişim elde etmeye çalışır. Bu saldırılar çoğu zaman birçok farklı kurumu ve kimlik sağlayıcısını kapsar. (Kaynak: Microsoft)

Görsel: Arkose Labs

Bu soruya yanıt bulmak için benim gibi e-Devlet hesabı geçici süreliğine kapatılan başka kişiler var mı diye Google arama motorunda arama yaptığımda aslında 2020 yılından beri çok sayıda kişinin bu saldırılara mağruz kaldığını öğrendim.

Bu ekran görüntülerindeki IP adreslerinin kaynağını araştırdığımda bunlardan bazılarının, kullanıcılarına anonim iletişim imkanı sağladığı için siber suçluların da sıklıkla kullandığı Tor isimli bir ağdan gerçekleştirildiğini öğrendim.

171.25.193.78 – Tor Exit Node
185.220.100.252 – Tor Exit Node
185.220.101.46 – Tor Exit Node
77.68.20.217 – Tor Exit Node
104.244.73.193 – Tor Exit Node

Bu durumun yıllar içinde çok sayıda kişinin başına gelmesinden dolayı kuvvetle muhtemel bunun bana yönelik, hedeflenmiş bir saldırı olmayıp parola spreyi saldırısının bir parçası olduğuna kanaat getirerek, hesabımın kilitlenmesinde rol oynayan IP adresleri özelinde araştırmamı genişletmeye karar verdim.

Teknik Araştırma

IP Adresi Tespiti

e-Devlet hesabım kullanıma geri açıldıktan hemen sonra hesabıma giriş yapıp Kullanım Geçmişi sayfasını incelemeye başladığımda, başarısız giriş denemelerinin IPv4 yerine IPv6 adresleri üzerinden yapıldığı hemen dikkatimi çekti.

IP Sahiplik Bilgileri

IPinfo üzerinden IPv6 adreslerinin WHOIS bilgilerine baktığımda tamamının Vultr ve Linode isimli bulut servis sağlayıcılarına ait olduğunu gördüm.

2001:19f0:6001:20f:9a7f:d317:c645:37eb – Vultr
2001:19f0:6801:8dd:daab:291b:a4d6:dfc7 – Vultr
2001:19f0:8001:e5d:8404:4a87:e3cf:58cb – Vultr
2600:3c03:e000:b44:ec11:517f:1d99:7cbc – Linode
2001:19f0:8001:13a:f42d:4d56:deb9:c465 – Vultr
2600:3c06:e001:7ab:c6a6:9c89:949f:96f9 – Linode

Bağlantı Noktaları

Bu IPv6 adreslerinin en bilinen açık bağlantı noktalarını (port) nmap aracı ile taradığımda sadece SSH servisine ait 22. bağlantı noktalarının açık olduğunu öğrendim.

IPv6’dan IPv4’e Yolculuk

IPv6 adreslerine ait sunucularla ilgili daha fazla bilgi toplamak için yine nmap aracı ile (nmap -iL hosts.txt -6 -sV –script ssh-hostkey.nse –script-args ssh_hostkey=all) SSH servislerinin parmak izlerini (ssh fingerprint) Shodan arama motorunda arattığımda, bu sunucuların IPv4 adreslerini kolaylıkla bulabildim.

2001:19f0:6001:20f:9a7f:d317:c645:37eb
ssh-hostkey: b9:cb:48:39:52:d9:f2:83:d8:ba:12:e9:9f:1d:55:21

2001:19f0:6801:8dd:daab:291b:a4d6:dfc7
ssh-hostkey: 41:4f:6f:b8:3e:96:c0:6e:28:d8:7e:f0:81:e9:10:99

2001:19f0:8001:e5d:8404:4a87:e3cf:58cb
ssh-hostkey: 20:c1:8b:f9:06:9a:bc:e0:89:73:02:07:b3:71:b0:0b

2600:3c03:e000:b44:ec11:517f:1d99:7cbc
ssh-hostkey: 1b:c3:d3:43:b5:b1:9a:09:24:18:d3:d8:14:3f:34:fb

2001:19f0:8001:13a:f42d:4d56:deb9:c465
ssh-hostkey: 5d:2b:6d:11:c9:f5:e2:8f:99:bc:2a:30:19:63:90:3c

66.42.105.202 – b9:cb:48:39:52:d9:f2:83:d8:ba:12:e9:9f:1d:55:21
45.32.148.233 – 41:4f:6f:b8:3e:96:c0:6e:28:d8:7e:f0:81:e9:10:99
137.220.33.75 – 20:c1:8b:f9:06:9a:bc:e0:89:73:02:07:b3:71:b0:0b
143.42.185.244 – 1b:c3:d3:43:b5:b1:9a:09:24:18:d3:d8:14:3f:34:fb
104.207.158.196 – 5d:2b:6d:11:c9:f5:e2:8f:99:bc:2a:30:19:63:90:3c

Tehdit Araştırması

Elde ettiğim bu IPv4 ve IPv6 adreslerini tehdit araştırmalarında sıklıkla kullanılan başta VirusTotal, SOCRadar XTI, AlienVault OTX olmak üzere çeşitli platformlarda arattığımda bunlardan sadece SOCRadar XTI üzerinde bir sonuca ulaşabildim.

Buradaki sonuca göre, saldırgan tarafından kullanılan 45.32.148.233 IP adresine sahip sunucuya ait erişim bilgilerinin yer aldığı bir son kullanıcı sistemi, 2023 yılının Mayıs ayında hacklenmiş ve üzerinde Racoon isimli bilgi çalmakta kullanılan bir zararlı yazılım çalışmıştı. 2022 yılında ise yine bu IP adresinin yer aldığı başka bir son kullanıcı sistemi benzer şekilde RedLine isimli bilgi çalan başka bir zararlı yazılım tarafından enfekte olmuştu. Tüm çalınan bu bilgiler de daha sonrasında Rus yeraltı marketinde (Russian Market) satışa çıkmıştı.

SOCRadar Dark Web ekibi tarafından temin edilen dosyaların içeriğine baktığımda, sunucu üzerinde bir zamanlar phpMyAdmin isimli veritabanı yönetim aracı bulunduğu anlaşılıyordu. Bu bilgiler ışığında art niyetli kişiler uzun zamandan beri bu sunucuya yetkisiz olarak erişim sağlıyor ve saldırılarında kullanıyor olabilirlerdi.

Yeni Bağlantı Noktaları

Censys isimli arama motorunda IPv4 adreslerini inceleyip, her birinin bağlantı noktalarını yine nmap aracı ile taradığımda bu defa IPv6 taramalarından farklı olarak her bir sunucuda 22. bağlantı noktası hariç 2000‘e yakın yeni bağlantı noktası olduğunu keşfettim.

Bir sunucu üzerinde 2000’e yakın açık bağlantı noktasının bulunması alışılagelmiş bir yapılandırma biçimi olmadığı için bu bağlantı noktalarını kontrol etmeye karar verdim.

Bir sistem üzerinde bu kadar çok açık bağlantı noktasına genelde vekil sunucuda (proxy) rastlandığı için ilk olarak bundan şüphelenmeye başladım. Saldırgan tarafından kullanılan IPv4 adreslerinin bilgilerini Censys üzerinde incelemeye devam ettiğimde, 45.32.148.233 IPv4 adresi ile ilgili kayıtlarda bir satır (Proxy-Connection: close) hemen dikkatimi çekti ve aklımda yeni bir soru daha belirdi. Bunlar 2000’li yılların başında internette sıklıkla rastladığımız açık vekil sunucular gibi olabilirler miydi ?

Anonim bir açık proxy, sunucu istekleri proxy sunucusundan geliyor gibi göründüğü için kullanıcıların IP adreslerini web sunucularından gizlemelerine yardımcı olabileceğinden, çevrimiçi anonimlik ve gizlilik isteyenler için yararlıdır. Kimliklerini ortaya çıkarmayı zorlaştırır ve böylece web’e göz atarken veya diğer internet hizmetlerini kullanırken algılanan güvenliklerinin korunmasına yardımcı olur. (Kaynak: Wikipedia)

Bu soruya yanıt bulmak için cURL aracına 45.32.148.233 IPv4 adresini, vekil sunucu olarak Censys’de yer alan rastgele bir bağlantı noktası (22939) ile birlikte belirtip https://ifconfig.me/all web sayfasına istekte bulunduğumda, bu vekil sunucudan bu web sayfasına isteğin 2001:19f0:6801:8dd:4995:dc24:1643:54d5 IPv6 adresinden gönderildiğini gördüm. Kısaca sorunun yanıtı “Evet” idi. Bunlar açık vekil sunuculardı ve bunlar üzerinden hedef web sayfalarına kendi IPv4 adresimi gizleyerek web isteğinde bulunabiliyordum.

Ancak yukardaki ekran görüntüsünde yer alan 2001:19f0:6801:8dd:4995:dc24:1643:54d5 IPv6 adresine sahip vekil sunucu, benim e-Devlet hesabımın geçici süreliğine kapatılmasında rol oynayanlardan biri (2001:19f0:6801:8dd:daab:291b:a4d6:dfc7) değildi. Bu vekil sunucu ile o IPv6 arasındaki ilişkiyi tespit etmek için bu defa 45.32.148.233 IPv4 adresinin açık 2000 bağlantı noktasına (port) bağlanıp https://ifconfig.me/ip web sayfasına istek gönderen basit bir betik (script) hazırladım.

#!/bin/sh
for ((i=22000; i=24000; i++))
do
curl -x 45.32.148.233:$i -L -s -k https://ifconfig.me/ip >> ip_check_45.32.148.233.txt
echo '' >> ip_check_45.32.148.233.txt
sleep 1
done

Web sayfasından gelen her bir yanıtta farklı bir IPv6 adresi yer alıyordu. Bu sonuca göre art niyetli kişiler, 2000 tane IPv6 üzerinden istedikleri web sayfasına kaba kuvvet saldırısı gerçekleştirebiliyorlardı. Betik bir süre çalıştıktan sonra e-Devlet hesabıma saldırıyı gerçekleştiren IPv6 adresini de bu adresler arasında görebildim.

Neden IPv6 adresi kullanıyorlar?

Tüm bu araştırmaları yaparken bir yandan saldırganın neden IPv6 adresleri kullandığı kafamı kurcalamaya başladı ve bir zaman sonra şeytanın ayrıntıda gizli olduğunu anladım.

DigitalOcean, Linode, Vultr ve benzeri servis sağlayıcılarından bir sunucu kiraladığınızda size bir adet IPv4 tahsis ediyorlar ve bu sunucu üzerinden internet ile ilişkili yaptığınız tüm işlemlerde bu IP adresini kullanıyorsunuz.

Siber suçlular da çoğu zaman siber saldırılarını gerçekleştirmek veya kamufle etmek için bu tür servis sağlayıcılarından sunucu kiralıyorlar. Zamanla gerçekleştirdikleri siber saldırılara ait sunucuların IPv4 adresleri güvenlik teknolojileri tarafından tespit edilip, engellenmeye, küresel kara listelere eklenmeye başlıyor. Saldırı girişimleri engellenmeye başlandıkça da bu IPv4 adreslerini kullanamaz noktaya geliyorlar ve şikayet bildirimleri nedeniyle hesapları, sunucuları da hızla kapandığı için yeni bir sunucu arayışına giriyorlar.

Örneğin basit bir hesapla bu siber saldırıları 100 tane sunucudan gerçekleştirdiklerini düşündüğümüzde, sunucu başına 6$ ödedikleri için toplam 600$ maliyete katlanmaları gerekiyor ve bunu ne kadar uzun süre engellenmeden gerçekleştirebilirlerse yanlarına kar kalıyor aksi halde kara listelere eklendikçe tekrar ve tekrar bu maliyete katlanmaları gerekiyor.

Peki IPv4 yerine IPv6 kullandıklarında işin rengi nasıl değişiyor? Bu servis sağlayıcıları, sunucu kiralayan müşterilerine sadece 1 adet IPv4 kullanma hakkı tanırken, mevzu bahis IPv6 olduğunda binlercesini üretmelerine ve kullanmalarına imkan tanıyorlar. Böyle olunca da art niyetli kişiler sadece 6$ ödeyerek binden fazla IPv6 adresi üzerinden saldırılarını gerçekleştirebiliyorlar. Kara listelere eklendikçe kullandıkları sunucular üzerinde yeni IPv6 adresleri üretip, kullanabildikleri için de ta ki servis sağlayıcısına şikayetler ulaşana kadar kara listelerden pek fazla etkilenmeden saldırılarını uzun süre aynı sunucu üzerinde gerçekleştirebiliyorlar.

Peki e-Devlet uygulaması, uyguladığı güvenlik kontrolleri, önlemleri nedeniyle saldırganları IPv4 yerine IPv6 kullanmalarına gerçekten zorluyor muydu yoksa saldırganlar işlerini garantiye almak için mi IPv6 kullanmayı tercih ediyorlardı? Bunun için e-Devlet hesabımı 5 defa hatalı giriş denemesi ile geçici olarak kullanıma kapattıktan hemen sonra eşimin hesabına bu defa doğru parola ile giriş yapmaya çalıştığımda başarıyla giriş yapabildiğimi gördüm.

Bu sonuca göre uygulama genelinde ve/veya ağ seviyesinde bir IPv4 hesabı ile ikiden fazla hesaba bu şekilde kaba kuvvet saldırısı yapıldığında bu IPv4 adresi kara listeye eklenmiyorsa, engellenmiyorsa bu durumda saldırganlar bir IPv4 adresi ile uzun süre, birden fazla hesaba bu saldırıları gerçekleştirebilirlerdi. Aksi durumda ise IPv6 adresleri kullanmaktan başka çareleri kalmıyordu.

İkiden fazla e-Devlet hesabı üzerinde bunu test ve teyit etme şansım olmadığı ve saldırganların da IPv6 sistemler üzerinden bu saldırıları gerçekleştirdiğini göz önünde bulundurduğumda, kuvvetle muhtemel saldırganların kullandığı IPv4 adreslerine e-Devlet güvenlik önlemleri geçit vermiyordu.

e-Devlet Hesabımı Nasıl Koruyabilirim?

Sonuç itibariyle siber saldırganların uzun yıllardır e-Devlet hesaplarımızı hacklemek için yeri geldiğinde hacklenmiş, enfekte sistemlerden oluşan bot ağlarını yeri geldiğinde kendi sistemlerini kullandıklarını, izlerini gizlemek, yakalanmamak için vekil sunucu yazılımlarından faydalandıklarını, IPv6 desteği olan servis sağlayıcılardan sunucular satın aldıklarını, kısacası her yolu denediklerini görebiliyoruz.

Peki bu durumda sade bir vatandaş olarak kendinizi bu yazıya konu olan saldırılardan nasıl koruyabilirsiniz? Bunun için yapmanız gereken en önemli adım, e-Devlet hesabınıza girişte mutlaka ama mutlaka iki aşamalı giriş yöntemlerinden birini kullanmanız olacaktır. Nasıl kullanabileceğinizi bu adresi ziyaret ederek öğrenebilirsiniz.

Bu vesileyle yeni yılınızı kutlar, 2024 yılının hem sizlere hem de tüm sevdiklerinize önce sağlık sonra mutluluk ve başarı getirmesini dilerim.

Bir sonraki yazıda görüşmek dileğiyle.