Hack 4 Career

www.mertsarica.com

mertsarica

Hack 4 Career Copyright © by Mert SARICA. All Rights Reserved.

This book was produced with Pressbooks.

Contents

Giriş

1. Troll Avı

2. Deepfake Dolandırıcılarına Dikkat!

3. Bilgi Hırsızları

4. Yatırım Dolandırıcıları

1

Giriş

2009 yılında “Bilgi güçtür ve paylaşıldıkça artar” mottosuyla oluşturduğum blogumda, bilgi güvenliği farkındalığını arttırma adına çok sayıda teknik yazıya yer vermeye çalıştım. Yıllar içinde okurlarımdan aldığım olumlu geri dönüşler sonucunda, yazılarımı yıllar bazında e-kitap olarak derlemeye ve siber güvenlik meraklıları ile paylaşmaya karar verdim.

Emek, zaman ve kaynak ayırarak yaptığım araştırmalar sonucunda yazdığım bu yazıların, siber güvenlik alanında kendini geliştirmek isteyenler için faydalı olması dileklerimle…

Mert SARICA
https://www.mertsarica.com
https://twitter.com/MertSARICA
https://www.linkedin.com/in/mertsarica
CCISO, CISSP, SSCP, OSCP, CREA, CEREA

1

Troll Avı

Başlangıç

Siber tehdit istihbaratının öneminin gün be gün arttığı son yıllarda, kurumlarda bunun için kullanılan ürünlerin, hizmetlerin sayısının da katlanarak arttığını görüyoruz. Öncelikle siber tehdit istihbaratı kurumlara, bulundukları sektörü hedef alan tehdit aktörlerini tanımaları, kullandıkları taktikleri, teknikleri ve prosedürleri öğrenerek kurumlarına karşı gerçekleşebilecek olası siber saldırılara karşı hazırlıklı olmaları adına önemli bir avantaj sağlıyor. Diğer yandan siber saldırıya maruz kaldıklarında ise Siber Olay Müdahale (Incident Response) sürecinde elde edilen verilerin zenginleştirilmesinden tehdit aktörü ile olan bağlantısına kadar olayın aydınlatılmasına ışık tutabiliyor.

Kurumlar kadar teknoloji ile iç içe yaşayan son kullanıcıların, bireylerin yani bizlerin de siber tehdit istihbaratından, platformlarından kimi durumlarda (Misal Troll hesap araştırması) büyük fayda sağlayabileceğimizi unutmamamız gerekiyor.

Troll, Trolleme ve Dezenformasyon Nedir?

Tüm dünyada olduğu gibi ülkemizde de Troll hesaplar tarafından paylaşılan mesajların (Trolleme) sosyal ağlarda, medyalarda mantar gibi türediğine ve kitleleri dezenformasyon yönteminden faydalanarak manipüle etmeye çalıştığına tanıklık ediyoruz. Bazen bu yalan bilgiler kişilerin kendi hesaplarından paylaşıldığı gibi sahte, anonim hesaplar üzerinden de paylaşılabiliyor.

Troll İngilizce’de olta, olta yemi, oltayla balık tutmak anlamına gelen bir kelimedir. Trolleme ise geniş bir kitleyi manipüle etmek için yalan bilgi, asılsız fikir veya yazı yaymak anlamına gelmektedir. (Kaynak: Türk Toplumunda Sosyal Medyaya Eleştirel Bakış Eksikliği: Türk Troller ve Trolleme)

Dezenformasyon, yanlış veya doğruluğu bulunmayan ve kasıtlı olarak yayılan bilgi; bilgi çarpıtma anlamına gelir. Hasmı rencide etmeyi, aşağılayıp küçük düşürmeyi amaçlayan karşı propaganda ile benzerlik taşır. Sahte belge, el yazısı, fotomontaj ve montaj filmler ile fabrikasyon istihbarat ve dedikoduların duyurulması gibi yöntemleri bulunur. Sosyal alanda bireyleri ve toplumları yönlendirmek amacıyla, yanlış bilgi ve haber vermek için kullanılan en önemli araçlardan biridir. Yanlış bilgi üretme ve yayma yoluyla yapılabileceği gibi mevcut bir bilgiyi kötü maksatla kullanma ve çarpıtarak verme yöntemi de uygulanabilir. (Kaynak: Wikipedia)

2009 yılından bu zamana dek gerçekleştirmiş olduğum 200‘den fazla siber güvenlik araştırmamı TÜRKÇE olarak blogumda “Bilgi güçtür ve paylaşıldıkça artar!” mottosu ile karşılıksız paylaşmış, 2015 yılından beri düzenlediğim Pi Hediyem Var oyunu ile üniversite öğrencilerine sponsorlarımın desteği ile 15‘ten fazla Raspberry Pi hediye etmiş, 30‘a yakın siber güvenlik etkinliğinde konuşmacı olmuş, Sızma Testi Uzmanlığı / Etik Hacker ve Kariyer başlıklı sunumum ile 40’a yakın üniversitede siber güvenlik alanına meraklı binlerce öğrenciye yol göstermiş,

bir siber güvenlik profesyoneli olsam da, nadir de olsa ben de Troll hesapların hedefi haline gelebiliyorum.

Troll ve Trolleme Örnekleri

Çoğu zaman daha ne olduğunu anlayamadan, iyi niyetimden en ufak şüphesi olmayan sevgili takipçilerimin tepkileri, eleştirileri sayesinde Troll hesaplar çoktan ya kapanmış ya mesajlarını silmiş ya da cevaplarını almış oluyorlar. Bu gibi durumlarda siber tehdit istihbaratından, platformlarından faydalanmama pek gerek kalmıyor. Aksi durumlarda ise WhatsApp Dolandırıcıları, Kripto Para Dolandırıcıları başlıklı blog yazılarımda olduğu gibi siber tehdit istihbaratından, platformlarından bireysel olarak oldukça faydalanıyorum.

*Mesaj Silinmiş*

*Mesaj Silinmiş*

Özellikle sosyal mecralarda bir kişiye direkt veya dolaylı yoldan hakaret ettiğinizde, küfür ettiğinizde, itibar suikastı yaptığınızda, iftira attığınızda, tehdit ettiğinizde, vatanseverliğine dil uzattığınızda, er ya da geç bunun karşınıza çıkacağını, bir nedenden pişman olup mesajınızı silseniz de, kayıtlardan ve hafızalardan kolay kolay silinmeyeceğini unutmamanız gerekiyor.

Bazı zamanlarda e-posta, sosyal medya veya ağ üzerinden aldığınız şüpheli bir mesajın arkasındaki kişinin niyetini, kim olduğunu anlamak amacıyla da siber tehdit istihbaratı platformlarından faydalanabiliyorsunuz.

Bu örnekte bir Troll’ün web sitem üzerinden önce hakaret ettiğini, muhattap alınmadıktan 1 ay sonra ise bu defa farklı bir yaklaşımla sosyal ağ üzerinden iletişime geçmeye çalıştığını görüyorsunuz. E-posta adresini SOCRadar Siber Tehdit İstihbaratı Platformu‘nda arattığınızda şahsın yıllardır hacker forumlarında gezindiğini öğrenerek niyeti ve motivasyonu hakkında kolaylıkla bilgi ve fikir sahibi olabiliyorsunuz.

Özellikle tehdit aktörlerinin, siber suçluların, dolandıcıların izini süren, operasyonlarını ortaya çıkaran ve bununla ilgili istihbarat paylaşan bir siber tehdit istihbaratı firmasında çalışıyorsanız kimi zaman sosyal medyada anonim hesaplar üzerinden kurumunuzu hedef alan tehditvari mesajlarla da karşılaşabiliyorsunuz. Bu gibi durumlarda da kendi platformunuzdan faydalanabildiğiniz gibi daha farklı yöntemler de izleyebiliyorsunuz.

Bu örnekte güvenlik kontrolünden geçemediği için siber tehdit istihbaratı platformuna kayıt olmasına izin verilmeyen bir şahsın önce tehditvari e-posta gönderdiğini akabinde ise Twitter’da anonim bir hesap üzerinden trolleme yapmaya başladığını görüyorsunuz.

*Hesap Silinmiş*

Peki gerçek kimliği ile e-posta gönderen bir kişi ile Guy Fawkes maskesi ardına gizlenen anonim bir Twitter hesabı üzerinden mesaj paylaşan bir kişinin yüksek olasılıkla aynı kişi olduğunu nasıl kanaat getirebiliriz?

Elimizde şüphelendiğimiz kişiye ait örnek e-postalar ve anonim Twitter hesabından paylaşılan mesajlar olduğu için bunlar üzerinde yazarı tespit etmeye yönelik stilometrik yöntemlerden (Noktalama, yazım yanlışları, vurgu, yabancı sözcük, argo ve jargon, bağlaç, kısaltmalar, sayılar, konu etiketleri, şekil ve işaretler) faydalanabiliyoruz.

Stilometri Nedir?

Stilometri, öncelikle yazılı edebiyat alanında olmak üzere, resim ve müzik gibi sanat dallarında, tarih, din ve hukuk alanında ve adli bilimlerde kullanılan bir üslup belirleme çalışmasıdır. Stilometri analizi ise, üslup belirteçlerinin (syle markers) değişken olarak alınıp bu değişkenlerin istatistiksel ve bilişimsel metotlar incelenmesine dayanan bir yöntemdir.

Stilometri, yaklaşık iki yüz yıldır yazarların edebi üslubunun karşılaştırılması ve özellikle eser sahipliği (authorship attribution) problemlerinde çeşitli istatistiksel metotlar kullanılarak uygulanmıştır. Kullanılan metotlar, temel istatistiksel hesaplamalardan ve testlerden yapay sinir ağlarına kadar geniş bir aralıkta yer almaktadır. Dini metinlerden tarihi metinlere, bilimsel çalışmalardaki intihalden edebi eserlerin ve yazarların üslubunun incelenmesine kadar pek çok konuda stilometrik çalışma yapılmıştır. (Kaynak: İstatistik’ten Edebiyat’a Bir Köprü: Stilometri Analizi – Ayşe İŞİ, Fatih ÇEMREK, Zeki YILDIZ)

Troll Avı

Bu aşamada geniş kapsamlı bir Stilometri analizi yapmak yerine anonim Twitter hesabındaki 109 tane mesaja kabaca göz atıp, e-postalarla örtüşen ortak kelimelere, noktalama işaretlerine odaklanmaya karar verdim. Aldığım notlar doğrultusunda dikkatimi çeken mesajlarında bol bol ….. noktalama işaretine yer vermesi ve İngilizce yazışmalarda pek sık rastlamadığım ghosted kelimesi oldu. Bunlara yönelik olarak şüphelendiğim kişiden gelen e-postalara baktığımda tespitlerim ile fazlasıyla örtüştüğünü görerek iki kişi arasındaki benzerlik olasılığını fazlasıyla arttırmış oldum.

Peki bu anonim Twitter hesabından paylaşılan mesaj sayısı 109 değil de 10009 olsaydı o zaman ne yapardım diye düşünmeye başladığımda veri bilimin yardımına başvurmaya karar verdim.

Veri bilimi, iş için anlamlı öngörüler ayıklamak amacıyla veriler üzerinde gerçekleştirilen çalışmaların adıdır. Büyük miktardaki verileri analiz etmek için matematik, istatistik, yapay zeka ve bilgisayar mühendisliği alanlarının ilke ve uygulamalarını bir araya getiren, disiplinler arası bir yaklaşımdır. Bu analiz, veri bilimcilerinin ne olduğu, neden olduğu, ne olacağı ve sonuçlarla neler yapılabileceğini sormalarına ve bu soruları cevaplamalarına yardımcı olur.

Biraz araştırma yaptıktan sonra SpaCy isimli Doğal Dil İşleme (NLP) kütüphanesinde metinler arasındaki benzerliği ölçmeye yarayan ve Kosinüs Benzerliği’ni kullanan similarity metodundan faydalanabileceğimi öğrendim.

Kosinüs Benzerliği, metinler arasındaki benzerliği vektörel olarak ölçmektedir. Metinlerde geçen kelimelerin metinde kaç kez geçtiği hesaplanır. Daha sonra her metin içerdiği kelimelerle 1 ve 0 şeklinde vektörel olarak ifade edilir. Her metin üç boyutlu uzayda vektörel olarak yerleştirildiğinde aralarındaki kosinüs açısı ne kadar küçük ise metinler birbirlerine o kadar yakındır. Tamamen birbiri ile ilişkisiz olan vektörler için ise kosinüs değeri 0 olurken tamamen birbirini zıddı olan dokümanlar için kosinüs değeri -1 olacaktır. (Kaynak: Netflix verileri üzerinde TF-IDF algoritması ve Kosinüs benzerliği ile bir İçerik Öneri Sistemi Uygulaması – Özlem GELEMET Hakan AYDIN Ali ÇETİNKAYA)

Python ile ufak bir kod yazıp şüphelendiğim kişiden gelen e-postalar ile Twitter mesajları arasındaki benzerliğe baktığımda SpaCy kütüphanesi sayesinde bunların çok yüksek ihtimalle aynı kişi tarafından gönderildiğine kanaat getirerek kendimi ikna etmiş ve mutlu sona ulaşmış oldum. 🙂

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

Not: Stilometrinin kullanımına yönelik daha fazla bilgi edinmek isteyenlerin Real-World Python: A Hacker’s Guide to Solving Problems with Code kitabının ücretsiz olarak sunulan bölümünü okumalarını tavsiye edebilirim.

2

Deepfake Dolandırıcılarına Dikkat!

Başlangıç

2024 yılının Mayıs ayı itibariyle üretken yapay zekanın devrimine, gelişimine hem heyecanla hem de endişeyle tanıklık etmeye devam ediyoruz. OpenAI firması, duyurduğu GPT-4o ile ChatGPT‘nin insana çok daha yakın şekilde diyalog kurduğunu, ses, metin ve görüntüyü anlayıp, içerik ürettiğini bir lansmanla dünyaya gösterdi. Öte yandan yapay zeka savaşlarında geride kalmak istemeyen Google ise OpenAI’nın hemen ardından kendi üretken yapay zekası Gemini’den yeni bir özellik paylaştı. Bu özellik ile Gemini, kamera uygulaması üzerinden çevrede neler olup bittiğini, konum olarak nerede olduğunu kullanıcıya anlık olarak aktarabiliyordu.

Peki büyük bir heyecanla, merakla takip ettiğimiz bu gelişmelerin yanında biz siber güvenlik profesyonellerini, araştırmacılarını en çok ne endişelendirir diye soracak olursak, kendi adıma sunulan tüm bu özelliklerin dolandırıcıların, tehdit aktörlerinin gerçekleştirecekleri dolandırıcılık girişimlerini, siber saldırıları ne kadar kolaylaştırdığı veya zorlaştırdığı olur. İnsansı robotlarda olduğu gibi üretken yapay zekada da gelişim, insan, insana yakın üretkenlikle kıyaslandığı için de genelde ortaya çıkan faydadan art niyetli kişiler de başta derin sahte, diğer orijinal adıyla deepfake ile görsel, video, ses ve metin oluşturma noktasında fazlasıyla nemalanıyorlar. OpenAI CEO’su Sam ALTMAN da benimle aynı fikirde olsa gerek ki geçtiğimiz günlerde Open AI’nın DALL-E 3 modeli ile oluşturulan deepfake görsellerinin tespit edilmesi için bir araç üzerinde çalıştıklarını duyurdu.

Deepfake Nedir?

Deepfake, mevcut bir görüntü veya videoda yer alan bir kişinin, yapay sinir ağları kullanarak bir başka kişinin görüntüsü ile değiştirildiği bir medya türüdür. Sıklıkla, otomatik kodlayıcılar ve çekişmeli üretici ağlar (GAN’lar) olarak bilinen makine öğrenme tekniklerini kullanarak mevcut medyanın kaynak medya üzerinde birleştirilmesi ve üst üste konması ile üretilirler. (Kaynak: Wikipedia)

Deepfake’nin son yıllarda başta Rusya – Ukrayna savaşı olmak üzere dezenformasyon, dolandırıcılık ve parodi amacıyla sıklıkla kullanıldığını görüyoruz. Diğer yandan dolandırıcıların, tehdit aktörlerinin sıklıkla yer aldığı forumlara, Telegram kanallarına göz attığımızda da deepfake üzerine paylaşılan mesajların, dolandırıcılık servislerinin arttığı da dikkatlerden kaçmıyor. Pek tabii bu artış, sosyal ağlarda zaman geçiren kişilerin bu tür dolandırıcılık risklerine maruz kalma ihtimalini de bir o kadar arttırıyor.

Deepfake Çetesi

SOCRadar gibi tehdit aktörlerinin, dolandırıcıların izini süren ve müşterilerine bu konuda 7/24 istihbarat sağlayan bir siber tehdit istihbaratı firmasında çalışıyor veya hizmet alıyorsanız öyle ya da böyle çok sayıda farklı mecrada art niyetli kişiler tarafından gerçekleştirilen şüpheli, zararlı aktiviteleri yakından takip etme, haberdar olma imkanınız oluyor.

Yakın bir süre önce elde ettiğim bilgiler doğrultusunda Rusya merkezli olduğuna kanaat getirdiğim, operasyonlarının teknik detaylarına başka bir yazımda yer vermeyi planladığım bir dolandırıcılık çetesini yakından takip etmeye başladım. 2023 yılının Ekim ayından bu yana Slovnaft, INA d.d, Bosphorus Gaz gibi petrol rafineri, gaz dağıtım şirketlerinden, Baykar gibi savunma şirketlerine hatta Interpol‘e kadar uluslararası kurumların adını kullanarak dolandırıcılık girişiminde bulunan bu çete, Meta çatı şirketine ait Facebook, Instagram, Messenger üzerinden sahte reklamlarla kurbanlarını avlamaya çalışıyordu. Zaman zaman Google arama sayfasına da sahte reklam veren bu çete özellikle hedef aldıkları ülkelerin vatandaşlarını ağlarına düşürmek için siyasetçilere, iş insanlarına, haber sunucularına ait deepfake ile oluşturulmuş görseller, videolar kullanmaktan da geri kalmıyorlardı.

Örneğin Türk vatandaşlarını hedef aldıkları reklamlarında Selçuk BAYRAKTAR, Acun ILICALI, İsmail KÜÇÜKKAYA gibi isimlerin deepfake görsellerini ve videolarını kullanıyorlardı.

Minimum 8000 TL yatırım ile ayda 100.000 TL kazanç elde edilebileceğinin vaad edildiği sahte, deepfake videolarına konu olan bağlantı adresleri ziyaret edildiğinde karşınıza kimi zaman sadece isim, soyad, e-posta adresi ve cep telefonu numarasını isteyen oldukça basit kimi zaman ise görsel açıdan zengin, çoktan seçmeli seçeneklerle daha fazla bilgi toplayan ve ardından bir operatörün sizinle iletişime geçeceğini söyleyen bir başvuru formu çıkıyordu.

Sahte reklamlara konu olan Facebook hesaplarına bakıldığında bu hesapların kuvvetle muhtemel masum kişilere ait olup, hacklendiği ve bu amaçla kullanıldığı hesapta paylaşılan geçmiş fotoğraflara ve videolara bakıldığında kolaylıkla anlaşılıyordu.

Örneğin A News haber kanalını taklit eden, aşağıdaki ekran görüntüsünde yer alan Türkiye Gündemi isimli Facebook profilinin “Bahsetmeler” sayfası incelendiğinde aslında bu hesabın 2017 yılında oluşturulmuş Nestor Soler isimli bir kişiye ait olduğu görülüyordu.

Altı ay içinde bu dolandırıcılık yöntemi ile Türkiye’de de çok sayıda kişi hedef alınmış olsa gerek ki buna karşı hem Baykar hem de Bosphorus Gaz şirketleri tarafından kamu oyu bilgilendirilmesi yapıldı.

Deepfake ile Mücadele

Peki teknolojinin son nimetlerinden faydalanılarak oluşturulan bu dolandırıcılık tezgahlarına düşmemenin her geçen gün çok daha zorlaştığı sanal dünyada, son kullanıcılar, uzmanlar, gazeteciler tarafından deepfake olduğundan şüphe duyulan videolar nasıl tespit edilebilir?

Mevzu bahis deepfake videolarını tespit etmek olduğunda diğer deepfake türlerine göre bunları tespit etmenin görece daha kolay olduğu söylenebilir. Buna yönelik olarak da akademik çalışmaların hızla devam ettiği, Intel gibi teknoloji devlerinin de bunları FakeCatcher gibi teknolojilerle hayata geçirdiği görülüyor. Özellikle kurumsal dünyaya hitap eden bu teknolojilerden faydalanmak son kullanıcılar için kimi zaman mümkün olamayacağı için, sosyal medyadan haber takip eden, internetten alışveriş yapanlar için karşılaşılan şüpheli görselleri ve videoları doğrulama ihtiyacı (günümüzde bilginin doğrulanması gibi) her geçen gün daha da önem kazanmaktadır.

Bir görselin veya videonun sahte olup olmadığını anlamak için nelere dikkat edilmesi gerekir diye uzmanlara, otoritelere kulak verildiğinde genelde aşağıdaki maddeler öne çıkmaktadır.

Görüntü veya videoda başka bir yerde olmayan ancak yüzde belirgin olan bulanıklık (veya tam tersi) Yüzün kenarına yakın cilt tonunda değişiklik Çift çene, çift kaş veya yüzde çift kenar Yüzün bir el veya başka bir nesne tarafından kısmen gizlendiğinde bulanıklaşıp bulanıklaşmadığı Aynı video boyunca daha düşük kaliteli bölümler Ağız, gözler ve boyun çevresinde kutu benzeri şekiller ve kırpılmış efektler Göz kırpma (ya da kırpmama), doğal olmayan hareketler Arka plandaki ve/veya ışıktaki değişiklikler Bağlamsal ipuçları Arka plan sahnesi ön plan ve özne ile tutarlı mı?

Bu öneriler gerçekten işe yarıyor mu sorusuna yanıt bulmak için ise yine dolandırıcılar tarafından hedef alınan Acun ILICALI’nın gerçek videosu ile dolandırıcılar tarafından oluşturulan sahte, deepfake videosu yan yana koyulup incelendiğinde gerçekten de ilk madde olan “belirgin bulanıklık” hemen göze çarpıyordu.

Benzer şekilde yakın çekim olan sahneler yan yana koyulduğunda ve aynı anda ilerletildiğinde özellikle ağız, mimik hareketleri ile dişlerin görünürlüğü arasındaki tutarsızlık da şüphe uyandırıyordu.

Peki bu deepfake video tespitini bizim için yapacak araçlar, uygulamalar yok mu diye soracak olursanız özellikle bilişim teknolojilerine yakın kişilerin “Deepfake detection using Deep Learning” projesine bir göz atmalarını tavsiye edebilirim.

Deepfake video tespitini, çevrimiçi (online), akademik çalışmalar ışığında birden fazla deepfake tespit algoritması ile zahmetsiz ve ücretsiz olarak yapmak isteyenler için ise DeepFake-O-Meter uygulamasını şiddetle tavsiye edebilirim.

Örneğin dolandırıcıların, Selçuk BAYRAKTAR’ın bu videosundan kesitler alarak oluşturdukları bir deepfake videosunu DeepFake-O-Meter üzerinde analiz ettiğimde algoritmaların çoğu bu video ile doğru olmayan birşeyler olduğunu, şüphelenmem gerektiğini net olarak ortaya koyuyordu.

Internet tarayıcısı üzerinde bir eklenti ile bu tür deepfake görsellerini ve videolarını tespit etmek isteyenler için ise DeepfakeProof Chrome eklentisi denemeye değer olabilir.

Dolandırıcılar, Deepfake Videoları Nasıl Oluşturuyorlar?

Deepfake videolar kullanılan sahte reklamların son 6 ayda mantar gibi çoğalmasına bakıldığında bu sahte video oluşturma sürecinin dolandırıcılar için fazlasıyla kolay, bir o kadar düşük maliyetli veya ücretsiz olması gerekiyordu. Bu tezimi desteklemek için dolandırıcılar tarafından deepfake video oluşturmak amacıyla kullanılma ihtimali olan uygulamaları araştırmaya başladığımda, videonun bulanık olması, dudak senkronizasyonu (lip sync) tekniğinin kullanılması ve tabii ki açık kaynaklı ve ücretsiz olması nedeniyle oklar hemen Wav2Lip modeline çevirildi.

Wav2Lip, videolardaki dudak hareketlerini ses parçalarıyla senkronize edebilen ücretsiz, açık kaynaklı bir derin öğrenme modelidir. Herhangi bir ses, dil veya kimliğin yanı sıra sentetik sesler ve CGI yüzleriyle de çalışabilir.

Bu modelden faydalanarak dolandırıcılar tarafından hedef alınan gerçek videolardan birini, deepfake video oluşturmak amacıyla geliştirilmiş Wav2Lip_simplified_v5.ipynb isimli, ücretsiz Jupyter not defteri aracına verdiğimde, ortaya çıkan sonuç ile dolandırıcılar tarafından oluşturulan sahte, deepfake videodaki benzerlikler (dudak hareketlerinin metinden üretilen ses (audio deepfake) ile her daim senkron olamama problemi) dolandırıcıların bu modelden faydalandığı ihtimalini güçlendiriyordu.

Sonuç

Yapay zekadaki çığır açan gelişmeler bir yandan dolandırıcıların ekmeğine yağ sürmeye, işlerini kolaylaştırmaya devam ediyor. Örneğin sadece aylık 5$ ödeyerek taklit etmek istediğiniz bir kişinin video veya ses dosyasını ElevenLabs web uygulamasına yükleyerek yapay zeka sayesinde yazdığınız herhangi bir metnin bu kişi tarafından seslendirilmesini sağlayabiliyorsunuz. Durum böyle olunca da bu tür ticari girişimler her daim art niyetli kişiler tarafından kötüye kullanılma potansiyeline de sahip oluyor.

Sosyal medya ve ağlarda artan deepfake videolara karşı çok ama çok dikkatli olup yine benzer şekilde sesimizin kopyalanması (audio deepfake) ve dolandırıcılar tarafından yakınlarımıza, sevdiklerimize karşı kullanılma ihtimali olduğunu da unutmayalım. Sesinizin kopyalanması ihtimaline karşı yakınlarınızla aranızda acil durumlarda kullanılacak bir anahtar kelimeyi doğrulama amacıyla şimdiden belirlemekte de fayda olabilir.

Duyduğumuza inanamadığımız (audio deepfake), izlediğimize inanamadığımız (deepfake video), okuduğumuza inanamadığımız (yanlış bilgi, dezenformasyon, deepfake text) günümüzde, yılların klişesi olan “Gözünle görmediğin hiçbir şeye inanma.” öğütünü aklımızdan çıkarmayalım.

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

3

Bilgi Hırsızları

Başlangıç

Son yıllarda karşılaşılan Uber, Airbus, Grand Theft Auto VI ve benzer siber güvenlik vakalarına baktığımızda, infostealers yani bilgi hırsızlığı amacıyla kullanılan zararlı yazılımların ön plana çıktığını ve siber suç ekosisteminde giderek daha önemli bir rol oynadığını görüyoruz.

Yapılan araştırmalar da 2023 yılında bu türdeki zararlı yazılım kaynaklı siber güvenlik vakalarının 2022 yılına kıyasla iki kat arttığını, Rus market yerlerinde (Russian Market) bu zararlı yazılımlar tarafından çalınan ve satışa sunulan kayıt dosyalarının (logs) 2021 yılından bu yana %690 arttığına dikkat çekiyor.

Referans: ANY.RUN

Bilgi Hırsızı Zararlı Yazılımı Nedir?

Bilgi hırsızı zararlı yazılımı, başta bulaştığı işletim sistemindeki uygulamalara, sistemlere (VPN, RDP, SSH) ait kullanıcı adı, parola bilgileri olmak üzere kişisel, finansal bilgileri de çalan ve ardından bunları geliştiricisine gönderen bir yazılımdır. Bu zararlı yazılımlar çoğu zaman geliştiricileri tarafından zararlı yazılım servis (MaaS) modeli olarak haftalık ve aylık olarak erişim aracılarına (IAB) satılmakta veya kiralanmaktadırlar.

Zararlı yazılımlar tarafından çalınan bu bilgiler daha sonra erişim aracıları (IAB) tarafından siber suçluların uğrak yeri olan yeraltı forumlarında, Rus pazar yerlerinde (Russian Market) tehdit aktörlerine, operatörlere (müşteriler) satılmaktadırlar.

Referans: Secureworks

Özellikle SOCRadar gibi siber tehdit istihbaratı firmaları bu yerleri yakından takip ederek müşterilerini, satışa sunulan bilgileri hakkında uyarmaktadırlar. Bu uyarılar sayesinde kurumsal firmalar, çalışanlarına, müşterilerine, tedarikçilerine ait hesapları hızlıca tespit edip, dondurarak bu bilgilerin siber suçlular tarafından kötüye kullanılmasının önüne geçmektedirler. Aksi durumlarda ise örneğin X firmasına fidye saldırısı gerçekleştirmeyi planlayan bir tehdit aktörü, erişim aracısından 10$‘a satın aldığı bu erişim bilgileri ile kötü emellerini kolaylıkla hayata geçirebilmektedir.

Referans: SOCRadar XTI

3-2-1 Kayıt!

Hikayemiz, 25 Temmuz 2023 tarihinde Bartu KILIÇ‘ın akrabasından gelen bir WhatsApp mesajı ile başlar. Sigorta danışmanı olan akrabası, araç sigortası yaptırmak isteyen bir kişinin WhatsApp üzerinden kendisine ruhsat adı altında gönderdiği bir dosyadan (skoda__superb2013_1.6ti_ruhsat.rar) şüphelenerek konuyu siber güvenlik uzmanı olan Bartu’ya taşımaya karar verir. Bartu da bu hikayeyi, kendisi ile son zamanlarda yaşanılan dolandırıcılık girişimlerine dair sohbet ettiğimiz bir esnada benimle paylaşır ve ilgimi fazlasıyla çeken bu konuyu araştırmaya başlamam üzerine olaylar gelişir.

Bartu’dan dosyayı incelemek için akrabasından talep etmesini rica ettikten bir süre sonra dosyanın silindiğini bu nedenle dosyayı elde edemediğini paylaştı. Bunun üzerine elinde dolandırıcının cep telefonu numarası (+90 545 466 89 52) olduğu için ben de dolandırıcı ile WhatsApp üzerinden iletişime geçmeye karar verdim. Kendimi sigorta şirketinin genel merkez çalışanı olarak tanıtarak (her zaman dolandırıcılar sosyal mühendislik yapacak değiller ya :)) dolandırıcı ile yazışmaya başladım ve çok geçmeden hikayeye konu olan şüpheli dosyayı elde edebildim.

Statik Şüpheli Dosya Analizi (44.exe)

skoda__superb2013_1.6ti_ruhsat.rar dosyasını sanal Windows 11 işletim sistemi üzerinde açtıktan sonra skoda__superb2013_1.6ti_ruhsat.bat dosyası hemen dikkatimi çekti. Notepad ile dosyayı açtığımda karşıma UTF-16 kodlanmış bir karakter dizisi çıktı. HxD hex editörü ile BAT dosyasını incelediğimde, tehdit aktörünün metin editörleri ile komutların açığa çıkmasını engellemek için byte-order mark (BOM) yönteminden faydalandığını gördüm.

Bu kodlamanın arkasına gizlenen komutları incelediğimde, BAT dosyasının çalıştırıldığında öncelikle zararlı yazılımın Microsoft Defender ile tespit edilmesini engellemek için PowerShell komutlarından faydalanarak C: dizinini Microsoft Defender’ın istisna listesine eklediğini daha sonra ise Discord isimli iletişim platformundan 44.exe isimli bir dosya indirip çalıştırdığını gördüm.

Dinamik Şüpheli Dosya Analizi (44.exe)

Buraya kadar fazlasıyla şüpheli işlem yapmak için oluşturulmuş bu BAT dosyasını bir kenara koyup, 44.exe isimli dosyayı indirip, ANY.RUN isimli interaktif zararlı yazılım analizi platformuna yüklemeye ve çalıştırıp, kayıtlarını incelemeye karar verdim.

44.exe işlemi (process) tarafından işletim sistemi üzerinde oluşturulan kayıtlardan önemli olanlara baktığımda;

Çalıştığı sistemin IP adresinin coğrafi konum bilgilerini ve temel ASN ayrıntılarını IPinfo üzerinden alıyordu. Gofile dosya paylaşım platformuna işletim sisteminden çaldığı dosyaları yüklemek için müsait olan Gofile sunucu bilgisini alıyordu. Çalınan dosyaları Gofile platformuna yükler ve paylaşılabilir indirme bağlantı adresini (link) alıyordu. İndirme bağlantı adresini, zararlı yazılım geliştiricisinin web sunucusuna (http://antonybarlett[.]site:2095/stats) gönderiyordu. Bağlantı adresini, tehdit aktörünün Discord kanalına Webhook ile gönderiyordu.

5. kayda baktığımda, HTTP isteğinde yer alan InvictaStealer etiketi ve https://t.me/invicta_stealer Telegram adresi dikkatimi çekti. Telegram kanalını ziyaret ettiğimde, bu yazılımın C++ programlama dili ile geliştirilmiş, oluşturucusu (builder) ücretsiz olarak GitHub depolama platformunda sunulan, Rus menşeili bilgi hırsızı zararlı yazılımı (infostealer) olduğu netleşmiş oldu.

Dinamik Zararlı Dosya Analizi (Builder.exe)

Zararlı yazılımın geliştiricisine ait olan GitHub alanından InvictaStealer Builder.zip dosyasını indirip sanal sistemimde çalıştırıp incelemeye başladım. Uygulama açıldığında kullanıcıdan Discord Webhook veya bir URL girmesini istiyor ve ardından Build butonuna basılınca zararlı yazılımı oluşturuyordu. Test için Webhook/Server URL kısmına AAAAAA… girip, zararlı yazılımı oluşturdum.

Oluşturulan zararlı yazılımın 44.exe ile benzer noktalarını keşfetmek için ANY.RUN’a yüklediğimde, iki yazılımda da ortak olan http://antonybarlett[.]site:2095/stats web adresi dikkatimi çekti. Bu adresi VirusTotal zararlı yazılım analiz platformunda arattığımda, güvenlik üreticilerinden sadece SOCRadar tarafından şüpheli, Fortinet tarafından ise istenmeyen (spam) olarak damgalandığını gördüm.

İki farklı zararlı yazılım örneğinde ortak olan bu web adresi beni ve e-Devlet Hacklendi mi? yazımı okuyanları eminim ki pek şaşırtmamıştır çünkü o yazıda dolandırıcıların paylaştıkları dosyalara çoğu zaman arka kapı yerleştirdiklerini görmüştük. Bu zararlı yazılımda ise geliştiriciler, tehdit aktörleri tarafından GitHub alanından indirilip, oluşturulan bu zararlı yazılım tarafından çalınan ve Gofile dosya paylaşım platformuna yüklenen dosyaların adresini kendilerine de almayı, suça ortak olmayı ihmal etmemişlerdi. 🙂

Sigorta Danışmanını Hedef Alan Tehdit Aktörü Kim?

Bu bilgileri elde ettikten sonra sıra aklıma takılan önemli sorulara yanıt bulmaya gelmişti. Bu zararlı yazılımı GitHub alanından indirip, oluşturan ve sigorta danışmanını hedef alan tehdit aktörü kimdi? Bunun için zararlı yazılıma gömülmüş olan Discord Webhook adresinden faydalanmaya karar verdim. Bu adrese gittiğimde Discord API, bu Webhook’u oluşturan kullanıcının 17 Haziran 2023 tarihinde Discord’a katılan Nedimtac kullanıcı adına, İplikçi Nedim görünen adına (display name) sahip bir kişi olduğunu gösterdi.

Bu kişinin kullanıcı adı 2023 yılının Temmuz ayında iplikkkk, Ağustos ayında görünen adı SANALIN FATİHİ olarak değiştikten sonra Eylül ayında ise hesabı tamamen silindi. Bu kişiyle iletişime geçmeye çalışsam da davetimi kabul etmediği için sohbet etme şansım maalesef olamadı.

Sigorta Danışmanı / Acentesi Neden Hedef Alınmış Olabilir?

Sıra diğer bir soruya yanıt bulmaya gelmişti. Tehdit aktörü, sigorta danışmanının cep telefonunu nereden ve nasıl bulmuş olabilirdi? Bundan çok daha fazla bilginin dolandırıcıların ellerinde gezdiği son yıllarda, cep telefonu bilgimizin kimlerin elinde olduğunu tahmin etmek çok zor olmasa da bu konu özelinde biraz kafa yormaya karar verdim.

Mevzu bahis sigorta danışmanı olduğunda aynı emlak danışmanlarında olduğu gibi muhtemelen cep telefonu bilgisi internette, genele açık bir yerlerde kolay bulanabilir ve iletişim kurulabilir olmalıydı. Bu tehdit aktörü sigorta acentelerini hedef alıyorsa o halde bunun için ilk başvuracağı yer Google arama motoru olduysa rahtalıkla bu bilgiyi buradan elde etmiş olabilir miydi?

Bunun için Google arama motorunda “sigorta acentesi” anahtar kelimesiyle arama yaptığımda cep telefonu bilgisini paylaşan çok sayıda sigorta acentesi olduğunu gördüm. Sigorta danışmanlarını, acentelerini hedef alan tehdit aktörünün bu yöntemle hacklediği sistemleri ve o sistemler üzerinden sigorta şirketlerinin iç sistemlerine bağlanarak hangi bilgilerimizi sorgulayabileceklerini düşündüğümde, bu konu beni fazlasıyla endişelendirmeye yetti de arttı.

Sonuç

Sigorta danışmanlarının, acentelerinin tehdit aktörleri tarafından bilgi hırsızı zararlı yazılımları ile neden hedef alındığı üzerine biraz düşündüğümde aklıma, elde ettikleri bu bilgileri e-Devlet Hacklendi mi? yazımdaki gibi sorgulanabilir panellere dönüştürme ve/veya dolandırıcılara satma potansiyelinin oldukça yüksek olma ihtimali geldi. Bu ihtimal düşük de olsa yüksek de olsa, tehdit aktörlerinin kişisel verilerimize göz diktiği, bu verilere erişebilen kurumları hedef aldığı maalesef günümüzün yadsınamaz bir gerçeğidir.

Sonuç olarak siz siz olun, cep telefonunuza tanımadığınız kişilerden gelen bağlantı adreslerine (link) tıklamadan, dosyaları açmadan, çalıştırmadan önce iki defa düşünmeyi ihmal etmeyin.

Bir sonraki yazıda görüşmek dileğiyle herkese güvenli günler dilerim.

4

Yatırım Dolandırıcıları

Başlangıç

Hatırlayanlarınız varsa 2024 yılının Haziran ayında yayınlamış olduğum Deepfake Dolandırıcılarına Dikkat! başlıklı yazımda, Rusya merkezli olduğuna kanaat getirdiğim dolandırıcılık şebekesinin operasyonlarına dair detaylara, başka bir yazımda yer vereceğimi belirtmiştim.

O zamandan bu zamana kadar geçen sürede siber güvenlik araştırması ile elde ettiğim bilgiler öyle bir noktaya ulaştı ki hangi birini yazıya dökeceğim konusunda epey bir git gel yaşadıktan sonra farkındalık adına en çok faydası olacağına inandığım, dolandırıcılar ile aramda geçen telefon görüşmelerinin de yer aldığı kısımları yazıya dökmeye karar verdim.

Umuyorum ki benim için de önemli bir dönüm noktasına sahip olan bu 200. araştırma yazım, farkındalık yaratma anlamında arzu ettiğim noktaya ulaşır ve bu araştırma ile ortaya koyduğum en ufak bir bilgi bile dolandırıcılık dosyalarını aydınlatmada, kurbanlardan emniyet güçlerine kadar geniş bir yelpazede fayda sağlar.

Lütfen sizler de daha az vatandaşın mağdur olması ve farkındalık yaratması adına bu yazıyı çevrenizdekilerle paylaşmayı ihmal etmeyin.

Teknik Araştırma

Keşif

2024 yılının Mart ayında USOM tarafından Zararlı Bağlantılar listesine Bankacılık – Oltalama açıklamasıyla eklenen tr-billgi[.]com alan adı dikkatimi çekti.

Web sitesini ziyaret ettiğimde karşılaştığım sayfa, oldukça sıradan ve zararsız görünüyordu. Olsa olsa bu sayfanın, tehdit aktörleri arasında oldukça popüler olup, asıl oltalama sayfasını gizlemek amacıyla oluşturulmuş sahte ana sayfa (cloaking) olduğunu düşünerek bu web sitesi üzerinde araştırma yapmaya karar verdim ve hikayemiz bu şekilde başlamış oldu.

Zararlı İçerik Tespiti

tr-billgi[.]com web sitesini biraz kurcaladığımda /thanks klasörü dikkatimi çekti. Bu sayfayı ziyaret ettiğimde, burasının web sitesinde yer alan herhangi bir formu dolduranların yönlendirildiği bir sayfa olduğunu düşünmeye başladım. Özellikle sayfada itinayla tekrarlanan “Hiçbir aramayı kaçırmayın”, “Yöneticimiz sizi en kısa sürede arayacaktır” ifadeleri bu formu dolduranların birileri tarafından arandığına işaret ediyordu.

Bu web sitesini kurcalamaya devam ettiğimde bu tehdit aktörünün de, başka bir araştırma yazıma konu olanlar gibi Operasyon Güvenliği (OPSEC) noktasında hata yaptıklarını tespit ettim. Hatayı fırsata çevirip web sitesinin kaynak kodlarına eriştikten sonra kodları teker teker incelemeye başladım.

Kısa bir süre içinde general.php dosyasında sahte ana sayfaya ait kodları buldum. Thanks klasörü içinde yer alan index.php dosyasını, page klasöründe yer alan offer.php, index.html dosyalarını incelediğimde ise tehdit aktörleri tarafından bu oltalama sitesinin Baykar savunma şirketinin adını kötüye kullanarak kurbanlarını yatırım vaadiyle ağına düşürmek için tasarlandığını tespit ettim.

Oltalama sayfasındaki Türkçe metinlerin yanında İtalyanca metinlerin de yer alması bir yandan dikkatimi çekti. Tehdit aktörlerinin uluslararası kurumların adını (Slovnaft, INA d.d, Bosphorus Gaz, Baykar, Interpol) kullanarak dolandırıcılık girişiminde bulunduğunu Deepfake Dolandırıcılarına Dikkat! başlıklı yazımdan bildiğim için muhtemelen bu metin, İtalyan bir şirketi hedef almak için oluşturdukları İtalyanca oltalama sitesinden kalmış ve Türkçe’ye çevrilmesi unutulmuştu.

Teknik Takip

Bunların yanı sıra thanks klasörü içinde yer alan index.php dosyasında araştırmamı derinleştirecek çok önemli bir bilgiye daha ulaştım. O da tehdit aktörlerine ait olan Telegram Bot API jetonuydu (token).

Telegram mesajlaşma uygulaması, hız, güvenlik ve dosya paylaşımı altyapısına sahip olması nedeniyle son yıllarda suç örgütlerinin, tehdit aktörlerinin, dolandırıcıların uğrak yeri olmaya devam ediyor.

Çoğu tehdit aktörü, Telegram Bot API‘sinden faydalanarak oltaya düşürdükleri kişilerin çalınan bilgilerini anlık olarak oluşturdukları Telegram botları ile Telegram kanalları üzerinden takip etmektedirler. Bunun için yapmaları gereken ilk adım da botlarının jetonlarını (token) geliştirdikleri oltalama sitelerinin kaynak kodlarına yerleştirmektir.

Oltalama sitelerinin kaynak kodlarının başkalarının eline kolay kolay geçeceğini düşünmeyen tehdit aktörleri bu nedenle de bu jetonları aylarca değiştirmezler. Bu da emniyet güçlerinden, siber güvenlik araştırmacılarına kadar tehdit aktörlerinin Telegram üzerinden izlenmelerine olanak sağlar.

2024 yılının Mart ayı itibariyle bu jetonu kullanan Telegram botu üzerinden kanala gönderilen tüm mesajları mercek altına almaya başladığımda bu jetonun birden fazla oltalama sitesinde kullanıldığını gördüm. Oltalama sitesinde yer alan formu dolduran kurbanların ise adları, telefon numaraları, e-posta adresleri, IP adresleri, hangi oltalama sitesini ziyaret ettikleri ve hangi ülkeden geldikleri anlık olarak kanala iletiliyordu.

Kanalda yer alan kullanıcıların profillerine ve aralarında geçen yazışmalara baktığımda Rus mu yoksa Ukraynalı mı olduklarına kanaat getirmekte zorlandığım için son kararı Deepl çeviri uygulamasına bırakmaya karar verdim. Deepl, tüm bu metinlerin Rusça olduğunu belirtti. Bu kullanıcılar gerçekten bu oltalama sitelerini kuran, operasyonunu yürüten kişiler miydi yoksa sadece tehdit aktörlerine Telegram Botu hizmeti sağlayan aracı hizmet sağlayıcısının yöneticileri miydi bu kısımdan çok emin olamadım.

2024 yılının Temmuz ayına kadar dolandırıcıların oltalama amacıyla kullandığı web sitelerini yakın takibe aldıktan sonra bu web sitelerindeki formlara dolandırıcılarla iletişim kurabilmek için telefon numaramı girmeye başladım.

1. Dolandırıcılık Girişimi

Takvimler 22 Temmuz 2024‘ü gösterdiğinde +90 539 100 81 28 numaralı cep telefonundan kendisini müşteri danışmanı olarak tanıtan Derin isimli bir kişiden doldurduğum forma istinaden WhatsApp mesajı aldım.

Amerika’da yaşadığım ve Türkiye ile saat farkı 7 saat olduğu için dolandırıcı ile iletişim kurmak zaman zaman zor oldu. Özellikle dolandırıcı Türkiye saati ile 9/6 çalıştığı (fazla mesai yapmayan bir meslek dalı :)) ve benimle iletişim kurmayı sabah saatlerinde yapmayı tercih ettiği için benim saatime göre çoğu görüşmemiz gece saat 02:00’dan sonra gerçekleşti. Amacım bu dolandırıcılık çarkını ortaya çıkarmak olduğu için gecenin körü de olsa tüm çağrılarını büyük bir motivasyonla yanıtlamayı başardım.

Dolandırıcı ile 23 Temmuz 2024 tarihinde yaptığım WhatsApp görüşmesinde, hisse alım satımı gerçekleştirebilmek için öncelikle mobil cihazıma bir uygulama yüklemem gerektiğini ve bunun için de https://appzone[.]mastercapital[.]info/#/auth/login web adresini ziyaret etmem gerektiğini belirtti. Her ne kadar dolandırıcı bunu mobil uygulama olarak adlandırsa da işin aslında bunun bir Progressive Web Apps (PWA) web uygulaması olduğunu gördüm.

Web uygulamasına giriş yaptığımda karşılaştığım ekranlar Kripto Para Dolandırıcıları başlıklı yazıma konu olan sahte borsaya oldukça benziyordu. Farklı olan kısım, dolandırıcılar tarafından uygulamada yer alan sembol listesine sahte Baykar hisse senedi sembolünü (BAYKR-IST) eklemiş olmalarıydı.

Görüşmenin devamında dolandırıcı, bu borsaya para gönderebilmem ve sözde Baykar hissesini satın alabilmem için benden paylaşmış olduğu banka hesaplarına para transferi yapmam gerektiğini söyledi. Ana amacım hem dolandırıcıların yöntemini öğrenmek hem de WhatsApp Dolandırıcıları başlıklı yazımda yaptığım gibi kötüye kullanılan banka hesap bilgilerini öğrenip banka yetkilileri ile paylaşmak olduğu için bir mizansen kurgulamaya karar verdim.

Benimle harcadıkları her bir dakikanın, masum vatandaşları dolandırmak için ayıracakları zamandanın eksildiğini bildiğim için mizansenin uzun ve gerçekçi olmasına gayret ettim.

Büyük bir hevesle para transferi yapmaya çalışan ama sürekli hata alan bir kurban rolüne büründükten sonra dolandırıcıya hata aldığımı belirttim. Dolandırıcı da bir zaman sonra yeni bir banka hesap bilgisini benimle paylaştı. Ben de vakit kaybetmeden elde ettiğim bilgileri banka yetkilileri ile paylaştım.

Aldığım hatalardan yaka silken Derin isimli dolandırıcı beni vakit kaybetmeden bankaların internet/mobil şube ekranları konusunda çok daha bilgili ve tecrübeli olduğunu düşündüğüm Demir isim dolandırıcıya (+90 539 105 14 31) yönlendirse de şans pek yüzüne gülmedi.

IP Tespiti

Görüşmenin ilerleyen dakikalarında benimle WhatsApp üzerinden iletişim halinde olan dolandırıcının IP adresini öğrenmek için Grabify IP Logger uygulamasından faydalanmaya karar verdim.

Grabify üzerinde, ziyaret edildiğinde X bir bankanın SIM kartı bloke kaldırma sayfasına yönlendiren bir bağlantı adresi (link) oluşturduktan sonra bunu dolandırıcı ile paylaştım. Sohbetin gidişatına göre doğru zamanda bağlantı adresini dolandırıcıya gönderdiğim için çok geçmeden dolandırıcının IP adresini ve bağlandığı şehri Grabify üzerinden tespit edebildim. (93.182.105.132 – Mersin)

İstediğim bilgileri elde ettikten sonra dolandırıcılara soğuk duş etkisi yaratmak için başka dolandırıcı tarafından dolandırılan kurban senaryosu ile ilerlemeye karar verdim. Yazdığım mesajlar sonucunda, dolandırıcılar arasındaki rekabete yenik düştüklerini düşünen dolandırıcılar, sırasıyla sitem dolu mesajlar göndermeye başladılar.

Yazdıklarıma rağmen beni ikinci defa dolandırma umutlarını sonuna kadar koruyan ve iletişimi devam ettirmeye motive olmuş vicdansız, serin kanlı dolandırılarıcıların mesajları ben yanıt vermeyi bıraktıktan bir süre sonra kesildi.

Tüm bu olup bitenler devam ederken Baykar şirketi de 2024 yılının başından bu yana vatandaşları uyarmak için yazılı, görsel ve sosyal medya hesaplarından bu konuda uyarılar (#1, #2, #3) yayınlamaya hız kesmeden devam etti.

Ses Kayıtları

Merak edenleriniz dolandırıcılarla gerçekleştirmiş olduğum akıllara durgunluk veren görüşmelerin ses kayıtlarını aşağıda, YouTube kanalım üzerinden dinleyebilirler.

2. Dolandırıcılık Girişimi

IP Tespiti

Takvimler 2024 yılının Ekim ayını yani bir önceki dolandırıcılık girişiminden neredeyse 3 ay sonrasını gösterdiğinde bu defa +90 548 822 66 82 numaralı cep telefonundan İpek isimli başka bir dolandırıcı yine aynı senaryo ile benimle iletişime geçti. Ben de fırsat bu fırsat daha önceki yöntemle bu dolandırıcının da IP adresini elde etmeye karar verdim. Yine benzer bir şekilde dolandırıcıyı yemledikten sonra bu dolandırıcının öncekinin aksine Mersin yerine Gürcistan’ın başkenti Tiflis‘ten bağlantı kurduğunu tespit ettim. (Dolandırıcının vekil sunucu (proxy) kullanmadığını varsaydım.)

Bir önceki dolandırıcılık girişiminin baş aktörlerinden Derin veya Demir‘in hala görevlerinin başında olup olmadıklarını da bir yandan merak ettiğim için bu dolandırıcıya Derin veya Demir’den başka kimseyle görüşmeyeceğimi ısrarla dile getirdikten sonra dolandırıcı ısrarlarıma yenik düşüp Derin’e ulaşmaya ve bana yönlendirmeye karar verdi. Bu sayede dolandırıcıların son 3 aydır operasyonlarına aynı kadro ile hız kesmeden devam ettiğini öğrenmiş oldum.

Sonuç

Sonuç itibariyle bu güvenlik araştırması ile Slovnaft, INA d.d, Bosphorus Gaz gibi petrol rafineri, gaz dağıtım şirketlerinden, Baykar gibi savunma şirketlerine hatta Interpol‘e kadar önde gelen kurumların adını kullanarak dolandırıcılık girişiminde bulunan uluslararası dolandırıcılık çetesinin arka planda kurbanlarını nasıl ağlarına düşürdüklerini öğrenmiş oldum. Umuyorum ki masum vatandaşların paralarına göz diken bu dolandırıcılar en kısa sürede yakalanır ve hak ettikleri cezayı alırlar.

Yazının başında da belirttiğim üzere çok iyi kurgulanmış bu organize dolandırıcılık çarkına daha fazla masum insanın düşmemesi, kurban olmaması adına bu yazıyı çevrenizdekilerle ve tüm sevdiklerinizle paylaşmanızı gönülden rica ederim.

Bu yazı vesilesiyle de yeni yılınızı kutlar, 2025 yılının hem sizlere hem de tüm sevdiklerinize önce sağlık sonra mutluluk ve başarı getirmesini dilerim.