Thread by @ErginDev

[TR]
Ortalıkta dolaşan 2022 E-Devlet verilerinin sızdırılması iddiası üzerine "muhabir" olarak tanıdığımız İbrahim Haskoğlu (@haskologlu)'nun paylaşmış olduğu fotoğrafların nasıl ve nerelerden alındığını ve iddiaların doğru olmadığını göstereceğim.

https://twitter.com/haskologlu/status/1513962601134407681

İlk olarak fotoğraflardan başlamak en doğrusu olacaktır. Göründüğü üzere kırmızı ile içine aldığım alanlardaki font kalınlıkları birbiri ile uyuşmamaktadır. Aynı font olduğunu savunmaya bin şahit gerekebilir.

İkinci olarak iddia edilen kimlik fotoğrafının, Biyometrik fotoğraf ve arkada bulunan barkod kısmıdır. Biyometrik fotoğraf olmadığı açıkça gözükmekte. Ayrıca yeterince güzel işlenemediği için fotoğrafın alt kısmında keskinliği belli olmakta. Oysa ki sağ tarafındaki yazı bulanık.

Ayrıca kullanılan fotoğrafın gerçek hali soldaki fotoğraftır ancak hazırlayan kişi kimliğe uydurmak isterken işleri daha berbat hale getirmiş.

Ve dahası... Hazırlanan sahte kimlik kartı o kadar amatörce hazılanmış ki aklınız almayabilir. Yazıyı direkt yazmış. Bir diğeri ise konumlandırma hatasıdır. Altta kırmızı alandaki yazı ile diğer üstü karalanmış alandaki boşluk aralıkları uyuşmamaktadır.

Bu sahte kimlik kartlarında yapılan photoshop hatası diğer örneklerde de mevcuttur. Ara vermeden diğer örneklerle geçilmesi gerekirse, bir diğer "kanıt" ekran görüntüsü Haskoğlu tarafından bu şekilde paylaşılmıştır.

Paylaşılan görüntülerin kaynağı hacklenmiş şekilde ICQ ortamında satılan Sigorta şirketlerine ait olan Web Panellere ait API'lerin basite indirgenmiş bir panele uyarlanmış halidir. Aylık fiyatı 100₺'den başlamakta ve herkesin ulaşabileceği bir panel.

Bahsi geçen paneller üzerinden aldığım birkaç örnek. Ayrıca kendim üzerinden yapmış olduğum bir sorgu da bulunmakta. Haskoğlu'nun örneğindeki gibi öğrenim gördüğüm okul ve şube bile bulunmakta. Aynı diploma gibi.

Bir diğer örnek olarak gösterilen hasta kontol sisteminden alınan ekran görüntüsüdür. Ekran görüntüsünün kaynağını bilmememe rağmen bu tür durumlarda Stealer Malware türünün etkisi büyük. Tarayıcı üzerindeki verilerin sızdırılması ile bu tür panellere giriş yapmak çok basit.

Burada gösterilen ekran görüntüsü de aynı şekilde. Yaş farketmeksizin herkesin ulaşabileceği ve genç arkadaşlarımızın kullandığı bir android .apk uygulamasından ibaret. İçerisinde gösterilen seçenkler de Sigorta web panellerinde de olduğu gibi basite indirgenmiş bir data scraper.

Aynı şekilde bu data scraper'ın web ve masaüstü ortamlar için uyarlanmış hali de mevcut. İllegal / Underground ortamlarda bu tür servislerin yada uygulamaların satışı çokça yapılmakta. Önemsiz olmasının yanı sıra işlevsizliği bir hayli gereksiz olduğunu göstermekte.

Ayrıca telegram üzerinde bu işin satışını yapmaya çalışan sözde elinde verilerin olduğunu iddia eden kişilerin bana ilettikleri gerçekten gülünç. Kanıt için attığı veriler @haskologlu'nun ilettiği ekran görüntülerinden oluşmakta.

Öncelikle arkadaş ile olan kısa sohbetimiz ve haberi gördüğüm kaynak.

Ve dosya içeriği. Burada dosya isimlerine dikkat etmenizi istiyorum özellikle. Çünkü...

Twitterdan dosyayı indirmek istediğimizde fotoğrafın dosya adı ve elinde veri olduğunu iddia eden kişinin ilettiği dosyadaki aynı fotoğraf aynı aynı. Haskoğlunun gönderisine girip kaydetmek hiçte zor değil.

Ayrıca verilerin bulunduğu kişinin ilettiği .txt dosyalarının içeriği.😂 Olan 150$'a oluyordu.😂

Ve @socradar'ın gönderisi üzerine veri örneği istediğim dolandırıcının gönderisi... Ortada şahsen çocukların eline geçecek kadar sızdırılmış bir verinin olduğunu düşünmüyorum. Bune ek olarak...

@darktracer_int Belirtmiş olduğu gibi sızırılan veriler "Goverment" başlığı adı altında incelenmesi gerekse de bunların Stealer Malware ile sızdırılabileceği ve bu ihtimalin daha büyük olduğu gerçeğini atlamamak gerek.

https://twitter.com/darktracer_int/status/1511982449823449091

Bu sözde sızıntı haberini kendi açımdan başarıyla incelediğimi düşünüyorum. En azından doğruları ve kaynakları belirtlerek bilgilendirebildiysem ne mutlu.
Bundan çıkarılması gereken en büyük ders bilinçsiz internet kullanımıdır. Fazsa söze gerek yok malesef.

Yaklaşık 1 saat önce Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün yapmış olduğu açıklamaya göre iddia edilen verilerin asılsız olduğu doğrulandı ki çok bariz şekilde ortadaydı 🙂

https://twitter.com/TCNufus/status/1513999672712519684

Olayla ilgili iddiaların ve bilgilerin oturduğunu varsayarak artık olayın baştan sona olan "E-Devlet Veri Sızıntısı" kısmına bir açıklık getirebilirim. Aslında size sunulduğu şekilde bir sızıntı yok. Aslında ben, @mesutcevik ve @haskologlu hocalarım bir leak dan bahsettik.

Üçümüzde elimizde olan bilgiyi yorumlayıp servis ettik. İddianın başlangıcı Mesut Çevik hocamın bu tweeti üzerine İbrahim Haskoloğlu'nun eline geçen verileri olayla ilişkilendirerek paylaştığını düşünüyorum.

https://twitter.com/mesutcevik/status/1513935056338833420

Zannımca olayla ilişkilendirilerek İbrahim hocamın paylaştı elinde olan veriler.

https://twitter.com/haskologlu/status/1513962601134407681

İbrahim hocamın verilerini görmemle bende bir analiz metni hazırladım. İletilen ve iddia edilen görüntülerin montaj olduğu konusunda. Flood'un içeriği de kimlik bilgilerinden tutun iletilen panel bilgilerine kadar ulaşılabilir bir kaynak olduğuydu.

Bu sırada Mesut hocamdan gelen videoyu izlememle sabah sızdırılan veriler hakkında not aldım. Mesut hocamın videoda bahsettiği sızıntılar:
Video :

Öncelikle sözde sızıntının E-Devlet üzerinden olmadığını ancak E-Devlette bulunabilecek servisler aracılığıyla gerçekleştiği kanısına varmam gerekti. Ayrıca zaten cepte içeriği bilinen datalar bulunmaktaydı. Mernis, Sigorta, Hastane, ÖSYM (Özellikle fotoğraf).

Ayrıca atlanılmaması gereken bir konu daha var. Kurumların Stealer zararlısı ile elde edilmiş panel bilgileriydi. Bunun halk arasında yanlış anlaşılması, Doktorun bilgisayarına virus bulaşması ile sağlık bakanlığının hacklenildiğinin sanılması örneği ile birebir.

@darktracer_int de yayımlamış olduğu üzere 2022'nin ilk çeyreğinde stealer bulaşmış sistemlerde ülke olarak ilkleri oynuyoruz. Ancak bunlara bakıp 15K E devlet verisi sızdı diyemeyiz.

https://twitter.com/darktracer_int/status/1511982449823449091

Geriye dönecek olursak İbrahim hocanım verilerinin arasına olan Diploma bilgilerinin olduğu tweet. Aynı şekilde yukarıda bahsettiğim web panellerin hacklenmesi ile alakalı. Örneğin üniversite sızıntısında İbrahim hocamın diploma bilgileri sızmış olabilir.

Sızdırılan veriler TCKN bazlı olduğu için ve TCKN de benzersiz bir sayı kombinasyonundan oluştuğu için veriyi eşlemek zor değil. Aynı şekilde benim tweetimde de mevcut.

https://twitter.com/ErginDev/status/1514003790717980675

Bu örneği tüm veri tiplerine uyarlayabiliriz. Ayrıca Sigorta şirketlerinden çekilen API'lerin olduğunu da atlamamak gerek. Ve bunun gibi adapte edilebilir tüm API'ler... İşin özetine gelirsek. Bu paneller her zaman vardı. Geçmişte de vardı. Gelecekte de var olacak.

Zaten isteyenin zorlanmadan ulaşabileceği bir veri kütüphanesi var. Nüfusundan, hastane kayıtlarının olduğu bilgilere kadar. Ve elinde verisi olan istediği gibi sorgulayabiliyor ve istediğine ulaşabiliyor.

Mesut Hocam da, İbrahım Hocam da kendilerinde ellerinde var olan bilgilerle aktardılar. Ortak noktaları birleştirdim. Ve bu kanıya vardım.
Son olarak yeni bir sızıntı yok diyebilirim.
Sadece türk milleti uykusundan yeni uyandı.