Allahın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım bu bölümde ise beraber Spam olan Epostaları inleyeceğiz ve epostanın genel olarak kullandığı ağ protokollerini inleyeceğiz allahın izniyle
Spam kavramı hepimizin aşina olduğu bir konu. Ne kadar önlem alınsa da bu istenmeyen e-postalar bir şekilde gelen kutularımıza düşmeyi başarıyor. İlginçtir ki, ilk spam e-postası 1978 yılında gönderilmiş ve o günden bu yana varlığını sürdürmeye devam ediyor.
Kimlik avı ise çok daha ciddi bir tehdit. Bir kuruluş, güvenlik için katmanlı savunma stratejileri geliştirse bile, tek bir dikkatsiz kullanıcının bir bağlantıya tıklaması ya da zararlı bir eki indirip çalıştırması saldırganlara sistem içinde bir kapı aralayabilir. Bu da tüm ağı tehlikeye sokabilecek bir başlangıç noktası yaratır.
E-postanın geçmişi 1970’lere, ARPANET dönemine kadar uzanıyor. Yani büyük ihtimalle doğumunuzdan önce,ortaya çıkmış bir teknoloji
Peki bir e-posta adresi hangi parçalardan oluşur?
Şimdi ise bir e-postanın gönderen kişiden alıcıya ulaşmasını sağlayan ağ protokollerine göz atalım dostlarım.
E-postaların gönderilmesi ve alınmasında üç temel protokol görev yapar:
POP3
Şimdi ise bir e-postanın gönderen kişiden alıcıya nasıl ulaştığını adım adım inceleyelim.
Bir e-posta gönderme sürecini daha iyi anlamak için adım adım ilerleyelim.
Bir e-posta aslında iki temel bölümden oluşur:
Peki, kötü amaçlı olabilecek bir e-postayı incelerken ilk olarak hangi bilgilere bakmalıyız? Başlık kısmında en çok dikkat edilen alanlar şunlardır:
Örnek olarak, aşağıda verilen görselde bu alanların nasıl göründüğünü inceleyebilirsiniz. Ancak önemli bir uyarı: Görseldeki bilgiler gerçek bir e-postadan alınmıştır ve bir honeypot (tuzak) Yahoo adresine aittir. Buradaki e-posta adresleri veya IP adresleriyle herhangi bir şekilde iletişime geçmemeniz gerekir.
Bir e-postanın başlık (header) kısmına detaylı şekilde bakmak, ilk başta göz korkutucu görünebilir. Çünkü “ham” yani işlenmemiş e-posta ayrıntılarını açtığınızda karşınıza uzun satırlar ve teknik bilgiler çıkar. Ancak hangi bilgilere odaklanmanız gerektiğini bilirseniz, aslında o kadar da karmaşık olmadığını fark edersiniz.
Genellikle e-posta istemcilerinde From, Subject, Date, To gibi temel alanlar açıkça görünür. Fakat ham başlık bilgilerini görüntülediğinizde, bunun çok daha fazlasını içerdiğini göreceksiniz. Örneğin:
Aşağıda, örnek e-postanın ham mesajından bir kesit yer almaktadır.
E-posta başlıklarında dikkat edilmesi gereken bazı ek alanlar vardır ve bunlar özellikle şüpheli e-postaları analiz ederken önemli ipuçları verir:
Kısacası, e-posta başlıklarını incelerken sadece görünen “From” alanına bakmak yeterli değildir. “Reply-To”, “X-Originating-IP” ve “Authentication-Results” gibi ek alanlar, mesajın gerçek kaynağını ve niyetini anlamak için kritik rol oynar.
Aşağıda yalnızca metin içeren bir e-posta örneği bulunmaktadır
Aşağıda HTML formatında bir e-posta örneği bulunmaktadır
Bir e-postanın içinde görseller veya bağlantılar yer alabiliyor. Örneğin, yukarıdaki örnekte e-posta bir görsel içeriyor ancak istemci tarafından güvenlik amacıyla engellenmiş. Ayrıca gömülü (embedded) bağlantılar da mevcut. Bu tür öğelerin e-postaya eklenmesini sağlayan şey HTML’dir.
Bir e-postanın HTML kodunu görüntülemek, başlık (header) bilgilerini ham haliyle incelemekle benzer bir yöntemle yapılır. Ancak kullandığınız webmail istemcisine göre adımlar biraz farklılık gösterebilir.
Örneğin, aşağıdaki ekran görüntüsü Protonmail üzerinden alınmış bir örnektir. Burada e-postanın HTML yapısını doğrudan görebilir, hangi görsellerin ve bağlantıların eklendiğini inceleyebilirsiniz.
Kısacası, e-postanın HTML kodunu görmek size mesajın arka planında neler olduğunu anlamanız için güçlü bir araç sunar. Bu sayede şüpheli bağlantıları, gizlenmiş görselleri veya zararlı olabilecek kod parçalarını fark etmeniz mümkün olur.
İstersen sana HTML kodu içinde en çok dikkat edilmesi gereken kısımları (örneğin <img> etiketleri, <a href> bağlantıları, script içerikleri) detaylı olarak açıklayabilirim. Böylece kötü amaçlı e-postaları analiz ederken daha bilinçli bir yaklaşım geliştirebilirsiniz dostlarım.
Aşağıdaki örnekte, ekran görüntüsü Protonmail'den alınmıştır .
HTML kodunun bir bölümü aşağıda gösterilmiştir.
Protonmail adlı bu özel e-posta istemcisinde, HTML'ye geri dönme seçeneği " Oluşturulan HTML'yi görüntüle " olarak adlandırılır.
Son olarak, e-postalar ekler içerebilir. Aynı prensip geçerlidir; bir e-postanın ekini, e-postanın HTML biçiminden veya kaynak kodunu görüntüleyerek görebilirsiniz.
Aşağıda birkaç örneğe bakalım.
Aşağıdaki örnek, ekli bir dosya içeren "Netflix"ten gelen HTML formatlı bir e-postadır. Web istemcisi Yahoo!'dur.
Yukarıdaki örnekten, bu eklentiyle ilişkili başlıkları görebiliriz:
Artık e-postaların nasıl çalıştığını ve hangi protokollerle gönderilip alındığını gördük. Şimdi ise bu iletişim yönteminin kötü amaçlarla nasıl kullanıldığını ele alalım.
Kötü niyetli e-postalar farklı türlere ayrılabilir:
Phishing e-postalarının ortak özellikleri şunlardır:
Amaç genellikle şu olur:
Kısacası, BEC saldırıları doğrudan kurum içindeki güveni hedef alır. Bu yüzden sadece teknik önlemler değil, aynı zamanda çalışanların farkındalığı ve dikkatli davranması da kritik öneme sahiptir.
Selamun aleyküm dostlarım bu bölümde ise beraber Spam olan Epostaları inleyeceğiz ve epostanın genel olarak kullandığı ağ protokollerini inleyeceğiz allahın izniyle
Phising Nedir Kısaca Özet
Spam ve kimlik avı (phishing), sosyal mühendislik saldırılarının en yaygın örneklerindendir. Bu tür saldırılar telefon aramaları, SMS’ler ya da e-postalar üzerinden yapılabilir. Bizim odak noktamız ise e-posta yoluyla gerçekleştirilen saldırılar.Spam kavramı hepimizin aşina olduğu bir konu. Ne kadar önlem alınsa da bu istenmeyen e-postalar bir şekilde gelen kutularımıza düşmeyi başarıyor. İlginçtir ki, ilk spam e-postası 1978 yılında gönderilmiş ve o günden bu yana varlığını sürdürmeye devam ediyor.
Kimlik avı ise çok daha ciddi bir tehdit. Bir kuruluş, güvenlik için katmanlı savunma stratejileri geliştirse bile, tek bir dikkatsiz kullanıcının bir bağlantıya tıklaması ya da zararlı bir eki indirip çalıştırması saldırganlara sistem içinde bir kapı aralayabilir. Bu da tüm ağı tehlikeye sokabilecek bir başlangıç noktası yaratır.
E-Posta Adresi
E-posta kavramını ortaya koyan ve @ sembolünü hayatımıza kazandıran kişiden bahsetmeden başlamak olmaz. Bugün iletişimde devrim yaratan bu katkının sahibi Ray Tomlinson’dır.E-postanın geçmişi 1970’lere, ARPANET dönemine kadar uzanıyor. Yani büyük ihtimalle doğumunuzdan önce,ortaya çıkmış bir teknoloji
Peki bir e-posta adresi hangi parçalardan oluşur?
- Kullanıcı adı (posta kutusu)
- @ işareti
- Alan adı (domain)
- Kullanıcı adı: billy
- @ sembolü
- Alan adı: johndoe.com
- Sokak, alan adı gibidir.
- Ev numarası ve isim ise kullanıcı adını temsil eder.
Şimdi ise bir e-postanın gönderen kişiden alıcıya ulaşmasını sağlayan ağ protokollerine göz atalım dostlarım.
E-Posta Teslimi
Bir e-posta gönderirken “Gönder” tuşuna bastığınızda arka planda aslında birkaç farklı protokol devreye girer. Ağ üzerinde her görevi yerine getirmek için özel olarak tasarlanmış protokoller vardır ve e-posta trafiği de bu kurallar sayesinde işler.E-postaların gönderilmesi ve alınmasında üç temel protokol görev yapar:
- SMTP (Simple Mail Transfer Protocol): E-postaların gönderilmesini sağlar.
- POP3 (Post Office Protocol): E-posta istemcisi ile posta sunucusu arasında mesajların aktarımını gerçekleştirir.
- IMAP (Internet Message Access Protocol): Aynı şekilde istemci ile sunucu arasında e-posta aktarımını sağlar.
POP3
- Mesajlar indirilir ve yalnızca tek bir cihazda saklanır.
- Gönderilen e-postalar, gönderildiği cihazda tutulur.
- E-postalara sadece indirildiği cihazdan erişilebilir.
- Sunucuda mesajların kalmasını istiyorsanız “Sunucuda sakla” ayarını açmanız gerekir; aksi halde e-postalar indirildikten sonra sunucudan silinir.
- Mesajlar sunucuda saklanır ve birden fazla cihazdan erişilebilir.
- Gönderilen e-postalar da sunucuda tutulur.
- Mesajlar senkronize edilerek farklı cihazlarda aynı şekilde görüntülenebilir.
Şimdi ise bir e-postanın gönderen kişiden alıcıya nasıl ulaştığını adım adım inceleyelim.
- Alexa, favori e-posta uygulamasında Billy’ye ([email protected]) bir mesaj yazar ve “Gönder” tuşuna basar.
- Gönderim için devreye giren SMTP sunucusu, mesajın nereye iletileceğini bilmek zorundadır. Bunun için DNS üzerinden johndoe.com alan adıyla ilgili bilgileri sorgular.
- DNS sunucusu, johndoe.com ile ilgili gerekli bilgileri bulur ve SMTP sunucusuna iletir.
- SMTP sunucusu, Alexa’nın e-postasını internet üzerinden Billy’nin posta kutusuna doğru yönlendirir.
- Bu aşamada e-posta, farklı SMTP sunucularından geçerek hedef SMTP sunucusuna ulaşana kadar aktarılır.
- Sonunda Alexa’nın e-postası, Billy’nin alan adını yöneten hedef SMTP sunucusuna ulaşır.
- Mesaj burada ilgili POP3/IMAP sunucusuna aktarılır ve Billy’nin alması için hazır bekler.
- Billy, e-posta istemcisine giriş yaptığında istemci POP3/IMAP sunucusunu sorgular ve yeni mesajları kontrol eder.
- Alexa’nın e-postası Billy’nin cihazına aktarılır: IMAP kullanılıyorsa mesaj sunucuda kalır ve senkronize edilir, POP3 kullanılıyorsa mesaj indirilir ve cihazda saklanır.
E-posta başlıkları
Artık bir e-postanın nasıl yolculuk yaptığını ve hangi protokollerin işin içinde olduğunu az çok biliyoruz. Şimdi ise gelen kutumuza ulaşan bir e-postanın hangi parçalardan oluştuğunu anlamamız gerekiyor. Bu bilgi, özellikle şüpheli veya zararlı olabilecek e-postaları elle incelemek istediğimizde çok işimize yarar.Bir e-posta aslında iki temel bölümden oluşur:
- Başlık (Header): Mesajla ilgili teknik bilgileri içerir. Örneğin, e-postanın hangi sunuculardan geçtiği, kimden geldiği ve kime gönderildiği gibi detaylar burada bulunur.
- Gövde (Body): Mesajın asıl içeriğidir. Düz metin veya HTML formatında olabilir.
Peki, kötü amaçlı olabilecek bir e-postayı incelerken ilk olarak hangi bilgilere bakmalıyız? Başlık kısmında en çok dikkat edilen alanlar şunlardır:
- From: Gönderenin e-posta adresi
- Subject: Mesajın konu başlığı
- Date: E-postanın gönderildiği tarih
- To: Alıcının e-posta adresi
Örnek olarak, aşağıda verilen görselde bu alanların nasıl göründüğünü inceleyebilirsiniz. Ancak önemli bir uyarı: Görseldeki bilgiler gerçek bir e-postadan alınmıştır ve bir honeypot (tuzak) Yahoo adresine aittir. Buradaki e-posta adresleri veya IP adresleriyle herhangi bir şekilde iletişime geçmemeniz gerekir.
Genellikle e-posta istemcilerinde From, Subject, Date, To gibi temel alanlar açıkça görünür. Fakat ham başlık bilgilerini görüntülediğinizde, bunun çok daha fazlasını içerdiğini göreceksiniz. Örneğin:
- Received: Mesajın hangi sunuculardan geçtiğini gösterir. Bu satırlar, e-postanın yolculuğunu adım adım takip etmenizi sağlar.
- Message-ID: Her e-postaya özgü benzersiz bir kimliktir. Sahte veya şüpheli mesajları tespit ederken önemli bir ipucu olabilir.
- Return-Path: Göndericiye geri dönüş yapılacak adresi gösterir. Çoğu zaman sahte e-postalarda bu alan ile “From” alanı uyuşmaz.
- Authentication-Results / SPF / DKIM / DMARC: E-postanın gerçekten iddia edilen alan adından gelip gelmediğini doğrulamak için kullanılan güvenlik kontrolleridir.
- X-Originating-IP: E-postanın gönderildiği IP adresini gösterir. Bu, genellikle “X-header” olarak adlandırılan ek bir başlık satırıdır. Göndericinin gerçek konumunu anlamak için kullanılabilir.
- smtp.mailfrom / header.from: E-postanın hangi alan adından gönderildiğini belirtir. Bu bilgiler genellikle Authentication-Results kısmında yer alır ve sahte alan adlarını tespit etmek için kritik öneme sahiptir.
- Reply-To: Yanıtların gönderileceği adresi gösterir. Bu alan, “From” kısmında görünen adresle aynı olmak zorunda değildir.
Kısacası, e-posta başlıklarını incelerken sadece görünen “From” alanına bakmak yeterli değildir. “Reply-To”, “X-Originating-IP” ve “Authentication-Results” gibi ek alanlar, mesajın gerçek kaynağını ve niyetini anlamak için kritik rol oynar.
E-posta İçeriği
E-posta gövdesi, gönderenin size göstermek istediği metni (düz metin veya HTML formatında) içeren e-posta bölümüdür.Aşağıda yalnızca metin içeren bir e-posta örneği bulunmaktadır
Bir e-postanın HTML kodunu görüntülemek, başlık (header) bilgilerini ham haliyle incelemekle benzer bir yöntemle yapılır. Ancak kullandığınız webmail istemcisine göre adımlar biraz farklılık gösterebilir.
Örneğin, aşağıdaki ekran görüntüsü Protonmail üzerinden alınmış bir örnektir. Burada e-postanın HTML yapısını doğrudan görebilir, hangi görsellerin ve bağlantıların eklendiğini inceleyebilirsiniz.
Kısacası, e-postanın HTML kodunu görmek size mesajın arka planında neler olduğunu anlamanız için güçlü bir araç sunar. Bu sayede şüpheli bağlantıları, gizlenmiş görselleri veya zararlı olabilecek kod parçalarını fark etmeniz mümkün olur.
İstersen sana HTML kodu içinde en çok dikkat edilmesi gereken kısımları (örneğin <img> etiketleri, <a href> bağlantıları, script içerikleri) detaylı olarak açıklayabilirim. Böylece kötü amaçlı e-postaları analiz ederken daha bilinçli bir yaklaşım geliştirebilirsiniz dostlarım.
Aşağıdaki örnekte, ekran görüntüsü Protonmail'den alınmıştır .
Aşağıda birkaç örneğe bakalım.
Aşağıdaki örnek, ekli bir dosya içeren "Netflix"ten gelen HTML formatlı bir e-postadır. Web istemcisi Yahoo!'dur.
- E-postanın içeriğinde bir resim var.
- E-posta ekinde bir PDF belgesi bulunmaktadır.
- İçerik türü pdf'dir application/ .
- Content-Disposition , bunun bir ek dosya olduğunu belirtir .
- Content-Transfer-Encoding bize bunun base64 ile kodlandığını söylüyor.
Artık e-postaların nasıl çalıştığını ve hangi protokollerle gönderilip alındığını gördük. Şimdi ise bu iletişim yönteminin kötü amaçlarla nasıl kullanıldığını ele alalım.
Kötü niyetli e-postalar farklı türlere ayrılabilir:
- Spam: İstenmeyen, toplu halde gönderilen e-postalar. Daha zararlı versiyonu MalSpam olarak bilinir.
- Phishing (Kimlik Avı): Güvenilir bir kurum veya kişi gibi davranarak kullanıcıları hassas bilgilerini vermeye ikna etmeye çalışan e-postalar.
- Spear Phishing: Kimlik avının daha hedefli versiyonu. Belirli bir kişi veya kurum odak alınır.
- Whaling: Spear phishing’in üst düzey yöneticilere (CEO, CFO gibi) yönelik hali. Amaç yine hassas bilgi elde etmektir.
- Smishing: Mobil cihazlara yönelik kimlik avı. Özel olarak hazırlanmış SMS mesajlarıyla yapılır.
- Vishing: Smishing’e benzer, ancak saldırılar sesli aramalar üzerinden gerçekleştirilir.
Phishing e-postalarının ortak özellikleri şunlardır:
- Gönderen adresi sahte bir şekilde güvenilir bir kurum gibi gösterilir (spoofing).
- Konu satırı veya içerik aciliyet hissi yaratır; “Fatura”, “Hesabınız askıya alındı” gibi kelimeler sıkça kullanılır.
- E-posta gövdesi (HTML) güvenilir bir kurumun tasarımını taklit eder (örneğin Amazon).
- Bazı durumlarda ise gövde kötü biçimlendirilmiş veya dil bilgisi hatalarıyla doludur.
- İçerik genellikle kişiselleştirilmemiştir; “Sayın Kullanıcı” gibi genel hitaplar kullanılır.
- Bağlantılar gizlenir; çoğu zaman URL kısaltma servisleriyle gerçek adres saklanır.
- Zararlı ekler, genellikle “fatura” veya “belge” gibi masum görünen dosyalar şeklinde sunulur.
Son Olarak
BEC (Business Email Compromise), yani “İş E-postası İhlali”, kurumlar için en tehlikeli saldırı yöntemlerinden biridir. Bu saldırı türünde bir siber saldırgan, kurum içindeki bir çalışanın e-posta hesabını ele geçirir. Hesaba erişim sağladıktan sonra, saldırgan bu hesabı kullanarak diğer çalışanlara güvenilir görünecek şekilde e-postalar gönderir.Amaç genellikle şu olur:
- Çalışanları kandırarak yetkisiz işlemler yaptırmak (örneğin para transferi talimatı vermek).
- Sahte faturalar veya ödeme talepleri göndermek.
- Kurum içindeki güveni kullanarak hassas bilgileri elde etmek.
Kısacası, BEC saldırıları doğrudan kurum içindeki güveni hedef alır. Bu yüzden sadece teknik önlemler değil, aynı zamanda çalışanların farkındalığı ve dikkatli davranması da kritik öneme sahiptir.
Okuduğunuz için Teşekkür ederim
CW-Ommah...
Bug Researchers Tim Sundu.
Bug Researchers Tim Sundu.
Son düzenleme:
