OSINT Çözümü: "Never Deleted" (OSINT Industries) – Bir Tehdit Aktörünü Zararlı Yazılım Sandbox’larıyla Takip Etmek

Göreve genel bakış

OSINT Industries’in “Never Deleted” adlı bu görevinde amaç, Mrb3hz4d takma adıyla bilinen bir tehdit aktörünün dijital izini takip etmekti. Senaryoya göre soruşturmacılar şüphelinin rap müzik hayranı olduğunu ve 22 Ağustos 2019’da kısa bir rap klibi paylaştığını tespit etmişti. Görev, pasif OSINT yöntemleriyle bu paylaşımı bulmak ve videodaki sanatçının tam adını belirlemekti.

• Platform: OSINT Industries
• Görev adı: Never Deleted
• Hedef kullanıcı adı: Mrb3hz4d
• Hedef paylaşım tarihi: 22 Ağustos 2019
• Hedef: Paylaşımı bulmak ve videodaki rapçinin tam adını belirlemek.

1. adım: Kullanıcı adı keşfi ve tehdit profili

Araştırma Mrb3hz4d kullanıcı adıyla açık bir sorguyla başladı. İlk sonuçlar doğrudan kolluk uyarılarına, özellikle bir FBI aranıyor ilanına ve takma adın arkasındaki şüpheliyi Behzad Mohammadzadeh olarak tanımlayan bir Vikipedi maddesine işaret etti.

2. adım: İddianamenin incelenmesi

Resmî kayıtların izini sürerek ABD Adalet Bakanlığı’nın yayımladığı resmî iddianameyi (1:20-cr-10182-LTS) inceledim. Belge siber faaliyetlerini, yetkisiz erişim suçlarını ve site tahrifatı (deface) operasyonlarını anlatıyordu. Operasyonel kimliğini doğrulasa da iddianamede belirli aktif sosyal medya hesaplarına ya da söz konusu 2019 klibine doğrudan bir atıf yoktu.

3. adım: Tahrifat izlerini ve sosyal medya hesaplarını bulmak

Güncel ya da eski kullanıcı adlarını bulmak için aktörle ilişkili tahrifat kayıtlarını inceledim. Kayıtlı hedeflerden biri (heritageit.edu), iletişim kanallarını açıkça listeleyen İranlı bir tahrifat ekranı gösteriyordu: bir e-posta adresi, bir Telegram kanalı ve bir Instagram hesabı ([instagram.com/Mrb3hz4d](https://instagram.com/Mrb3hz4d)). Bu, platformlardaki varlığını doğrulasa da tahrifat tarihi aranan 22 Ağustos 2019 tarihiyle örtüşmüyordu

.

4. adım: Pivot – ANY.RUN sandbox’ı ile “Never Deleted”

Standart arama motorları ve modern sosyal medya önbellekleri, yaptırım uygulanmış ya da kapatılmış hesapların silinen paylaşımlarını çoğu zaman saklamaz. Görevin adına, Never Deleted’a (Asla Silinmedi) uygun olarak otomatik web ortamı kayıtlarını aramak için dinamik zararlı yazılım ve tehdit istihbaratı sandbox’larına yöneldim.

ANY.RUN’da yapılan hedefli bir sorgu, bir analistin [https://instagram.com/Mrb3hz4d](https://instagram.com/Mrb3hz4d) adresini açıp kaydettiği 13 Ocak 2020 tarihli etkileşimli bir analiz oturumunu ortaya çıkardı

5. adım: Hedef videoyu ve tarihini bulmak

Sandbox’ın sanal masaüstü oturumunda gezinerek profile 2020 başındaki hâliyle erişebildim. Zaman akışında geriye doğru ilerleyince maskeli kişilerle birlikte endüstriyel bir binada performans sergileyen bir sanatçıyı gösteren bir video paylaşımı buldum. Paylaşımın ayrıntıları yayın tarihini doğruladı: 22 Ağustos 2019.

6. adım: Tersine görsel arama ve sanatçının tespiti

Sanatçının yüzünü net gösteren bir kare yakaladıktan sonra kırpılmış görseli Google Lens’e yükledim. Görsel iz, İran multimedya platformlarında, Aparat’ta ve YouTube’da hemen eşleşmeler verdi ve görüntüyü popüler İranlı rapçi Shayea’ya bağladı.

Sahne adını biyografik kayıtlarla karşılaştırmak istenen tam adı verdi: Mohammadreza Shayea.