Archive (ZIP/RAR/7z) Dosyalarında Gizli Veri Analizi: Gizli Dosyalar ve İzler

ZIP, RAR ve 7z gibi arşiv dosyaları yalnızca sıkıştırma ve taşıma amacıyla kullanılmaz. Adli bilişim vakalarında bu dosyalar; gizli veri saklama, çok katmanlı saklama, anti-forensics, şifreleme ve sahte içerik teknikleri için sıkça tercih edilir. Bu makalede arşiv dosyalarında gizli verinin nasıl saklandığını, nasıl tespit edileceğini ve pratik analiz yöntemlerini ele alıyoruz.

Arşiv Dosyaları Neden Gizleme İçin Kullanılır?
Temel Nedenler

- Çok sayıda dosyayı tek nesnede saklama
- Şifreleme desteği (özellikle RAR ve 7z)
- İç içe arşiv (nested archive) imkânı
- AV/EDR ve mail filtrelerini aşma
- Kullanıcı merakını tetikleme

Arşiv Dosyalarında Yaygın Gizleme Teknikleri
1. İç İçe Arşivler (Nested Archives)

Bir arşivin içinde başka bir arşiv bulunmasıdır.

Örnek:

1documents.zip
2└── images.rar
3└── backup.7z
4└── payload.exe

2. Şifrelenmiş Dosya veya Arşivler

- Parola ile korunan ZIP/RAR/7z
- Dosya adları görünür ama içerik erişilemez
- Bazen yalnızca tek bir dosya şifrelenir

3. Sahte Dosya Uzantıları

- report.pdf.exe gibi çift uzantılar
- Arşiv içinde masum görünen ama çalıştırılabilir dosyalar

4. Arşiv Yorum Alanları (Archive Comment)

Özellikle ZIP ve RAR formatlarında:

- Arşiv “comment” alanına metin veya veri eklenebilir
- Çoğu kullanıcı ve araç bu alanı kontrol etmez

5. Bozuk veya Kısmi Arşivler

- Bilinçli olarak hatalı oluşturulmuş
- Bazı araçlar açamaz, bazıları açar
- File carving ve manuel analiz gerektirir

Arşiv Dosyalarında Gizli Veri Nasıl Tespit Edilir?
1. Arşiv Bilgi İncelemesi

1zipinfo suspicious.zip

veya:

17z l suspicious.7z

Bu çıktılarda:

- Dosya sayısı
- Dosya boyutları
- Şifreleme bilgisi
- Sıkıştırma yöntemi kontrol edilmelidir.

2. Arşiv Yorum Alanını Kontrol Etme

1unzip -z suspicious.zip

Bu komut, arşive eklenmiş gizli yorumları gösterir.

3. İç İçe Arşivleri Otomatik Tespit

1binwalk suspicious.zip

Binwalk:

- Gömülü arşivleri
- Dosya imzalarını
- Beklenmeyen veri bloklarını ortaya çıkarır.

4. Şifrelenmiş Dosya Tespiti

17z l suspicious.rar

Çıktıda:

1Encrypted = +
2
3Method = AES-256

gibi ifadeler varsa parola koruması vardır.

Adli Senaryo Örneği

Olay:
E-posta ile gönderilen evraklar.zip dosyası inceleniyor.

İnceleme:

- ZIP içinde tek dosya: foto.jpg
- Dosya boyutu: 25 MB
- JPG için anormal büyüklük

Derin Analiz:

- binwalk → JPG içinde RAR bulundu
- RAR parola korumalı
- İçerik: payload.exe

Sonuç:

- Çok katmanlı gizleme
- Sosyal mühendislik + malware taşıyıcısı

Arşiv Dosyaları ile Anti-Forensics
Yaygın Taktikler

- Dosya adlarını masum seçme
- Tarihleri eşitleme
- İçeriği geçersiz parola ile kilitleme
- Arşivi bozuk bırakma

Adli Analistler İçin Pratik İpuçları
Arşivi Asla “Tek Dosya” Sanma

- Her arşiv potansiyel çok katmanlıdır

Dosya Boyutu – İçerik Mantığını Kontrol Et

- 30 MB .txt veya .jpg dosyası normal değildir

Şifreli İçeriği Not Et

- Parolayı kıramasan bile varlığı delildir

Arşiv İçindeki Zaman Damgalarını Karşılaştır

- Tüm dosyalar aynı saniyede mi?
- Bu durum otomasyon veya sahte üretim göstergesidir

Hukuki ve Adli Değer

Mahkemelerde:

- Arşiv yapısı
- Gizleme yöntemi
- Şifreleme varlığı

niyet göstergesi olarak değerlendirilir.

#AdliBilişim #kaynak