Dosya İmza Çakışmaları ve Sahte Dosya Analizi: Uzantının Ötesindeki Gerçekler

Dosya uzantıları (.jpg, .pdf, .exe) kullanıcıyı yönlendirmek içindir; gerçeği söylemek zorunda değildir. Adli bilişimde dosyanın gerçek türünü belirleyen şey dosya imzası (magic number) ve içerik yapısıdır. Dosya imza çakışmaları, bir dosyanın uzantısı ile iç yapısının uyuşmaması durumudur ve sahte dosyaların, zararlı payload’ların ve anti-forensics tekniklerinin en sık başvurduğu yöntemlerden biridir.

Dosya İmzası (Magic Number) Nedir?

Dosya imzası, bir dosyanın ilk birkaç baytında bulunan ve dosya türünü tanımlayan sabit byte dizisidir.

Örnek İmzalar:

1JPG → FF D8 FF
2
3PDF → %PDF
4
5ZIP → 50 4B 03 04
6
7EXE (PE) → 4D 5A (MZ)

Bu imzalar, işletim sistemi ve adli araçlar tarafından gerçek dosya türünü tespit etmek için kullanılır.

Dosya İmza Çakışması Nedir?

Dosya imza çakışması; dosya uzantısı, header imzası ve iç yapı arasında tutarsızlık olmasıdır.

Örnek:

Dosya adı: invoice.pdf
Header: MZ
Gerçek tür: Windows çalıştırılabilir (EXE)

Sahte Dosyalar Neden Kullanılır?
Yaygın Amaçlar

- Zararlı yazılım gizleme
- Sosyal mühendislik saldırıları
- E-posta filtrelerini aşma
- AV/EDR algılamasından kaçma
- Olay zaman çizelgesini yanıltma

Yaygın Sahte Dosya Türleri
1. Çift Uzantılı Dosyalar

1report.pdf.exe

Windows varsayılan ayarlarda son uzantıyı gizleyebilir.

2. Uzantı–İmza Uyumsuzluğu

1Uzantı: .jpg
2
3İmza: PK (ZIP)
4
5İçerik: Arşiv veya Java JAR

3. İç İçe Dosyalar (Container İçinde Payload)

1JPG header + EXE body
2
3PDF içine gömülmüş script

Dosya İmza Analizi Nasıl Yapılır?
1. file Komutu ile Hızlı Kontrol (Linux/macOS)

1file suspicious.jpg

Çıktı uzantıdan farklıysa ilk kırmızı bayrak yakılmış olur.

2. Hex Editor ile Header İnceleme

İlk 16–32 bayt kontrol edilir.

1xxd suspicious.pdf | head

Beklenen imza yoksa dosya şüpheli kabul edilir.

3. ExifTool ile Dosya Türü Doğrulama

1exiftool suspicious_file

Özellikle:

1File Type
2
3MIME Type
4
5File Type Extension

alanları karşılaştırılmalıdır.

File Carving ve İmza Çakışmaları

File carving sırasında:

- Yanlış header eşleşmesi
- Eksik footer
- İç içe dosya yapıları

yanlış pozitif üretebilir.

Adli Senaryo Örneği

Olay:
E-postayla gönderilen tatil_fotograflari.zip dosyası inceleniyor.

Analiz:

- ZIP içeriğinde IMG_2023.jpg
- JPG header doğru
- Dosya sonunda MZ yapısı
- İçeride gömülü EXE bulundu

Sonuç:

- Dosya çok katmanlı sahte
- Sosyal mühendislik + malware taşıyıcısı

Sahte Dosya Tespitinde İpuçları
Uzantıya Asla Güvenme

- Her dosyada header kontrolü yap
- Özellikle e-posta eklerinde

MIME Türünü Kontrol Et

- Sunucu tarafı MIME ≠ dosya içi MIME ise şüphelen

Dosya Boyutuna Bak

- 20 KB “video” dosyası mantıksızdır

Dosya Davranışını İzle

- Açılır açılmaz başka işlem başlatıyor mu?
- Script veya process tetikliyor mu?

Hukuki ve Adli Değerlendirme

Mahkemelerde:

- Dosya uzantısı değil
- Dosya imzası ve içerik yapısı esas alınır.

#AdliBilişim #kaynak