Steganografi Tespiti ve Görsel Veri İncelemesi: Görünenin Altındaki Gizli Mesajlar

Steganografi, bir veriyi (metin, dosya, anahtar, payload) başka bir verinin içine fark edilmeden gizleme sanatıdır. En yaygın taşıyıcılar görsellerdir (JPG/PNG/BMP). Adli bilişimde steganografi; gizli iletişim, veri kaçırma, anti-forensics ve zararlı yazılım saklama amaçlarıyla kullanılır. Bu makalede steganografinin nasıl çalıştığını, tespit yöntemlerini, görsel veri inceleme tekniklerini ve sahada işine yarayacak pratik ipuçlarını ele alıyoruz.

Steganografi Türleri (Görsel Odaklı)
1. LSB (Least Significant Bit) Tabanlı

- Piksel renk değerlerinin en önemsiz bitleri değiştirilir
- İnsan gözü fark etmez
- En yaygın ve hızlı yöntem

2. Metadata Tabanlı

- EXIF/XMP alanlarına veri gömülür
- Görüntü içeriği değişmez

3. Dosya Sonuna Veri Ekleme (EOF Injection)

- Görüntü düzgün açılır
- Dosya sonunda fazladan veri bulunur

4. Format İçi Hileler

- PNG chunk’ları
- JPEG marker alanları
- Renk kanalı dengesizliği

Adli Bilişim Açısından Neden Önemli?

- Gizli iletişim kanalı oluşturur
- File carving ve AV kontrollerini aşabilir
- İçerik görünürde masumdur (fotoğraf, logo)
- Delil saklama ve veri kaçırma (exfiltration) için idealdir

Görselde Steganografi Şüphesini Artıran İşaretler
İlk Kırmızı Bayraklar

- Anormal dosya boyutu (küçük çözünürlük, büyük MB)
- Aynı klasörde çok sayıda benzer görsel
- Görselin amacı belirsiz (logo, boş manzara)
- Metadata’da anlamsız veya aşırı uzun alanlar

Teknik Tutarsızlıklar

- Renk histogramında kanal dengesizliği
- Dosya formatına uymayan sonlandırma (EOF)
- EXIF zamanları ile olay zamanının uyumsuzluğu

Görsel İnceleme: Nerelere Bakmalı?
1. Histogram Analizi

- Normal görsellerde RGB kanalları pürüzsüz dağılım gösterir
- LSB ile oynanmış görsellerde basamaklı/çentikli dağılım görülebilir

2. Görsel Katman ve Kanal İncelemesi

- R, G, B kanallarını ayrı ayrı incele
- Bir kanalda anlamsız gürültü şüphelidir

Teknik Örnekler (Tespit Amaçlı)
EXIF / Metadata Kontrolü

1exiftool suspicious.jpg

Özellikle kontrol et:

- Comment
- UserComment
- XMP alanları
- Software / Creator

Steghide ile Hızlı Kontrol

1steghide info suspicious.jpg

Parola istenmesi, gömülü veri ihtimalini güçlendirir.

Binwalk ile EOF ve Gömülü Veri Tespiti

1binwalk suspicious.png

Çıktıda:

- Beklenmeyen imzalar
- Arşiv/EXE izleri varsa derinlemesine inceleme gerekir.

Strings ile Basit İçerik Tarama

1strings suspicious.jpg | less

Anlamlı metinler, anahtarlar veya komutlar alarmdır.

Adli Senaryo Örneği

Olay:
Şüphelinin USB’sinde manzara.jpg bulunuyor.

İlk Bakış:

- Görsel normal
- Açılıyor, bozuk değil

Derin Analiz:

- Dosya boyutu: 18 MB (1080p için yüksek)
- binwalk → ZIP imzası

ZIP parola korumalı

İçerik: mesajlaşma kayıtları

Sonuç:

- Görsel taşıyıcı olarak kullanılmış
- Gizli veri saklama tespit edildi

Steganografi vs Şifreleme (Kısa Karşılaştırma)

1| Özellik     | Steganografi     | Şifreleme        |
2| ----------- | ---------------- | ---------------- |
3| Amaç        | Varlığı gizlemek | İçeriği gizlemek |
4| Fark edilme | Zor              | Kolay            |
5| Görünürlük  | Masum içerik     | Şifreli veri     |
6| Adli Risk   | Yüksek           | Orta             |

Adli Analistler İçin Pratik İpuçları
Dosya Boyutunu Çözünürlükle Kıyasla

- 800×600 JPG → 10 MB ise şüphelen

Aynı Görselin Hash’ini Ara

- İnternette aynı görsel var mı?
- Hash farklıysa müdahale vardır

Otomatik Araç + Manuel İnceleme

- Araçlar işaret eder
- Kararı analist verir

Şifre İsteyen Görselleri Not Et

- Parola çözülemese bile niyet kanıtıdır
- Hukuki ve Adli Değer

Mahkemelerde:

- Taşıyıcı dosya
- Gömülü veri türü
- Gizleme yöntemi birlikte raporlanmalıdır.

#AdliBilişim #kaynak