SIM KARTLARIN BİLİRKİŞİ İNCELEMESİNDE KULLANILAN UFED, XRY ve SIMCON ADLI 3 YAZILIMIN TESTİ

Transkript

1 SIM KARTLARIN BİLİRKİŞİ İNCELEMESİNDE KULLANILAN UFED, XRY ve SIMCON ADLI 3 YAZILIMIN TESTİ Test materyali : SIM kart Test edilen yazılımlar : UFED 3.6, XRY 6.5, SIMcon v1.2 Testin amacı : SIM karttaki mevcut metin mesajlarının(sms) tespiti Test tarihi : Testi yapanlar Not : Yunus BALI Adli bilişim uzmanı / Dursun YILMAZ Adli bilişim asistanı : Mesaj kayıtlarına ilişkin aşağıdaki raporlamalardaki telefon numaraları çıkarılmıştır veya noktalarla gösterilmiştir. Sonuçlar arasındaki tutarsızlıkların vurgulanması için ilgili mesaj metni kırmızı renkle gösterilmiştir. XRY İLE TESPİT EDİLEN MESAJLAR: Numara ve İsim Tarih Mesaj Durumu 1 AVEA :19:04 UTC+04:30 Avea'da Cepten Internet Sadece 5TL!Internette heryone doyasiya gezin diye 250MBlik internet paketi aylik sadece 5TL!Kayit icin EVET yazin 1333'e gonderin Mete :29:29 UTC+04:30 Nasılsın yiyenim :38:20 UTC+04:30 sa napion.d :38:20 UTC+04:30 sa napion.d Mete :10:25 UTC+04:30 kanka dün aksam gidiyom yolda bi yaşlı kadın gordum kanka elınde iki poset vardı yardım edeyim mi tayze dedim sonra o hırsız sandı olmaz dedi ondan sonra gidiyoduk gel dedi et dedi tasıyorum kanka cok agır hızlı hızlı gidiyom araya bi dondum bi baktım baş kanka bi korktum 6 AVEA :24:34 UTC+04:30 Tebrikler! Kampanyamizdan faydalanmaktasiniz. Gostermis oldugunuz ilgi icin tesekkur ederiz :24:35 UTC+04:30 Indirimli 250MB internet paketini kullanmaya baslayabilirsiniz. Paketiniz her ay otomatik yenilenecektir. Paket asim ucreti 0,05kr olarak ucretlendirilmektedir :28:16 UTC+04:30 Degerli musterimiz,liralariniz kisa surede bitecektir.avea Bayileri,ATMler,kredi kartiyla Avea Musteri Hizmetleri veya online islemlerden yukleme yapabilirsiniz :52:01 UTC+04:30 napion.d :33:05 UTC+04:30 kum tasiym derkn is mi degistirtrdin :34:27 UTC+04:30 hmm nie.d Dencerem var davam var gas mpa aliyim avam varr :) deyip :54:27 UTC+04:30 geziyor amcam evin i inde xd :42:04 UTC+04:30 kac kamyon? :42:47 UTC+04:30 oha :35:50 UTC+04:30 oha :38:49 UTC+04:30 tek basina misin? :16:23 UTC+04:30 kolay gelsin ne diym.s :18:04 UTC+04:30 Selin ben mal :22:17 UTC+04:30 Nrdsn la :41:19 UTC+04:30 Nerdesin len :43:02 UTC+04:30 Tamam kalk kutuphaneye gidelim hadi :44:27 UTC+04:30 Msj attigm da szin ewin asasina gel :58:35 UTC+04:30 Ewin asasina in geldm :23:07 UTC+04:30 napion.d :29:56 UTC+04:30 oturuyom.d isten cikmamismiydin sen? :41:52 UTC+04:30 gasteye girdim derken.s 5. sıradaki mesaja dikkat ediniz. Bu mesaj UFED de eksik şekilde 4 ayrı mesaj halinde, SIMCon da ise tam olarak 5 ayrı mesaj halinde gösteriliyor. 1

2 UFED İLE TESPİT EDİLEN MESAJLAR (TOPLAM 29 MESAJ): 5, 6, 7, 8. mesajlar aslında tek mesaj ama UFED de sanki ayrı mesajlarmış gibi gösteriliyor. 2

3 SIMcon İLE ALINAN MESAJLAR (TOPLAM 30 MESAJ): XRY raporunda 5. sıradaki mesaj, burada 5,6,7,8,12. sırada ayrı mesajlarmış gibi gösteriliyor. Mesaj, UFED raporunda olduğu gibi yine parça parça gösteriliyor ancak en azından gerçek mesajı oluşturan tüm parçalar mevcut. Bu açıdan, SIMcon yazılımı dahi UFED den daha doğru tespit yapıyor. 3

4 UFED - XRY SIMcon Test Sonuçlarını Değerlendirme SIM kartın her 3 yazılımla da incelenmesi neticesinde tespit edilen mesaj sayıları aşağıdaki gibi gerçekleşti: Yazılım XRY UFED SIMCON Tespit edilen mesaj sayısı 26 MESAJ 29 MESAJ 30 MESAJ Sonuçlar arasındaki farklılıkların nedeni için her bir mesaj içeriği ve tarih-saatler karşılaştırıldı: Tespitler: a) UFED ve SIMCon, SMS mesajlarını, içerik bütünlüğünden ziyade, alan esasına göre gösterdiği görüldü. XRY in ise tek kutucuğa sığmayan uzun metin mesajlarının diğer kutucuklarda yer alan kısımları birleştirip tek mesaj halinde gösterdiği görüldü.(ufed raporunda 5,6,7,8. sıradaki mesajlar aslında tek bir mesajdır. Mesaj, XRY de 5. sırada tek bütün halinde görülmektedir. SIMcon dökümünde ise aynı mesaj 5,6,7,8,12 sıralara dağılmış haldedir. b) XRY ve SIMcon un mesaj adetleri açısından değil ancak içerikleri açısından aynı sonuçları verdiği görüldü. SIMCon daki 5 parça 1 bütüne dönüştürüldüğünde, her iki program raporundaki mesaj sayılarının da eşit olduğu görüldü. Ancak UFED her halükarda 5 parça halindeki içeriğin 1 tanesini bulamıyor. Bulamadığı mesaj, ki poset vardı.. seklinde devam eden ve SIMcon dökümünde 5 no lu sırada verilen mesajdır. c) XRY nin uzun mesajların parçalarını bir araya toplayıp tek mesaj şeklinde göstererek daha anlaşılır raporlama yaptığı ve delillendirmeye katkı sağladığı görüldü. UFED de ve SIMcon da parça parça verilen mesaj metinlerinin anlamlı olması için bir arada ve doğru sırayla okunması gerekiyor. Aksi takdirde, metinler bir anlam ifade etmeyecektir. Mesaj sayısının yüzlerce olduğu dökümlerde ise bunun daha ciddi bir sorun olacağı öngörüldü. d) Test edilen 3 yazılımın tespitleri incelendiğinde, mesajların sadece içerik ve sayı açısından farklı tespit edilmediği, mesaj tarih-saatlerinin de birbirinden farklı tespit edildiği görüldü. UFED ve SIMcon, parçalanmış mesajların(5,6,7. sıradaki mesajlar) saatlerini aynı şekilde getirirken (GMT +03:00), XRY aynı mesajın saatini UTC+04:30 olarak vermektedir. UFED o mesajın parçası olan 8. sıradaki kısmın saatini ise XRY ile aynı getiriyor. Aynı mesaja ait parçaların aynı saat diliminde olması gerektiğinden dolayı, XRY nin sonuçlarının daha tutarlı olduğu değerlendirildi. e) UFED raporunda 5,6,7. sıradaki mesajlar, SIMcon da 5,6,7,8,12 sıradaki aynı mesajlar unread(okunmamış) olarak görünürken, XRY de mesajlar okunmuş olarak görünüyor. Bu da çok büyük bir tutarsızlık olarak değerlendirildi. DEĞERLENDİRME ve SONUÇ: Bir SIM kartta dahi bu kadar birbirinden farklı, tutarsız ve zıt delilendirme olabildiği göz önüne alınarak, adli bilişim incelemelerinde (özelikle cep tel ve SIM kart) en az 2 yazılımla tespitlerin doğrulanması gerektiği, aksi takdirde bu testte olduğu gibi anlamlı bir mesajın, parça parça raporlanması gibi durumlarla bazı içeriğin nasıl gözden kaçabileceği veya okunmuş mesajın nasıl okunmamış gibi görünebileceği veya tam tersi olabileceği ve A saatinde yazılmış bir içeriğin B saatinde yazılmış gibi görünerek nasıl yanlış delillendirmeye neden olabileceği ortaya konuldu; Adli bilişim incelemelerinde, mesaj dökümlerinde sadece sayısal karşılaştırmanın doğru olmadığı, metin içeriklerinin de kontrol edilmesi gerektiği sonucuna varıldı. Tek yazılıma dayalı olarak verilen sonuçların %100 doğruymuş gibi kabul edilmemesi gerektiği bir kez daha teyit edildi, Dijital delillerde tarih-saatlerin bilirkişi incelemelerinde çok önemli olduğunun bilincinde olarak, bilirkişi raporlarında verilen mesaj saatlerinin de doğrulanması gerektiği, tutarsızlık var ise bunun da not olarak yazılması gerektiği ortaya konuldu. Şüphe hasıl olması halinde ise, TİB deki işlem kayıtlarına ait tarihsaatlerin doğrulama amaçlı kullanılabileceği değerlendirildi. Yunus BALI 4

5 5 Adli bilişim uzmanı