BİLİMSEL UZMAN MÜTALAASI

Transkript

1 BİLİMSEL UZMAN MÜTALAASI 26 Ekim 2017 TUNCAY BEŞİKÇİ Adli Bilişim Mühendisi (1. Sınıf Onur Derecesi, Middlesex University, Birleşik Krallık) Adli Bilirkişi (İstanbul Ceza ve Hukuk Mahkemeleri No:7824) Avrupa Birliği Sertifikalı Siber Adli Bilişim Profesyoneli (CCFP-EU No:440505) 1

2 1 İÇİNDEKİLER 2 GİRİŞ UZMAN BİLİRKİŞİ KİMLİĞİ İNCELENEN BELGE, DOKÜMAN VE DELİLLER İNCELEME YÖNTEMİ İNCELEMEDE KULLANILAN YAZILIM VE DONANIM DELİLLERİN TOPLANMASINA DAİR TESPİTLER ÖN İNCELEME HIS (CGNAT) KAYITLARININ İNCELENMESİ DELİL ÜZERİNDE YAPILAN ANAHTAR KELİME ARAMASI SONUÇLARI TELEFONDA ÇALIŞTIRILMIŞ DİĞER UYGULAMALARIN İNCELENMESİ FREEZY-MÜZİK BUL DİNLE ADLI UYGULAMANIN İNCELENMESİ TESPİTLER SONRASI ORTAYA ÇIKAN KRONOLOJİK SÜREÇ ve ŞEMA SONUÇ VE KANAAT EKLER EK 1 TELEFONDA BULUNAN UYGULAMALAR EK 2 SİLİNMİŞ UYGULAMALARIN LİSTESİ EK 3 MORBEYİN.COM SUNUCUSUNA AİT IP ADRES GEÇMİŞİ

3 2 GİRİŞ Sn. Yunus Emre İper vekilleri Sn. Av. Tora Pekin ve Sn. Av.Abbas Yalçın, Tarafıma 18 Eylül 2017 tarihinde yapmış olduğunuz müracaat üzerine ve sunmuş olduğunuz dosya içeriği, Ceza Usul Muhakemesi Kanunu madde 67 ile düzenlemeye tabi tutulmuş ve 6100 sayılı Hukuk Muhakemeleri Kanunu madde 293 ile de Özel Hukuk uyuşmazlıklarında delil sistemi içerisinde yer alan uygulamalar çerçevesinde, T.C. İstanbul 27. Ağır Ceza Mahkemesi nce yürütülmekte olan 2017/ soruşturma, 2017/ 148 ESAS numaralı dosya içeriği ve soruşturma kapsamında delil olarak yer alan dijital deliller üzerinde yapılan incelemeler sonucu işbu bilimsel uzman mütalaası hazırlanmıştır. Raporda adı geçen kişi veya kurumlarla, bireysel veya kurumsal hiçbir ilişkim yoktur.... Tuncay Beşikçi, 26 Ekim 2017 Adli Bilişim Mühendisi (1. Sınıf Onur Derecesi, Middlesex University, Birleşik Krallık) Adli Bilirkişi ( , İstanbul Ceza ve Hukuk Mahkemeleri No:7824) Avrupa Birliği Sertifikalı Siber Adli Bilişim Profesyoneli (CCFP-EU No:440505) 3

4 3 UZMAN BİLİRKİŞİ KİMLİĞİ Tuncay Beşikçi, 1977, İstanbul Londra Middlesex Üniversitesi, Mühendislik ve Bilgi Bilimleri Fakültesi, Adli Bilişim Mühendisliği bölümünden 1. Sınıf Onur Derecesi ile bölüm birincisi olarak mezun olmuştur, halen Stockholm Üniversitesi nde Bilgi ve İletişim Teknolojileri Geliştirilmesi bölümünde yüksek lisansına devam etmektedir Adli Bilişim, Bilgi Güvenliği, Olay Yeri İncelemesi, Zararlı Yazılım Analizi, Veri Sahteciliği ve Hırsızlığı, Sızma Testleri, Bilişim Suçları, Siber Savunma, Veri ve Şifre Kurtarma, İşletim Sistemleri, Mobil Cihazlar ve İnternet Adli İncelemesi gibi konularda; aralarında Emniyet İstihbarat Daire Başkanlığı, Siber Suçlarla Mücadele Daire Başkanlığı, Polis Kriminal Büro, Adli Tıp Kurumu ve Jandarma Kriminal Büro gibi kamu ve özel sektörden birçok kuruluşa eğitmenlik ve danışmanlık hizmetleri sunmuştur yılı öncesinde Birleşik Krallık da 10 yıl süre ile bilişimin; veritabanları, programlama, bilgisayar ve ağ güvenliği gibi çeşitli alanlarında çalışmış, İngiliz Yüksek Mahkemesi nde (Royal High Court of Justice) bilirkişilik yapmış ve Londra Polis Teşkilatı nın Elektronik Suçlar Bölümü nde (London Metropolitan Police e-crime Unit) yaptığı incelemelerle çok sayıda adli davanın çözümlenmesine katkı sağlamıştır yılı itibarı ile İstanbul Adliyesi Hukuk ve Ceza Mahkemeleri nde Adli Bilişim, Bilişim, İnternet ve Sahtecilik Suçları gibi konularda kayıtlı Adli Bilirkişidir. Bu kapsamda özellikle dijital delillerin davaların seyrini belirlediği, kamuoyunda Balyoz, Poyrazköy, Atabeyler, OdaTV, 28 Şubat, Askeri Casusluk ve FETÖ/PDY adları ile bilinen davalarda mahkeme tarafından görevlendirilerek bilirkişilik yapmış ve bilimsel uzman mütalaaları hazırlamıştır. BCS (British Computer Society), ACFE (Association of Certified Fraud Examiners), INETA (International.Net Association), (ISC) 2 (International Information Systems Security Certification Consortium, Inc.) ve Adli Bilişim Derneği üyesidir. Raporun yazıldığı tarihte dünya genelinde 49 kişinin sahip olduğu, tüm Avrupa Birliği ülkelerince kabul edilen, Adli Bilişim ve Siber Güvenlik alanlarında en üst düzey sertifikalardan biri olan CCFP-EU (Certified Cyber Forensic Professional - European Union) ünvanlı Türkiye deki ilk ve tek kişi olması haricinde Accessdata, Guidance Software, Microsoft, Ec-Council, Ace Laboratory ve Cisco gibi firmalardan bilişimin çeşitli alanlarında çok sayıda sertifika sahibidir. İyi derecede İngilizce bilmektedir. Bilirkişi olarak görevlendirildiği davalardan bazıları şöyledir: 2014/128199, FETÖ/PDY iltisaklı Poyrazköy Kumpası Davası 2015/48932, Oslo Görüşmelerinin Sızdırılması 2015/91043 DHKC mensubu kişide Başbakan Erdoğan ın ev krokisinin bulunması 2012/653, FETÖ/PDY Telekom yapılanması 2015/20679, FETÖ/PDY iltisaklı usulsüz telefon dinlemeleri 2014/124746, F. Gülen i araştıran gazeteci Haydar Meriç cinayeti 4

5 4 İNCELENEN BELGE, DOKÜMAN VE DELİLLER 18 Eylül 2017 tarihinde Yunus Emre İper ( SANIK ) vekillerinden Av. Tora Pekin tarafından aranarak T.C. İstanbul 27. Ağır Ceza Mahkemesi nde görülmekte olan bir dava konusu cep telefonu incelemesi talep etmiştir. Görüşmeyi takiben SANIK vekillerinden Av. Abbas Yalçın, dava dosyası ile birlikte Sandisk marka Cruzer Glide 3.0 (SDCZ G) model, BP B seri numaralı 128GB kapasiteli USB taşınabilir bellek içerisinde dava konusu dijital delilleri elden teslim etmiştir. Teslim edilen dijital delillerin listesi Tablo 1 de listelenmiştir. Klasör Adı CUMHURİYET CD Açıklama 9 Haziran 2017'de alındığı anlaşılan 1 adet CD imajı. MD5 HASH değeri: 8402e604f5c8ba f0863 HP_CNU6181K4F_HITACHI_X5HLY6DM_Laptop_Diski 9 Haziran 2017 tarihine alındığı anlaşılan 1 adet sabit disk imajı. MD5 HASH değeri: be90a31b6c d2bbe Kingston_512_MB_USB_Bellek 9 Haziran 2017 tarihinde alındığı anlaşılan 1 adet Kingston marka USB bellek imajı. MD5 HASH değeri: 055ae258c74ad4062b7edb83e7ab568c Samsung_ _Cep_Telefonu 9 Haziran 2017 tarihinde alındığı anlaşılan 1 adet Samsung marka cep telefonuna ait fiziksel imaj. Turkcell_Sim_Kart Tablo 1 - İncelemek üzere teslim edilen dijital materyaller 9 Haziran 2017'de alındığı anlaşılan 1 adet SIM Kart imajı ve içeriğinde UFED isimli Adli Analiz cihazı/yazılımı tarafından hazırlandığı anlaşılan rapor dosyaları Aynı tarihte tarafıma, Sandisk marka Cruzer Edge (SDC G) model, BL B seri numaralı 16GB kapasiteli USB taşınabilir diske kopyalanmış, içeriğinde 2 adet dava klasörü, 2 adet cd ekleri, SANIK savunması ve TEM Dijital Deliller Raporu nun elektronik kopyaları teslim edilmiştir. Yapılan ön incelemede Tablo 1 de listelenen delillerin Adli birimlerce alındığı kanısına varılmıştır. Soruşturma kapsamında Tablo 1 deki dijital delillerden Samsung marka cep telefonuna ait imaj incelenmiştir. Dijital delillerin haricinde dosya kapsamında aşağıdaki belge ve dokümanlar incelemeye tabi tutulmuştur: tarihli Arama ve El Koyma Tutanağı tarihli şüpheliye İfade Tutanağı tarihli T. Koray Peksayar imzalı Uzman Görüşü tarihli Adli Bilişim Büro Amirliği İçerik Çıkartma Raporu tarihli Telim Tesellüm Tutanağı tarihli çeşitli dijital delillere ait inceleme tutanakları tarihli Bilgi Teknolojileri ve İletişim Kurumu tarafından hazırlanmış IP kayıtları tarihli Bilirkişi İnceleme ve Teslim Tutanağı tarihli Bilirkişi Zahide Şen tarafından imzalanmış talep yazısı tarihli T.C İstanbul 27. Ağır Ceza Mahkemesi'nde görülmüş Duruşma Tutanağı tarihli Şüpheli Müdafileri tarafından imzalanmış dilekçe tarihli Turkcell tarafından gönderilmiş Bilgi Talebine cevap yazısı tarihli İstanbul 27. Ağır Ceza Mahkemesi Ara Kararı 5

6 5 İNCELEME YÖNTEMİ Yapılan incelemede, soruşturma konusu ile bağlantılı olarak sırasıyla aşağıdaki adımlar kullanılmıştır. Dava dosyasında yer alan belge ve tutanakların incelenmesi Olay yeri ve delillerin toplanması sürecinin incelenmesi Dijital delillerin imajlarının ve HASH değerlerinin (özet veya özüt değeri olarak da bilinir) kontrolü, delillerin değiştirilmiş ve/veya manipüle edilmiş olması ihtimalini göz önünde bulundurarak test edilmesi Bylock uygulamasına ilişkin açık kaynaklardan elde edilen bilgi ve belgelerin derlenmesi Çeşitli Adli Bilişim yazılım ve donanımları kullanılarak delil üzerinde yapılan inceleme, silinmiş dosyaların kurtarılması ve veri boşluk analizinin uygulanması Delilden elde edilen bulguların HIS (CGNAT) sorgu sonuçları ile karşılaştırılması İsnat edilen suç tarihlerinin belirlenerek, cep telefonunda ilgili tarihlerde oluşturulan kayıtların incelenmesi, bulguların zaman çizelgesi üzerinde değerlendirilmesi Soruşturma konusu ile ilgili anahtar kelimelerin tespit edilmesi ve delil üzerinde aranması Cep telefonundaki tüm verinin, daha önce tarafımdan incelenen ve ByLock uygulamasının bulunduğu, silindiği ve bulunamadığı imajlarla karşılaştırılması, HIS (CGNAT) sorgu sonuçlarında yer alan ByLock sunucu IP adresinin özellikle incelenmesi ve bu adresle iletişime geçilip geçilmediğinin araştırılması Mor Beyin Freezy Müzik uygulamasının çalışmasına dair açık kaynaklarda yapılan araştırma, geçmişe dönük İnternet site arşivlerinin incelenmesi, uygulamayı geliştiren kişilerin araştırılması Bulguların derlenerek raporlaştırılması ve rapor eklerinin tanzimi 6 İNCELEMEDE KULLANILAN YAZILIM VE DONANIM Adli Bilişim uzmanlarının silinmiş dosyaların kurtarılması veya imajlar üzerinde ileri düzey analiz işlemleri yapması için bir takım karmaşık programlar kullanmaları gereklidir. Ancak burada önemli olan husus birtakım temel kavramların yargı makamları tarafından bilinmesinin gerektiğidir. Aksi halde Adli Bilişim uzmanlarının raporları tam anlamı ile değerlendirilemeyecektir. Kullanılan Adli Bilişim yazılımları, sonucu kesin olan, tekrarlanabilir, güvenilir ve tarafsız sonuçlar üretmelidir. Aynı zamanda Adli Bilişim sürecinin tamamı tüm ayrıntıları ile anlaşılır bir şekilde raporda belirtilmelidir. Adli Bilişim alanında yüzlerce yazılım olmasına karşın, tüm dünyada kabul görmüş bazı yazılımlar, güvenilirliğinin de ispatlanmış olması nedeniyle mahkemelerde daha çok kabul görmekte ve şüpheleri ortadan kaldırmaktadır. Yapılan incelemede, uluslararası mahkemelerce kabul görmüş lisanslı ticari yazılımlar ve delilin niteliğinden dolayı bazı açık kaynaklı aşağıda listesi verilen yazılımlar kullanılmıştır. 6

7 Oxygen Forensic Detective v , mobil cihazlar için geliştirilmiş ve uluslararası mahkemelerce kabul gören Adli Bilişim inceleme, arama ve analiz yazılımı EnCase v7.10.2, uluslararası mahkemelerce kabul gören Adli Bilişim inceleme, arama ve analiz yazılımı Autopsy v4.0.0, açık kaynaklı Adli Bilişim inceleme ve analiz yazılımı DtSearch Desktop v7.85 (build 8426), ham veri üzerinde arama yapmak için kullanılan veri indeksleme ve arama yazılımı DB Browser for SQLite v , Android cihazlarda uygulamaların veri depoladıkları db uzantılı veritabanı dosyaları için görüntüleme, sorgulama ve analiz yazılımı Tüm incelemelerde Microsoft Windows işletim sistemli kişisel bilgisayar kullanılmıştır. 7 DELİLLERİN TOPLANMASINA DAİR TESPİTLER Delillerin elde edilmesi ve maddi gerçeğin ortaya çıkarılması bakımından en önemli yer, inceleme ve soruşturmanın en önemli unsurlarından olay yeridir. Bilişim suçlarında yapılması gereken delillerin bozulmadan muhafaza edilmesinin sağlanmasıdır. Burada amaç, orijinalliklerinin sağlanması, mahkeme veya taraflarca reddedilmesinin önlenmesi ve sahtecilik iddialarının bertaraf edilmesidir. Kanun 1 ve yönetmeliklere 2 göre (CMK Madde 134 ve Adli ve Önleme Aramaları Yönetmeliği Madde 17) elektronik delillerde yapılacak yedeklemenin (imajların alınmasının) el koyma işlemi sırasında yapılması gerektiği, istenmesi halinde bu imajdan bir kopya çıkartılarak şüpheli veya vekiline verilmesi ve bu hususun tutanağa geçirilerek imza altına alınması gerekmektedir. Yapılan incelemede, soruşturma konusu dijital delillere 7 Nisan 2017 tarihinde el konulmasına rağmen, kanun ve yönetmeliklere aykırı olarak olay yerinde delillerin yedeklenmediği, şüpheli veya müdafisine verilmediği gözlemlenmiştir. Deliller, Terörle Mücadele Şube Müdürlüğü tarafından 28 Nisan 2017 tarihinde Adli Bilişim Şube Müdürlüğü ne gönderilebilmiş ve imajları 9 Haziran 2017 tarihinde, delillere el konulmasından 2 aydan fazla bir süre sonra alınabilmiştir. İmaj sonrası yazılım ELKOYMA 1 CEZA MUHAKEMESİ KANUNU - BİLGİSAYARLARDA, BİLGİSAYAR PROGRAMLARINDA VE KÜTÜKLERİNDE ARAMA, KOPYALAMA VE Madde (1) Bir suç dolayısıyla yapılan soruşturmada, başka surette delil elde etme imkânının bulunmaması halinde, Cumhuriyet savcısının istemi üzerine şüphelinin kullandığı bilgisayar ve bilgisayar programları ile bilgisayar kütüklerinde arama yapılmasına, bilgisayar kayıtlarından kopya çıkarılmasına, bu kayıtların çözülerek metin hâline getirilmesine hâkim tarafından karar verilir. (2) Bilgisayar, bilgisayar programları ve bilgisayar kütüklerine şifrenin çözülememesinden dolayı girilememesi veya gizlenmiş bilgilere ulaşılamaması halinde çözümün yapılabilmesi ve gerekli kopyaların alınabilmesi için, bu araç ve gereçlere elkonulabilir. Şifrenin çözümünün yapılması ve gerekli kopyaların alınması halinde, elkonulan cihazlar gecikme olmaksızın iade edilir. (3) Bilgisayar veya bilgisayar kütüklerine elkoyma işlemi sırasında, sistemdeki bütün verilerin yedeklemesi yapılır. (4) İstemesi halinde, bu yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır. (5) Bilgisayar veya bilgisayar kütüklerine elkoymaksızın da, sistemdeki verilerin tamamının veya bir kısmının kopyası alınabilir. Kopyası alınan veriler kâğıda yazdırılarak, bu husus tutanağa kaydedilir ve ilgililer tarafından imza altına alınır

8 tarafından oluşturulan kayıtlara göre şüpheliye ait bütün delillerin imajlarının alınması 54 dakika sürmüştür. Dolayısı ile dijital delillerin imajları olay yerinde rahatlıkla alınabilecekken, bu işlem yapılmadığı anlaşılmaktadır. Dava dosyasında bulunması gereken belgelerden bazılarına rastlanmamıştır. Bu nedenle delillere el konulması ile şüpheli vekiline verilmesi arasında geçen süre zarfında delillerin nasıl ve nerede korunduğuna, birimler arası nasıl taşındığına, delil torbalarının üzerinde bulunması gereken tutanaklara veya herhangi bir hazırunun varlığına dair belgelere rastlanmamıştır. Tüm bu nedenlerden dolayı delillere henüz ilk aşamada güvenilirliğini yitirmiş, delil zinciri kırılmış ve uluslararası mahkemelerde (mukayeseli hukukta) geçerliliğini ve delil niteliğini kaybettiği değerlendirilmektedir. Rapor kapsamında yapılan inceleme, delillerin bozulmadığı, değiştirilmediği veya manipüle edilmediği varsayılarak yapılmıştır. 8 ÖN İNCELEME İmaj üzerinde yapılan ön inceleme sonucunda SANIK Yunus Emre İper den ele geçirilen cep telefonun özellikleri tespit edilmiş ve Tablo 2 de sunulmuştur. Marka / Model Samsung / GT-i9190 Galaxy S4 Mini Adli İmaj Android UFED image Adli İmaj Tipi Fiziksel imaj İşletim Sistemi Android OS IMEI Yazılım Sürümü 4,4,2 SIM card IMSI: ICCID: Wi-Fi MAC adresi 24:C6:96:BE:70:09 Bluetooth MAC adresi 24:C6:96:BE:70:08 Serial number 07b97bf0 Cihazın Kayıtlı Sahibi Yunus Emre İper Telefon Numarası Tablo 2- Delil'e ait özellikler Delillerin değişmediğini ispatlamak amacı ile imajlara ait HASH 3 (özet) değerleri kontrol edilmiş ve herhangi bir tutarsızlığa rastlanmamıştır. 3 HASH değeri (İng. HASH Value, özet veya özüt değeri olarak da bilinir), suç soruşturmalarında elektronik ortamdan elde edilen delillerin herhangi bir şekilde değişmediğinin garanti altına alınması ve orijinal delil ile imajın bire bir aynı olduğunun doğrulanması için hesaplanan değerdir. HASH değerinin çıktısı alınarak taraflara imzalatılması daha sonradan yapılan itirazları önleyecektir. Özetleme fonksiyonları tek yönlüdür, veri bütünlüğü ve kimlik doğrulaması sağlar. 8

9 Resim 1 - Telefonun ilk kullanılmaya başladığı ve işletim sisteminin yüklendiği tarihin bulunması Yapılan incelemede telefonun ilk olarak 9 Kasım 2013 tarihinde kullanılmaya başlandığı ve emreiper@gmail.com e-posta adresi ile kayıt edildiği ve kurulduğu tarihten itibaren hiç fabrika ayarlarına dönülmediği ve işletim sisteminin yeniden kurulmadığı tespit edilmiştir. Android işletim sistemi çalıştıran cihazlarda, fabrika ayarlarına dönülmüş olsa dahi veri veya kısmi veri kurtarılabilmektedir 4. Keza, telefonda kurulu Android İşletim Sistemi nin sürümü 31 Ekim 2013 tarihinde piyasaya sürülmüştür ve telefonun Emniyet tarafından 2017 yılında alınan imajında hala aynı sürüm işletim sisteminin kurulu olduğu anlaşılmıştır. Resim 2 - Telefonda kurulu olan Android işletim sistemi 31 Ekim 2013 tarihinde piyasaya sürülmüştür 4 9

10 Toplam ve silinmiş verilerden kurtarılan kayıtların yer aldığı Tablo 3 de sunulan listeden de görülebileceği üzere, SANIK telefonda en çok WhatsApp adlı sohbet ve paylaşım uygulamasını kullanmıştır. COUSİNS (Türkçe kuzenler ) adlı WhatsApp grubunda 7,356 kayıt bulunmaktadır. Bunu sırasıyla Sema İper (3,917), Zeynep Duman (3,394), Bahar Günaydın (2,605), Erkan Çelenk (1,719), Buyrucu Kardeşler (1,508), Alem (928) ve Cumhuriyet İdare (809) kayıtla izlemektedir. Tüm kullanıcı verisinin 692 adeti silinmiş kayıtlardan kurtarılmış 273,680 kayıttan oluştuğu anlaşılmaktadır. Dosya sisteminde ise büyük çoğunluğu işletim sistemi tarafından otomatik olarak gerçekleştirilmiş 68,814 silinmiş dosya tespit edilmiştir. Telefonla yapılan son aramanın 6 Nisan 2017 tarihinde saat 17:24 te 0532xxxxx75 numaralı Sema İper ile yapıldığı anlaşılmaktadır. Dosya kategorilerine göre, imajda silinen dosyalardan kurtarılan dahil toplam 4,495 fotoğraf, 270 video, 598 ses ve 261 sıkıştırılmış dosya tespit edilmiştir. Yapılan incelemede, isnat edilen suça konu olan zaman aralığında (26 Ağustos 2014 ve 13 Eylül 2014 arasında geçen 18 günde) 42 WhatsApp yazışması, 3 SMS kısa mesaj, 3 elektronik posta, 2 Google Drive a yüklenmiş alarm teklif başlıklı Microsoft Word dosyası ve 1 takvim girdisi tespit edilmiştir. Yapılan incelemede, isnat edilen suçun ilk günü olan 26 Ağustos 2014 tarihinde 3 adet WhatsApp mesajı tespit edilmiştir. Saat 18:20 ile 18:23 arasında yapılan yazışmanın Erkan Çelenk isimli şahısla gerçekleştirilmiş soruşturma konusu dışında kalan bir sohbetten ibaret olduğu anlaşılmıştır. SANIK, 30 Ağustos 2014 tarihinde saat 20:02 de Erkan Çelenk adlı kişiye WhatsApp üzerinden gönderdiği mesajda Karasu da olduğunu belirtmiştir. BTK tarafından sağlanan HIS (CGNAT) sorgusunda 30 Ağustos 2014 tarihinde saat 17:43 ile 18:43 arasında telefonun Karasu Aqua Park Hotel lokasyonundaki baz istasyonundan sinyal aldığı ve Bylock sunucusuna ait IP adresine bağlandığı gözlemlenmiştir. Bu kayıttan yola çıkarak raporun geri kalan bölümünde HIS (CGNAT) sorgusundaki, IMEI, tarih ve lokasyon bilgileri doğru olarak kabul edilmiştir. Tablo 3 - Telefon içeriği ve kayıt sayıları Soruşturma kapsamında 15 Temmuz 2016 tarihinde yapılan yazışmalar incelendiğinde, SANIK ın evde bulunduğu ve darbe bildirisini COUSİNS adlı WhatsApp grubundan öğrendiği ve tüm telefon kayıtlarına göre darbe girişimine herhangi bir dahlinin bulunmadığı gözlemlenmiştir. 10

11 9 HIS (CGNAT) KAYITLARININ İNCELENMESİ Tarafıma iletilen delillerin bulunduğu USB taşınabilir diskte bulunan HIS (CGNAT) Sorgusu,MSISDN isimli Microsoft Excel dosyasının 16 Haziran 2017 tarihinde yaratıldığı tespit edilmiş, yapılan detaylı analizde Linux tabanlı bir sistemden otomatik olarak oluşturulduğu anlaşılan dosya üzerinde gerçekleştirilmiş herhangi bir manipülasyon tespit edilememiştir. Toplamda 204 kayıttan oluşan ve her kaydın ByLock un barındırıldığı sunucu adresine bir bağlantı isteği olduğu anlaşılan liste incelendiğinde çeşitli tarih ve lokasyon uyuşmazlıkları gözlemlenmiştir. 26 Ağustos 2014 ile 12 Eylül 2014 tarihleri arasında 18 güne yayılmış liste, bağlantı tarih ve saatleri dikkate alınarak tekrar düzenlenmiş (Tablo 4), sonuçta ByLock sunucusuna bağlantıların 14 farklı oturumda (İng. session ) ve toplamda 945 dakika (15 saat 45 dakika) içerisindeki zaman aralığında yapıldığı anlaşılmıştır. NO ÖZEL IP GENEL IP OTURUM BAŞLANGIÇ BAŞLANGIÇ (UNIX) OTURUM BİTİŞ BİTİŞ (UNIX) SÜRE (DK) :41: :55: :07: :16: :42: :14: :11: :36: :33: :06: :00: :20: :56: :56: :43: :03: :00: :22: :27: :32: :49: :55: :32: :33: :30: :59: :17: :26: Tablo 4 - HIS (CGNAT) Listesi oturumlara göre düzenlenmiş liste TOPLAM SÜRE: 945 Listede yer alan tarih, saat ve lokasyon bilgileri arasındaki tutarsızlıklar uzmanlık alanımın dışında kaldığından detaylı olarak incelenememiştir. Raporun diğer bölümleri HIS (CGNAT) kayıtları doğru varsayılarak tanzim edilmiştir. 10 DELİL ÜZERİNDE YAPILAN ANAHTAR KELİME ARAMASI SONUÇLARI Delil üzerinde Bylock uygulamasının varlığının ve SANIK Yunus Emre İper in FETÖ bağlantılarının tespiti amacı ile soruşturma ile ilgili anahtar kelimeler tarafımdan hazırlanıp delil üzerinde, imajda geçen her metni kelime ve harfler bazında ayırıp indeksleyen, bu alanda dünya endüstri lideri ve çok sayıda Adli Bilişim yazılımının arka planında çalışan DtSearch adlı uygulama ile büyük/küçük harf ayrımı yapılmadan aratılmıştır. Anahtar kelimesi arama sonuçları Tablo 5 de sunulmuştur. 11

12 Anahtar Kelime Eşleşme Açıklama bylock 33 dosyada 155 eşleşme * Tamamı 2016 yılı ve sonrasına ait gazete haberleri ve üçüncü şahıslar tarafından gönderilen Twitter mesajlarından oluştuğu anlaşılmıştır 0 eşleşme SANIK'ın bağlandığı iddia olunan ByLock IP adresi ve IP bloğu aratılmış, herhangi bir eşleşme bulunamamıştır. net.client.by.lock 0 eşleşme ByLock uygulamasının üzerinde çalıştığı kütühane aratılmış, herhangi bir eşleşme bulunamamıştır. hocaefendi 7 dosyada 11 eşleşme Tamamı 2015 ve sonrasına ait gazete haberleri eşleşmiştir herkul.org 0 eşleşme FETÖ propagandası yapan İnternet site adresi bamteli 0 eşleşme FETÖ propagandası yapan İnternet sitesindeki bölüm Eagle 26 dosyada 106 eşleşme Tablo 5 - Anahtar kelime arama sonuçları FETÖ'nün kullandığı Bylock benzeri uygulama adı aratılmıştır. Tüm eşleşmelerin uygulama adının İngilizce anlamı kaynaklı soruşturma kapsamı dışı sonuçlar olduğu anlaşılmıştır Anahtar kelime arama sonuçlarına göre, SANIK Yunus Emre İper in ByLock uygulamasını kurduğuna veya kullandığına dair veya FETÖ ile herhangi bir bağlantısı tespit edilememiştir. Ek olarak imaj üzerinde tespit edilen 4,990 farklı IP adresi taranmış, ByLock sunucusuna ait diğer IP adresi olan adresine ait herhangi bir kayıt tespit edilememiştir. Yapılan incelemede telefonda ByLock uygulamasına dair bir iz rastlanmaması ve içerik aramasında SANIK Yunus Emre İper in FETÖ ile bağlantısını ortaya koyacak herhangi bir veriye ulaşılamaması nedeniyle bir sonraki bölümde SANIK ın telefonunun ByLock sunucusuna telefondaki başka bir uygulama tarafından yönlendirilip yönlendirilmediği araştırılmıştır. 11 TELEFONDA ÇALIŞTIRILMIŞ DİĞER UYGULAMALARIN İNCELENMESİ Yapılan detaylı incelemede ByLock uygulamasının kurulup kullanıldığına veya ByLock sunucusuna ulaşıldığına dair herhangi bir ize rastlanmamıştır. Bu nedenle, kullanıcının bilgisi dışında başka bir uygulamadan ByLock sunucusuna ulaşılıp ulaşılmadığı aranmıştır. Tamamı EK 1 de verilen ve telefonda kurulu vaziyette bulunan 136 farklı uygulamaya ait dosyalara bakılmıştır. Listede yer alan 136 farklı uygulama ve bu uygulamalara ait dosyalar detaylı incelendiğinde 4 uygulama şüpheli görülerek detaylı incelemeye tabi tutulmuştur. Bunlar; tr.org.appuniverse.musplay, com.mavi.kartus, com.fmm.ds ve com.acibadem kütüphanelerini kullanan uygulamalardır. Açık kaynaklar üzerinde yapılan incelemede uygulamalardan iki tanesinin (com.mavi.kartus ve com.acibadem) Türkiye de faaliyet gösteren Acıbadem Sağlık Grubu ve Mavi Jeans e ait olduğu, com.fmm.ds sınıfını kullanan uygulamanın uzaktan kontrol sağlamaya yaran popüler bir kütüphane olduğu, tr.org.appuniverse.musplay sınıfını kullanan uygulamanın ise müzik dinlemeye yarayan Şarkı Evreni adlı uygulama olduğu tespit edilmiştir. Şarkı Evreni adlı uygulama dosyası (APK) İnternet üzerinden temin edilerek incelenmiş ve içeriğinde ByLock sunucusuna ait bir yönlendirme koduna ve herhangi bir zararlı koda rastlanmamıştır. Cep telefonunda kurulu uygulamalar arasında ByLock sunucusu ile iletişime geçebilecek bir uygulama tespit edilememiş ve daha önce telefona kurulup silinen uygulama dosyalarına bakılmıştır. İnceleme sonucunda tamamı EK 2 de yer alan 48 adet silinmiş uygulama tespit edilmiştir. İnternet üzerinde açık kaynaklardan yapılan araştırmada, SANIK Yunus Emre İper in telefonunda bulunan silinmiş uygulamalardan bir tanesinin com.morbeyin.freezy.tr Java sınıfı ile çalışan Freezy Müzik Bul Dinle adlı uygulama olduğu ve dava dosyasına uzman görüşü sunan Bilirkişi 12

13 T. Koray Peksayar ın başka bir ByLock şüphelisi için hazırladığı raporunda 5 belirttiği ve Freezy Müzik Bul Dinle uygulamasını kullananların ByLock sunucusuna yönlendirilip ByLock kullanıcısı gibi göründüğü iddiaları araştırılmıştır. Söz konusu raporda, Freezy Müzik Bul Dinle uygulamasının bağlandığı morbeyin.com adresinin kaynak kodu görüntülenmiş, 3 Haziran 2014 tarihindeki ekran görüntüsü paylaşılmış ve koddaki bir satırın morbeyin.com adresine girenlerin ByLock sunucuna yönlendirildiği iddia olunmuştur. Raporda yer alan HTML kodu (<iframe src= width=1 height=1></iframe>) ( iframe Kodu ) tarafıma ait sunucuda çalıştırılmış ve iddianın doğruluğu test edilmiştir. Önce içeriğinde Test 1 yazılı bir sayfa yaratılmış ve ağ aktivitesi gözlenmiştir. iframe asıl HTML sayfası içerisinde bulunan ve kaynağını, yani içeriğini asıl sayfa dışında başka bir siteden alan çerçevelerdir. iframe kullanılarak bir web sayfası içeriğinde başka bir sayfasının içeriği gösterilebilir

14 Resim 3 - Test 1 olarak kayıt edilen sayfa Test 1 yazılı deneme sayfanın sadece sunucu üzerinde çalıştığı ve başka bir sayfaya yönlendirilmediği tespit edildikten sonra söz konusu rapordaki iframe Kodu bu sayfaya eklenmiş ve Test 2 sayfası hazırlanarak sonuç gözlemlenmiştir. Burada amaç iframe kodu eklenmiş Test 2 sayfasının Bylock.net adresi ile herhangi bir bağlantı kurup kurmayacağının tespit edilmesidir. Resim 4- iframe kodunun Test 2 sayfasına eklenmiş hali 14

15 Resim 5 - iframe kodu eklendikten sonra sayfanın ağ aktivitesi Yapılan örnekte herhangi bir web sayfasına iframe kodu eklenerek bağlanılan sayfanın ByLock.net adresine yönlendirilmesinin yapılabileceği, dolayısı ile bu sayfaya giren herhangi bir kullanıcının operatör kayıtlarında ByLock sunucusunun IP adresine bağlanmış gibi görüneceği tespit edilmiştir. Söz konusu rapordaki tespitin doğruluğunun sağlanmasından sonra SANIK Yunus Emre İper in telefonuna ait imajda Freezy Müzik Bul Dinle uygulaması detaylı incelemeye tabi tutulmuştur. Yapılan incelemede, cep telefonunda bulunan user\com.android.vending\databases dizininde yer alan library.db adlı veritabanı dosyasında Freezy uygulamasının cep telefonuna bulunduğu tespit edilmiştir. Resim 6 - user\com.android.vending\databases\library.db Aynı zamanda Freezy Müzik Bul Dinle uygulamasının com.morbeyin.freezy.tr Java sınıfı ile cihazda bulunduğu tespit edilmiştir. 15

16 Resim 7- Veritabanında yapılan sorgu sonucu erişilen Freezy uygulamasının tarih bilgileri SANIK Yunus Emre İper e ait cep telefonunda Data\data\com.android.vending\databases dizini altında bulunan localappstate.db veritabanında Freezy Müzik Bul Dinle uygulaması sorgulandığında uygulamanın kuruluş ve son güncelleme tarihlerine erişilmiştir. Veritabanına UNIX (Epoch olarak da bilinir) zaman formatında 6 kayıt edilen tarihlere göre uygulama HIS (CGNAT) sorgusundaki Bylock tespitinden 4 gün öncesine denk gelen 22 Ağustos 2014 saat 21:59 da indirilmiş ve son olarak 8 Ekim :52 tarihinde güncellenmiştir. 7 Veritabanı kayıtlarına göre, SANIK Yunus Emre İper in Freezy-Müzik Bul Dinle uygulamasını takiben Okey PLUS ve ÇILGIN HIRSIZ adlı uygulamaların da indirdiği anlaşılmıştır. 22 Ağustos 2014 tarihinde indirilen ÇILGIN HIRSIZ adlı oyunun çocuklara hitap eden popüler bir oyun ve Okey PLUS adlı bir başka popüler Okey oyunu olduğu gözlemlenmiştir. 6 UNIX zaman formatı, cep telefonundaki Android işletim sisteminin kullandığı, 1 Ocak 1970 den beridir geçen saniye sayısına denk gelen 10 haneli numaradır. Android işletim sistemi bu numaraya salise değerini belirten 3 hane daha ekleyerek tarih ve saat bilgisini 13 hane olarak kaydetmektedir. Bu tarih biçimi sistemin çalıştığı zaman diliminden bağımsız olarak UTC zaman dilimindeki tarihleri kaydeder. 7 UNIX zaman biçiminde yapılan hesaplamalarda saliseyi belirten son 3 hane hesaba katılmamıştır. 16

17 Cep telefonunda tespit edilen dosyalardan \system dizini altındaki dmappmgr.db adlı veritabanı sorgusuna göre, Freezy-Müzik Bul Dinle uygulaması son olarak 11 Haziran 2015 de kullanılmış ve telefonda kaldığı 293 gün süresince toplamda 572 defa çalıştırıldığı (Kabaca günde iki kez) anlaşılmıştır. Bu tarihte cep telefonundan kaldırılan uygulamanın otomatik olarak telefonun Notlar uygulamasına aşağıda görülen kendi reklamını kayıt ettiği gözlemlenmiştir: Check out this Great App!: Freezy Music Check out this Great App!: Freezy Music market://details?id=com.morbeyin.freezy.tr Açık kaynaklarda yapılan araştırmalarda, Freezy Müzik Bul Dinle uygulamasının kullandığı morbeyin.com adresli sunucunun Bylock sunucusuna yönlendirildiğini destekleyen bir veri ByLock İddianamesi nde gözlemlenmiştir. İddianameye göre Bylock uygulamasının Google da açık kaynaklı olarak bulunabilecek İlgi/Zaman grafiğine göre uygulamaya olan ilginin 7-13 Eylül 2014 tarihleri arasında tavan yaptığı belirtilmiştir. Rapor kapsamında yer alan tarih bulgularının Google dan alınan ilgi/zaman grafiği üzerine konulmuş hali aşağıda gösterilmiştir. 17

18 Resim 8 - ByLock'a Google ilgi/zaman grafiği ve operatör kayıtlarına göre SANIK Yunus Emre İper in ByLock kullanımı Resim 6 da gösterilen grafiğe göre SANIK Yunus Emre İper in ByLock sunucuna bağlanmaya başladığı tarihlerde ByLock a olan ilgi artmış ve tüm zamanların en üst noktasına ulaşmıştır. Bu sert çıkış, morbeyin.com ve benzer amaçlı diğer İnternet sitelerinin adreslerine iframe kodu koymak sureti ile trafiğininin arttırılmaya çalıştığı şeklinde yorumlanabilir. Aynı şekilde, SANIK ın ByLock sunucusuna bağlandığı son tarih olan 13 Eylül 2014 den sonra ise ByLock a olan ilgi sert bir şekilde düşüş göstermiştir. Bu sert düşüşün nedeni iki şekilde açıklanabilir. ByLock sunucusunun Türk IP adreslerine erişimi kapatması veya iframe kodyalarıyla ByLock sunucusunu destekleyen morbeyin.com veya benzer amaçlı siterden iframe in kaldırılması. Yapılan incelemede, tam da SANIK Yunus Emre İper in ByLock sunucusuna bağlanmaya başladığı tarihte başlayan sert çıkış ve yine son bağlantı tarihi ile birlikte gözlemlenen sert düşüşün tesadüf olup olmadığı belirlenememiştir. 12 FREEZY-MÜZİK BUL DİNLE ADLI UYGULAMANIN İNCELENMESİ Yapılan detaylı incelemede, Freezy Müzik Bul Dinle uygulaması, uygulamanın kaynak kodları, sunucu olarak kullanılan morbeyin.com adli sitenin kayıtlı sahibi kişiler ve bağlantıları tespit edilmiştir. İncelemenin bu kısmına dair İstanbul Cumhuriyet Başsavcılığı bilgilendirilmiş olup gizlilik ve güvenlik nedeniyle rapora yansıtılmamıştır. 18

19 13 TESPİTLER SONRASI ORTAYA ÇIKAN KRONOLOJİK SÜREÇ VE ŞEMA İnceleme kapsamında değerlendirilen teknik temel bulgular sonucunda olayların kronolojik olarak gelişimi Tablo 6 da, bağlantıları gösteren şema Resim 9 da sunulmuştur. Tarih Olay SANIK Yunus Emre İper'in telefonunu kullanmaya başlaması Freezy Müzik Bul Dinle uygulamasının bağlandığı morbeyin.com web sitesi kaynak kodunda ziyaretçilerin iframe ile ByLock sunucuna yönlendirildiğinin tespiti SANIK Yunus Emre İper'in telefonuna Freezy Müzik Dinle Bul, Okey Plus ve Çılgın Hırsız adlı uygulamaları yüklemesi ByLock'u yazan kişi tarafından gönderildiği anlaşılan bylockapp.wordpress.com İnternet sitesinin yayına geçmesi ve ilk hoş geldin mesajının yayımlanması HIS (CGNAT) kayıtlarına göre SANIK Yunus Emre İper'e ait telefonun ilk olarak ByLock sunucusuna bağlanması SANIK Yunus Emre İper'in son olarak ByLock sunucusuna bağlandığı tarih SANIK Yunus Emre İper'in Freezy Müzik Dinle Bul uygulamasını telefonundan kaldırması Tablo 6 - Kronolojik Liste Resim 9 - Bulgular sonucu olayı gösteren şema 19

20 14 SONUÇ VE KANAAT Ceza Muhakemesi Kanunu Madde 67 ile düzenlenmeye tabi tutulmuş ve 6100 sayılı Hukuk Muhakemeleri Kanunu Madde 293 ile de özel hukuk uyuşmazlıklarında delil sistemi içerisinde yer alan uygulamalar çerçevesinde, tarafıma sunulan T.C. İstanbul 27. Ağır Ceza Mahkemesi nce yürütülmekte olan 2017/ 148 ESAS soruşturma numaralı dosya ve içeriğindeki dijital deliller üzerinde yargılama konusu olayla ilgili olarak yapılan inceleme sonucunda; Sanık Yunus Emre İper in 9 Kasım 2013 tarihi itibarı ile telefon, IMEI numaralı Samsung Galaxy Mini S4 model telefonu kullandığı, telefonda bu tarihten sonra fabrika ayarlarına dönülmediği, sıfırlanmadığı ve işletim sistemi ve sürümünün ilk kurulduğu günden beri değişmediği, SANIK telefonunun ByLock uygulaması ile bağlantısını gösteren 204 adet HIS (CGNAT) telefon operatör kaydının incelendiği, bu kayıtlardan 12 tanesinin SANIK ın mesajları ile örtüştüğü ve raporda operatör kayıtlarındaki tarih, saat ve lokasyon bilgilerinin doğru kabul edildiği, Delillerin toplanma sürecinde ilgili kanun ve yönetmelikleri ayrıkı uygulamalara rastlansa da yapılan incelemede deliller üzerinde gerçekleşmiş herhangi bir değişikliğe, manipülasyona veya tutarsızlığa rastlanmadığı, dolayısı ile delillerin doğru ve tutarlı kabul edildiği, HIS (CGNAT) kayıtlarına göre, SANIK Yunus Emre İper in kullanımındaki telefondan 26 Ağustos- 13 Eylül 2014 tarihleri arasındaki 18 günlük sürede, toplamı 945 dakikalık 14 ayrı oturumda, ByLock uygulamasının Litvanya da bulunan IP adresli sunucusuna bağlandığının anlaşıldığı, Telefonda yapılan incelemede ByLock uygulamasının telefona kurulduğuna dair herhangi bir ize rastlanmadığı, keza Emniyet ve önceki bilirkişi raporlarında da ByLock uygulamasının bulunmadığı, Telefon üzerinde gerçekleştirilen tüm aramalarda SANIK Yunus Emre İper in FETÖ bağlantısını gösteren herhangi bir içeriğe rastlanmadığı, aksine FETÖ karşıtı sarf ettiği ifadeler tespit edildiği, Telefonda ByLock uygulaması bulunamaması nedeni ile bağlantıyı gerçekleştirmiş olabilecek diğer uygulamaların arandığı, açık kaynaklı İnternet sitelerinden ve konu ile ilgili daha önce yazılmış raporlardan yararlanılarak, ByLock sunucu bağlantısını sağlayabilecek Freezy Müzik Bul Dinle uygulamasının, isnat edilen suçun gerçekleştiği tarihlerde telefonda kurulu olduğu, Freezy Müzik Bul Dinle uygulamasının isnat edilen suçun başlangıç tarihinden 4 gün önce, 22 Ağustos 2014 tarihinde telefona yüklendiği, 293 gün süre ile telefonda yüklü kalıp 572 defa çalıştırıldığı, Freezy Müzik Bul Dinle nin bir müzik dinleme ve indirme uygulaması olduğu, bu uygulamanın morbeyin.com İnternet adresi ile A.B.D. deki IP adresli sunucuya bağlandığı, Freezy Müzik Bul Dinle uygulamasının, Ankara Cumhuriyet Başsavcılığı na sunulmuş başka bir ByLock inceleme raporunda kaynak kodlarının tespit edildiği, bu kaynak kodlara göre morbeyin.com adresine giren her kullanıcının ByLock sunucusuna iframe adı verilen bir kodla yönlendirildiğinin ve dolayısı ile operatör kayıtlarında ByLock sunucusuna bağlanmış gibi görüneceğinin anlaşıldığı, ByLock kullanılmadığı halde, müzik uygulaması aracılığı ile ByLock sunucusuna yönlendirmeyi yapan morbeyin.com adresinin barındırıldığı sunucuyu kiralayan kişilerin isimleri ve FETÖ bağlantılarının tespit edilip Savcılığa bildirildiği, Sonuç itibarı ile SANIK Yunus Emre İper in telefonunda ByLock yüklü olmadığı ve hiçbir zaman kullanmadığı, İnceleme kapsamında yapılan tespitlerin doğruluğunun kolayca sağlanabileceği, bunun için 26 Ağustos ile 13 Eylül 2014 tarihleri arasındaki tüm HIS (CGNAT) kayıtlarının operatörden istenmesi gerektiği, ByLock sunucu IP adresi olan bağlantılar bulunduktan 20

21 sonra bir önceki bağlantıya bakılması, bir önceki bağlantıların tamamımın aynı olması durumunda ByLock sunucusuna başka bir sunucudan (örneğin morbeyin.com a ait numaralı IP adresinden) yönlendirildiğinin rahatlıkla tespit edilebileceği, görüş ve kanaatine varılarak, işbu bilimsel mütalaa tarafımdan hiçbir baskı veya etki altında kalmadan, bilimsel olarak onaylı teknik düzenlemeler dikkate alınarak ekleri ile birlikte 9 sayfa ve 3 nüsha olarak hazırlanmış ve sunulmuştur. 21

22 15 EKLER EK 1 Telefonda Bulunan Uygulamalar EK 2 Silinmiş Uygulamaların Listesi EK 3 Morbeyin.com Sunucuna Ait IP Adres Geçmişi 22

23 15.1 EK 1 TELEFONDA BULUNAN UYGULAMALAR No Uygulama Adı Java Sınıfı Kurulum Tarihi TSİ 1 Traffic Racer com.traffizraze.apps 15 Kasım :23 2 Funny ElfYourself Pics &Videos com.andromo.dev89374.app Aralık :44 3 Clumsy Ninja Guide com.de32.clumsyninjaguide.minecraft 21 Aralık :12 4 Apple Shooter Champ com.champ.appleshooter 12 Ocak :39 5 Çıplak Gösteren Kamera xxa.wifisifrebulls 12 Ocak :55 6 Construction Big City com.constructioncity.islandcity.littlebigcity 12 Ocak :57 7 Kamyonla Yük Taşıma Oyunu 3D s.truckchallengechallenge 13 Ocak :48 8 Car Parking 3D com.car.realparking 30 Mart :13 9 Teeter Labirent Labirent-3D com.teeter.deluxe 19 Mayıs :44 10 com.mobilatolye.android.enuygun 11 com.dogan.posta 12 com.cnt.tablybrowser 13 kr.co.tictocplus 14 com.matriksdata.turkcell.emergencycall 15 com.midasplayer.apps.bubblewitchsaga2 16 Freezy-Müzik Bul Dinle com.morbeyin.freezy.tr 22 Ağustos :59 17 com.easyten.android 18 air.com.goodgamestudios.empirefourkingdoms 19 Uçak Oyunları nar.flight.games 20 com.google.android.voicesearch 21 hurriyet.mobil.android 22 com.ibermedya.hy 23 net.peakgames.mobile.rummi.android 24 net.peakgames.yuzbir 25 org.studionord.sozcu.gazete 26 com.cleanmaster.mguard 27 com.machinezone.gow 28 com.ileadgame.clashofcrowns_tr 29 com.longtech.lastwars.gp 30 com.garanti.cepsubesi 31 net.peakgames.mobile.canakokey.android 32 com.king.farmheroessaga 33 com.alibaba.aliexpresshd 34 com.tranzmate 35 com.komikburo.penguen 36 net.peakgames.mobile.android.tavlaplus.android 37 net.peakgames.amy 38 com.facebook.moments 39 com.nono.android 40 Total Snooker Free com.friendlymonster.snookerdemo 15 Kasım :25 41 Tango Mesaj, Ses & Görüntü com.sgiggle.production 14 Kasım :39 42 Noom Walk com.noom.walk 10 Aralık : D Bowling com.threed.bowling 13 Ocak :39 44 Run with Map My Run com.mapmyrun.android2 14 Nisan :52 45 Super Stickman Golf 2 com.noodlecake.ssg2 4 Ocak :43 46 Clash of Clans com.supercell.clashofclans 15 Mart :55 47 Yüz Değiştirici - Face Changer com.scoompa.facechanger 48 Okey com.ahoygames.okey 15 Kasım :52 49 Boost 2 Lite com.jonathanlanis.boost 1 Mart :34 50 Temple FUN com.gamesonwheels.templefun 15 Kasım :42 51 Subway Surfers com.kiloo.subwaysurf 15 Kasım :48 52 Dragons World com.sq.dragonsworld 12 Ocak :20 53 Çocuklar için İngilizce com.dungelin.englishforkids 28 Mart :39 54 Speedtest.net org.zwanoo.android.speedtest 29 Nisan :13 23

24 55 com.outfit7.mytalkingtomfree 56 İngilizce öğren LingLing com.hepilabs.lingling.english 10 Nisan :00 57 Akbank Direkt com.akbank.android.apps.akbank_direkt 58 Angry Birds Go! com.rovio.angrybirdsgo 59 Okey Plus net.peakgames.okeyplus 22 Ağustos :00 60 BADLAND com.frogmind.badland 7 Mart :37 61 Kelimelik com.he2apps.kelimelik 23 Kasım :03 62 Instagram com.instagram.android 2 Mart :10 63 Hay Day com.supercell.hayday 29 Kasım :00 64 Hill Climb Racing com.fingersoft.hillclimb 29 Kasım :41 65 Running Fred com.dedalord.runningfred 14 Mart :01 66 Yalan Makinesi Eğlence Oyunu com.softwego.liedetector 2 Mart :16 67 Cheese Tower com.doodle.cheesetower 15 Kasım :50 68 RollerCoaster Tycoon 4 Mobile com.atari.mobile.rct4m 16 Ağustos :54 69 Smash Hit com.mediocre.smashhit 70 Score! Hero com.firsttouchgames.story 12 Nisan :48 71 Sfilm com.samsungfunclub 11 Kasım :58 72 Candy Crush Saga com.king.candycrushsaga 14 Ağustos :08 73 Fruit Ninja Free com.halfbrick.fruitninjafree 29 Kasım :32 74 Turkcell Müzik com.turkcell.gncplay 11 Haziran :22 75 Lane Splitter com.fractiv.lanesplitter 15 Kasım :37 76 Temple Run 2 com.imangi.templerun2 15 Kasım :57 77 atilt 3D Labyrinth Free com.fridgecat.android.atiltlite 1 Mart :40 78 Pou me.pou.app 29 Kasım :36 79 Traffic Racer com.skgames.trafficracer 3 Şubat :44 80 Craft Your Landscape com.zr.minecraft.landscape 26 Ocak :13 81 Dr. Driving com.ansangha.drdriving 8 Kasım :07 82 Hurriyet Egazete com.readjournal.hurriyet 15 Kasım :14 83 Opera Mini web tarayıcı com.opera.mini.android 19 Mart :06 84 Google Metin Okuma com.google.android.tts 11 Kasım :58 85 Android Weather & Clock Widget com.devexpert.weather 18 Şubat :05 86 Hot or Not com.hotornot.app 87 Aces of the Luftwaffe com.hg.aotl 12 Ocak :04 88 Turkcell TV+ com.turkcell.ott 17 Eylül :44 89 Survivalcraft Demo com.candyrufusgames.survivalcrafttrial 19 Mayıs :16 90 ÇILGIN HIRSIZ com.gameloft.android.anmp.gloftdmhm 22 Ağustos :07 91 RADYO com.cahitcercioglu.radyo 16 Şubat :10 92 TripAdvisor com.tripadvisor.tripadvisor 15 Kasım :32 93 Samsung Security Policy Update com.policydm 22 Ocak :07 94 İBB CepTrafik tr.gov.ibb.ibbceptrafik 24 Eylül :12 95 AllShareCast Dongle S/W Update com.sec.android.fwupgrade 12 Mayıs :29 96 Google Play Filmler com.google.android.videos 11 Mayıs :55 97 Samsung Link (Sonlandırıldı) com.sec.pcw 15 Kasım :30 98 Dropbox com.dropbox.android 14 Ağustos :10 99 QR Kod Okuyucu tw.mobileapp.qrcode.banner 10 Ekim : Peel Smart Remote TV Guide tv.peel.samsung.app 2 Ekim : com.google.android.street 102 NeoReader QR & Barcode Scanner de.gavitec.android 19 Ekim : Spotify Music com.spotify.music 25 Ağustos : happn Sohbet, aşk ve buluşma com.ftw_and_co.happn 25 Ocak : Google com.google.android.googlequicksearchbox 2 Ekim : Google+ com.google.android.apps.plus 14 Ağustos : Facebook com.facebook.katana 14 Ağustos : Google Play Oyunlar com.google.android.play.games 28 Mayıs : Google Play Müzik com.google.android.music 16 Temmuz : Şarkı Evreni tr.org.appuniverse.musplay 9 Mart : Gmail com.google.android.gm 2 Haziran : GROUP PLAY com.samsung.groupcast 12 Mayıs : Hangouts com.google.android.talk 14 Ağustos :07 24

25 114 Turkcell Telefon Yedekleme com.vario.turkcellbackuprestore 29 Mayıs : WhatsApp Messenger com.whatsapp 5 Eylül : com.blurb.checkout 117 ChatON com.sec.chaton 11 Kasım : YouTube com.google.android.youtube 17 Ağustos : Haritalar com.google.android.apps.maps 17 Kasım : Google Play Gazetelik com.google.android.apps.magazines 8 Ekim : Acıbadem com.acibadem 13 Eylül : Periscope - Canlı Video tv.periscope.android 10 Aralık : AccuWeather com.accuweather.android 10 Aralık : Twitter com.twitter.android 29 Ocak : Chrome Tarayıcı - Google com.android.chrome 11 Kasım : Google Drive com.google.android.apps.docs 14 Ağustos : Hopi Kampanyalı Alışveriş com.boynergrup.hopi 16 Mayıs : Google TalkBack com.google.android.marvin.talkback 24 Mayıs : Unblock Me FREE com.kiragames.unblockmefree 3 Şubat : Share music for Group Play com.sec.android.app.mediasync 14 Ocak : Flipboard flipboard.app 14 Ağustos : Samsung push service com.sec.spp.push 11 Kasım : Google Play hizmetleri com.google.android.gms 27 Eylül : Google Play Kitaplar com.google.android.apps.books 11 Kasım : Messenger com.facebook.orca 28 Kasım : Mavi Kartuş com.mavi.kartus 2 Haziran :39 25

26 15.2 EK 2 SİLİNMİŞ UYGULAMALARIN LİSTESİ No Java Sınıfı Açıklama 1 com.dungelin.englishforkids İngilizce öğrenim uygulaması 2 me.pou.app Oyun kütüphanesi 3 net.peakgames.okeyplus Oyun kütüphanesi 4 com.cahitcercioglu.radyo Radyo dinleme uygulaması 5 com.morbeyin.freezy.tr Şarkı dinleme ve indirme uygulaması 6 com.instagram.android Sosyal paylaşım uygulaması 7 com.sq.dragonsworld Oyun kütüphanesi 8 com.kiloo.subwaysurf Oyun kütüphanesi 9 com.king.candycrushsaga Oyun kütüphanesi 10 com.king.farmheroessaga Oyun kütüphanesi 11 com.longtech.lastwars.gp Oyun kütüphanesi 12 com.machinezone.go Oyun kütüphanesi 13 com.noodlecake.ssg2 Oyun kütüphanesi 14 com.matriksdata.turkcell.emergencycall Finans uygulaması 15 com.samsungfunclub Samsung'a ait uygulama 16 com.midasplayer.apps.bubblewitchsaga2 Oyun kütüphanesi 17 com.mobilatolye.android.enuygun Uçak bileti fiyat karşılaştırma uygulaması 18 com.supercell.clashofclans Oyun kütüphanesi 19 com.opera.mini.android İnternet tarayıcısı 20 com.rovio.angrybirdsgo Oyun kütüphanesi 21 com.readjournal.hurriyet Gazete 22 com.hotornot.app Sosyal medya ve tanışma uygulaması 23 net.peakgames.okeyplus Oyun kütüphanesi 24 com.noom.walk Sağlık uygulaması 25 com.scoompa.facechanger Fotoğraf ve yüz değiştirme uygulaması 26 com.supercell.hayday Oyun kütüphanesi 27 com.teeter.deluxe Sağlık uygulaması 28 com.tranzmate Android sistem test uygulaması 29 org.zwanoo.android.speedtest Hız testi uygulaması 30 de.gavitec.android Kare kod okuyucu 31 tv.periscope.android Video yayın uygulaması 32 com.vario.turkcellbackuprestore Turkcell'e ait uygulama 33 com.zr.minecraft.landscape Oyun kütüphanesi 34 com.imangi.templerun2 Oyun kütüphanesi 35 hurriyet.mobil.android Gazete 36 kr.co.tictocplus SMS ve mesaj gönderme uygulaması 37 nar.flight.games Oyun kütüphanesi 38 net.peakgames.amy Oyun kütüphanesi 39 net.peakgames.yuzbir Oyun kütüphanesi 40 net.peakgames.mobile.canakokey.android Oyun kütüphanesi 41 net.peakgames.mobile.rummi.android Oyun kütüphanesi 42 org.studionord.sozcu.gazete Gazete 43 com.mediocre.smashhit Oyun kütüphanesi 26

27 44 s.truckchallengechallenge Oyun kütüphanesi 45 com.mediocr Oyun kütüphanesi 46 tw.mobileapp.qrcode.banner Kare kod okuyucu 47 com.komikburo.penguen Mizah dergisine ait uygulama 48 xxa.wifisifrebulls WiFi şifre bulucu uygulama 27

28 15.3 EK 3 MORBEYİN.COM SUNUCUSUNA AİT IP ADRES GEÇMİŞİ 28