FortiBleed Operatörünün Tarayıcı Geçmişi

If you are looking for an English version of this article, please visit here.

Başlangıç

Gündemi yakından takip edenleriniz, 2026 yılının Haziran ve Temmuz aylarında SOCRadar Tehdit Araştırmacılarının derinlemesine analiz ettiği, Lynx ve INC fidye grupları ile ilişkili olduğu ortaya çıkan FortiBleed operasyonunu hatırlayacaklardır.

Bu tür operasyonlarda tehdit aktörlerinin yaptığı kritik (OPSEC) hatalar, güvenlik araştırmacılarının dijital izleri takip ederek saldırganın kimliğini ve kullandığı yöntemleri açığa çıkarmasına yardımcı olmaktadır. Ben de bu yazı ile FortiBleed operatörünün Chrome profil dosyalarından yola çıkarak bir saldırganın dijital ayak izlerinden nelerin elde edilebileceğini kısaca göstermeye karar verdim.

Analiz için ilk olarak 3 Nisan 2026 tarihinde Chrome/Default klasöründe oluşturulan aşağıdaki önemli profil dosyalarından hangilerini, neden incelemem gerektiğini, sorular eşliğinde masaya yatırdım.

Önemli Dosyalar

History Dosyası (SQLite)

1. Hangi web sitelerine ne zaman erişti?
2. Hangi arama sorgularını gerçekleştirdi?
3. Operasyon öncesinde, sonrasında hangi teknik konuları araştırdı?
4. Hangi araç, servis ve altyapıları inceledi?
5. Hangi dosyaları, hangi web sitelerinden ve ne zaman indirdi?
6. İndirilen dosyalar hangi araç, yazılım veya altyapılarla ilişkili?
7. İndirmeler ile ziyaret edilen web siteleri veya yapılan aramalar arasında zamanlama ilişkisi var mı?

Önbellek Dosyaları (Chrome Cache_Data)

1. Tarayıcı tarafından hangi web içerikleri veya kaynaklar önbelleğe alınmış?
2. Önbellek kayıtları hangi web siteleri, uygulamalar veya servislerle ilişkili?
3. Önbellekte dosya adı, dosya yolu, URL veya içerik türü gibi bilgiler bulunuyor mu?
4. Önbellek kayıtlarında tarayıcı geçmişinde bulunmayan web sitesi, uygulama veya servis izleri var mı?

Cookies Dosyası (SQLite)

1. Hangi web siteleri için çerezler bulunuyor?
2. Hangi servislerde oturum açılmış olabileceğine dair izler var?
3. Hangi servislerin düzenli olarak kullanıldığına ilişkin ipuçları var mı?

Local Storage Dosyaları (LevelDB)

1. Hangi web siteleri veya uygulamalar tarayıcıda kalıcı veri bırakmış?
2. Bu veriler hangi web uygulamalarının kullanıldığına ilişkin ipucu veriyor?
3. Kullanıcı, oturum veya uygulama ayarlarına ilişkin bilgiler bulunuyor mu?

IndexedDB Dosyaları (LevelDB)

1. Hangi web uygulamaları tarayıcıda kalıcı ve daha kapsamlı veriler oluşturmuş?
2. Bu veriler web uygulamasının gerçekten kullanıldığına dair ne söylüyor?
3. Uygulama içerisinde kullanıcı, oturum, proje veya işlem bilgileri bulunuyor mu?

Sessions Dosyaları (SNSS)

1. Son oturumda hangi sekmeler açıktı?
2. Chrome kapanmadan önce hangi web siteleri kullanılıyordu?
3. Son kullanılan servisler veya uygulamalar nelerdi?

Web Data Dosyası (SQLite)

1. Hangi bilgiler otomatik doldurma için kaydedilmiş?
2. İsim, e-posta, telefon veya adres gibi bilgiler bulunuyor mu?
3. Kullanılmış olabilecek e-posta adresleri veya iletişim bilgileri neler?
4. Ödeme bilgilerine ilişkin kayıtlar bulunuyor mu?
5. Bu bilgiler Chrome profilinin belirli bir kullanıcıyla ilişkilendirilmesine yardımcı oluyor mu?

Bookmarks Dosyası (JSON)

1. Aktör hangi web sitelerini özellikle kaydetmiş?
2. Hangi servisleri veya araçları tekrar kullanmak üzere işaretlemiş?
3. Kaydedilen siteler tehdit aktörünün faaliyet alanları hakkında ne söylüyor?

Extensions Dosyası (JSON)

1. Hangi Chrome eklentileri kurulu?
2. Bu eklentiler hangi amaçlarla kullanılmış olabilir?
3. Kurulu eklentiler tehdit aktörünün çalışma alışkanlıkları veya kullandığı araçlar hakkında ipucu veriyor mu?

Chrome profil dosyalarının konumu işletim sistemine göre değişmektedir.

Windows: %LOCALAPPDATA%\Google\Chrome\User Data\Default\
macOS: ~/Library/Application Support/Google/Chrome/Default/
Linux: ~/.config/google-chrome/Default/

Bu dosyaların birçoğu SQLite veritabanı olduğu için sqlite3 komutu ile rahatlıkla sorgulanabilmektedir. Diğerleri ise yerine göre strings yerine göre jq araçları ile incelenebilmektedir.

Her bir dosya ile ayrı ayrı vakit kaybetmeme adına toplu analiz yapabilen bir araç arayışına girdiğimde hindsight isimli web tarayıcıları için geliştirilmiş olan adli bilişim aracını buldum.

Hindsight, URL’ler, indirme geçmişi, önbellek kayıtları, yer imleri, otomatik doldurma kayıtları, kayıtlı parolalar, tercihler, tarayıcı eklentileri, HTTP çerezleri ve Local Storage kayıtları gibi web tarayıcılarının bıraktığı dijital izleri incelemek için geliştirilmiş bir araçtır.

İlk olarak Google Chrome’un gezinme geçmişini analiz etmek amacıyla geliştirilmiş, daha sonra Chromium tabanlı diğer uygulamaları destekleyecek şekilde genişletilmiş ve günümüzde Mozilla Firefox profillerini de analiz edebilmektedir.

Zaman Çizelgesi Analizi

Hindsight zaman çizelgesini analiz etmeye başladığımda operatöre ait 2.204 tane kayıt olduğunu gördüm ve her birini teker teker inceleyip ilgimi çekenleri kırmızı ile renklendirmeye başladım.

Rusça Metinler

Operatörün bıraktığı çok sayıda dijital ize ek olarak translate.yandex.ru adresinde Rusça – İngilizce çeviri yaptığını da gördükten sonra operatörün kuvvetle muhtemel Rus olabileceğine kanaat getirdim. Diğer yandan çeviri sırasında kullandığı metinler de bu operatörün bir fidye grubunun mensubu olduğuna da işaret ediyordu.

Yapay Zeka Destekli Araçlar

Ziyaret edilen adresleri incelemeye devam ettiğimde, operatörün Manus isimli yapay zeka ajanı platformundan araç/uygulama geliştirmek için, ele geçirdiği ortam içerisinde yatay hareket (lateral movement) hazırlığı yapmak için ise yapay zeka modellerine tek bir API üzerinden erişmeyi sağlayan OpenRouter platformundan faydalandığını gördüm.

Nisan ve Mayıs aylarına ait Manus özelinde indirilen dosya kayıtlarına baktığımda, operatörün operasyonunun önemli bir bölümünde Manus’tan faydalandığı çok net anlaşılıyordu.

Aradan aylar geçmiş olsa da bu veya ilişkili dosyaları indirmenin bir yolu olamaz mı diye düşünürken, önbellek dosyalarını incelemenin akıllıca bir yol olacağını düşünerek bunu ChatGPT ile istişare etmeye başladım. Ardından Chrome profilindeki Cache_Data kayıtlarını tarayarak ekran görüntüsünde yer alan /home/ubuntu/ ile başlayan yerel dosya yollarını tespit etmeye ve bunlara ilişkin web adreslerini çıkarmaya başladım.

45 tane adres ile karşılaştıktan sonra içlerinden bir tanesine erişmeye çalıştığımda büyük bir sürprizle karşılaştım. Aradan üç ay geçmesine rağmen dosyaya erişebiliyordum! Hemen ardından bu 45 dosyayı indirip operatörün bıraktığı dosyaları teker teker incelemeye başladım.

Python dosyalarını incelemeye başladığımda, operatörün öncelikle elindeki uzak erişim bilgilerini doğrulamaya ve kullanılabilir sistemleri belirlemeye çalıştığı dikkatimi çekti. Örneğin parse_remote_login.py dosyasında IP adresi, port, kullanıcı adı ve parola bilgilerinin ayrıştırıldığını gördüm.

sophos_ovpn_checker.py, probe_sophos.py ve test_sophos_paths.py dosyalarında ise Sophos cihazlarına yönelik kimlik doğrulama ve VPN erişiminin kontrol edildiği, download_ovpn_configs.py dosyasında da başarılı erişim sonrasında OpenVPN yapılandırmalarının elde edilmeye çalışıldığı görülüyordu.

Bunun yanında mssql_probe_banner.py, mssql_retry_failed.py, mssql_final_retry.py ve mssql_domain_check.py dosyalarında MSSQL servislerine bağlantı kurulup kimlik bilgilerinin ve sunucu/domain bilgilerinin doğrulanmaya çalışıldığı dikkatimi çekti.

study_forti.py ve analyze_vpn_page.py dosyalarında ise FortiGate/FortiOS ve VPN altyapısının incelendiğini gördüm. Diğer dosyalarda ise (domain_checker.py, domain_checker2.py, find_api_paths.py, find_api2.py) domain ve API keşfine yönelik kontroller bulunuyordu.

Kısacası Python dosyaları, operatörün elindeki erişim bilgilerini test ederek kullanılabilir sistemleri belirlemeye çalıştığını gösteriyordu.

Sanal Medya Üzerinden Sisteme Müdahale Hazırlığı

Zaman çizelgesini incelemeye devam ettiğimde, operatörün 80.x.y.174:10443 adresi FortiGate SSL-VPN üzerinden 192.168.151.98 adresindeki sisteme eriştiğini gördüm. İlk olarak vMedia, virtual floppy ve virtual CD-ROM işlevlerini kullanmaya başlayan operatörün kısa süre içerisinde iKVM (integrated KVM) oturumunu da açtığı dikkatimi çekti.

Ardından Hiren’s BootCD PE indirme sayfasını ziyaret ettiğini gördüm. Birkaç dakika sonra ise bu kez netboot.xyz ISO dosyasının indirildiğini ve hemen ardından tekrar vm_cdrom erişiminin gerçekleştiğini gördüm.

Bu kayıtlar birlikte değerlendirildiğinde, operatörün yalnızca uzaktan yönetim arayüzünü kullanmakla kalmadığı iKVM ve sanal medya özelliklerini kullanarak hedef sistemi farklı bir önyükleme ortamından başlatmaya ve işletim sistemi dışından müdahale etmeye hazırlandığı izlenimine kapıldım. Özellikle Hiren’s BootCD PE ve netboot.xyz gibi önyüklenebilir ISO’ların indirilmesi ile vm_cdrom işlemlerinin art arda gerçekleşmesi, bu hazırlığın tesadüfi olmadığını düşündürüyordu.

Bir Diğer Hedef: Synology NAS Cihazları

Zaman çizelgesinde yakın geçmişe doğru yaklaştıkça bu defa Synology Distributed Checker başlığına sahip http://213.177.179.56/ web adresi dikkatimi çekti. Özellikle bu web sitesinden indirilen goods.txt dosyasından kısa bir süre sonra Synology marka ağa bağlı depolama cihazlarına (NAS) giriş yapılıyordu. Bu davranış, operatörün bu dosyadan cihazlara giriş yapmak için kullanıcı adı ve parola bilgilerini bir şekilde elde ettiği ihtimalini gündeme getiriyordu.

Synology Distributed Checker sayfası ile ilgili daha fazla bilgi elde etmek için Chrome profil klasöründe, Cache/Cache_Data altında bulunan önbellek dosyalarında HTML içerikleri aramaya başladım. Bunun için öncelikle <!DOCTYPE html>, <html>, <head> ve <body> gibi HTML yapısına ait karakteristik ifadeleri arayarak ilgili dosyaları ayıkladım.

Ardından tespit edilen cache dosyalarını strings ile okunabilir hale getirip geçici metin dosyalarına aktardım ve HTML etiketlerini temizleyerek ayrı .html dosyaları oluşturdum. Son aşamada ise bu dosyaları doğrudan Google Chrome ile açarak cache içerisinde hangi web arayüzlerinin saklandığını görsel olarak incelemeye çalıştım.

Bu yöntem sayesinde Synology Distributed Checker arayüzünün gerçekten önbelleğe alınmış bir HTML sayfası olduğunu doğrulayabildim. Bu arayüz, Synology cihazlarına yönelik yüksek hacimli kullanıcı adı/parola denemelerini gerçekleştirmek ve sonuçları merkezi bir panel üzerinden toplamak amacıyla geliştirilmiş gibi görünüyordu.

Bir İpte İki Cambaz

Zaman çizelgesinde aşağılara doğru indikçe bu defa README_FOR_DECRYPT.txtt dosya adı hemen dikkatimi çekti. İndirilen dosyalara baktığımda bu dosya operatörün de dikkatini çekmişe benziyordu.

README_FOR_DECRYPT.txtt dosya adını arama motorlarında arattığımda bunun 2021 yılından bu yana QNAP ve Synology marka ağ depolama cihazlarını (NAS) hedef alan ech0raix fidye grubuyla ilişkilendirildiğini gördüm. Bu durum, FortiBleed operatörünün daha önce başka bir tehdit aktörü tarafından ele geçirilmiş bir cihaza erişmiş olabileceği ihtimalini gündeme getiriyordu.

Kayıtlı E-posta Adresleri

Operatörün kullandığı e-posta adreslerini zaman çizelgesi üzerinde incelediğimde aşağıdaki web sitelerine ait kayıtları buldum.

URL: https://console.wasabisys.com/ Email Address: ci**79[@]cosdas.com
URL: https://manus.im/ Email Address: xi**48[@]outlook.com
URL: https://app.cyberyozh.com/ Email Address: sh**ha[@]outlook.com
URL: https://ds.smartape.net/ Email Address: sh**ha[@]outlook.com
URL: https://accounts.x.ai/ Email Address: sh**ha[@]outlook.com
URL: https://forum.exploit.in/ Email Address: am**64[@]hotmail.com
URL: https://openrouter.ai/ Email Address: am**64[@]hotmail.com

Exploit.in Kayıtları

Zaman çizelgesinde siber suç ekosisteminin bilinen platformlarından Exploit.in kayıtlarını incelediğimde, operatörün RDP, brute, bthoster gibi oldukça genel aramalar yaptığını ve ardından farklı kaba kuvvet araçlarının paylaşıldığı konulara baktığını gördüm.

Sonuç

Bu analiz, FortiBleed operatörünün geride bıraktığı Chrome profilinin yalnızca ziyaret edilen web sitelerini ve arama kayıtlarını değil, operasyonun nasıl yürütüldüğüne dair çok daha kapsamlı izler barındırdığını gösterdi. Yapay zeka platformlarının kullanımından, önbellekte kalan dosyalara, erişim bilgilerini doğrulamaya yönelik Python araçlarından, FortiGate, Sophos, RDWeb ve Synology gibi farklı saldırı yüzeylerine yönelik faaliyetlerine ve Exploit.in üzerindeki araştırmalara kadar birçok farklı bulgu, operatörün çalışma biçiminin parçalarını bir araya getirmeyi mümkün kıldı. Özellikle Chrome önbelleğinden aylar sonra erişilebilen dosyaların elde edilmesi, tarayıcı artefaktlarının zaman içinde kaybolmuş görünen operasyonel izleri yeniden ortaya çıkarabileceğini de gösterdi.

Bulgular bir arada değerlendirildiğinde, FortiBleed operatörünün önceden belirlenmiş tek bir hedef veya saldırı zinciri doğrultusunda ilerleyen, yüksek düzeyde uzmanlaşmış bir tehdit aktöründen ziyade elde ettiği erişim bilgilerini farklı sistemlerde deneyen, kullanıcı adı/parola tabanlı erişim yöntemlerine, otomasyona ve hazır araçlara ağırlık veren, geniş bir saldırı yüzeyindeki zayıf halkaları arayan fırsatçı ve finansal motivasyonla hareket eden bir siber suç operatörü profili sergilediği anlaşıldı.

Aynı zamanda bu çalışma, tek bir Chrome profilinin dahi bir saldırganın ilgi alanlarını, kullandığı araçları, çalışma alışkanlıklarını, operasyonel yaklaşımını ve OPSEC hatalarını ortaya çıkarmada ne kadar değerli bir adli bilişim kaynağı olabileceğini ortaya koydu.

Bir sonraki yazıda görüşmek dileğiyle, herkese güvenli günler dilerim.

Show this post in PDF formatPrint this page