İçeriğe geç
Ara
TREN
Arşiv
EN

Vaka analizi. Yayımlandı

WannaCry'ı durduran alan adının kaydı bugün neyi gösteriyor, neyi göstermiyor?

WannaCry’ı durduran alan adı kaydı

Alan adını bulup kaydeden ve yayılmayı durduran Marcus Hutchins. Bunu 13 Mayıs 2017'de kendi yazısında anlattı. Bu dosyada yapılan, alan adının kaydını ve bugünkü yanıtını 2026'da sorgulamak ve tarihleri birbirinden ayırmak.

CSINT-NEWS-2026-004Arşivde aç

Verisign RDAP, 8 Eylül 2026 20.53.33 UTC

Captured (UTC): 2026-09-08T20:53:33Z

curl: Verisign .com RDAP
jq: domain and registration / expiration events

IUQERFSODP9IFJAPOSDFJHGOSURIJFAEWRWERGWEA.COM

registration
2017-05-12T15:08:04Z

expiration
2027-05-12T15:08:04Z
Komut çıktısı olduğu gibi. Kayıt tarihi zararlının davranışını kanıtlamaz, yalnız alan adının ne zaman kaydedildiğini gösterir. Ham RDAP yanıtı (JSON)K1K2
Kayıtların gösterdiği
Alan adının kaydı 12 Mayıs 2017 15.08.04 UTC'de oluşturulmuş. 8 Eylül 2026 sorgusunda alan adı iki Cloudflare adresine çözülüyor ve HTTP 200 dönüyor.
Göstermediği
2017 saldırısının seyri. Zararlı yazılımın bugün yayıldığı ya da yayılmadığı. Alan adını bugün kimin işlettiği.
Dayanak
Verisign RDAP, dig ve curl çıktıları, 8 Eylül 2026 20.53.33 UTC. Hutchins'in ve Microsoft'un 2017 yazıları. Zararlı yazılım çalıştırılmadı.

İncelenen iddia

WannaCry 12 Mayıs 2017'de yayılırken bir alan adına istek gönderiyordu. İncelenen örnek bu adresten yanıt alırsa duruyordu. Alan adı o gün kaydedilince yayılma durdu.K6K7

Yöntem

Alan adının kayıt bilgisi Verisign RDAP'tan, adresleri dig ile, sunucu yanıtı içeriği indirmeyen bir HTTP HEAD isteğiyle aynı anda sorgulandı. Çıktılar olduğu gibi kaydedildi ve 2017 anlatılarındaki tarihlerle karşılaştırıldı.

Kaydın tarihi, sorgunun tarihi

  • Bir belgenin söylediği
  • Bu çalışmada görülen ya da ölçülen
  1. Kayıt, 12 Mayıs 2017 15.08.04 UTCBelge. RDAP registration olayı. Ham RDAP yanıtı (JSON)
  2. Microsoft yazısı, 12 Mayıs 2017Belge. Dönemin kaydı. Microsoft Security Blog, 12 Mayıs 2017
  3. Hutchins'in yazısı, 13 Mayıs 2017Belge. Durdurmanın birinci elden anlatısı. MalwareTech, Marcus Hutchins, 13 Mayıs 2017
  4. Son değişiklik, 12 Şubat 2026Belge. RDAP last changed olayı. Neyin değiştiğini söylemiyor.
  5. Sorgu, 8 Eylül 2026Gözlem. RDAP, DNS ve HTTP aynı anda.
  6. Bitiş, 12 Mayıs 2027Belge. RDAP expiration olayı.
Yatay eksen yıl. Kaydın tarihiyle sorgunun arasında dokuz yıldan fazla var. Bugünkü yanıt 2017'yi anlatmıyor.

Ham çıktılar

curl --head ve dig, aynı an

HTTP/1.1 200 OK
Date: Tue, 08 Sep 2026 20:53:33 GMT
Content-Type: text/html
Connection: close
Server: cloudflare
CF-RAY: a380d7e69c30d7a1-AMS

dig +short A iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
104.16.166.228
104.16.167.228
HTTP 200 ve iki A kaydı yalnız sorgu anındaki erişimi gösterir. Ham HTTP başlıklarıK3K4K5

RDAP yanıtının diğer alanları

registrar        Cloudflare, Inc.
nameservers      BRUCE.NS.CLOUDFLARE.COM, SARA.NS.CLOUDFLARE.COM
last changed     2026-02-12T12:00:56Z
status           client delete, transfer, update prohibited
                 server delete, transfer, update prohibited
Kayıt kilitli. RDAP kayıt kuruluşunu gösteriyor, alan adını kimin işlettiğini göstermiyor. Ham RDAP yanıtı (JSON)K1

Hangi bilgi nereden

Durdurma mekanizmasıBelge
Hutchins'in anlatısı ve Microsoft'un yazısı. Bu çalışmada denenmedi.
Kayıt tarihiBelge
RDAP, 12 Mayıs 2017 15.08.04 UTC
Bugünkü adres ve yanıtGözlem
Sorgu, 8 Eylül 2026

Kanıtın göstermediği

  • Alan adını bugün kim işletiyor? RDAP yalnız kayıt kuruluşunu gösteriyor.
  • 12 Şubat 2026'daki son değişiklik neydi? Kayıt bunu söylemiyor.

Çalışma kaydı. Bu kayıtta zararlı yazılım çalıştırılmadı. Bütün çıktılar sorgu anında kaydedildi ve aşağıda indirilebilir.

Video

8 Eylül 2026, 20:53 UTC. curl/jq ve curl/dig çıktılarının tarayıcıda açılan iki karesi, 12 saniye ve sessiz. RDAP kayıt tarihini, HTTP yanıtı yalnız sorgu anındaki erişimi gösterir; 2017 saldırısının kaydı değildir.

Belgeler ve kanıtlar

Bu dosyadaki önemli iddiaların dayandığı kayıtlar. Her kaydın neyi gösterdiği ve neyi göstermediği ayrı yazıldı; eksik ve çelişkili noktalar açıkça işaretlendi.

İddialar ve dayanakları

  1. 12 Mayıs 2017'de WannaCry dosyaları şifreledi ve zararlıda bir alan adı kontrolü vardı.

    Kısmen destekleniyorK7 Microsoft Güvenlik Blogu yazısıK6 Marcus Hutchins'in anlatımı

    Dayanak, bağlantısı verilen iki birincil kaynak. CSINT'te bu sayfaların kopyası ya da arşiv kaydı yok.

  2. İncelenen örnek alan adından yanıt alırsa duruyor, alamazsa çalışmaya devam ediyordu.

    Kısmen destekleniyorK6 Marcus Hutchins'in anlatımı

    Yalnız araştırmacının anlatımına dayanıyor. Hangi örneğin incelendiği kayıtta belirtilmiyor ve CSINT zararlı yazılımı çalıştırmadı.

  3. Alan adının oluşturulma tarihi 12 Mayıs 2017, kayıt kuruluşu Cloudflare.

    Kayıtla destekleniyorK1 Verisign RDAP yanıtıK2 Kayıt tarihinin komut çıktısı

  4. Alan adını Marcus Hutchins kaydetti.

    Kısmen destekleniyorK6 Marcus Hutchins'in anlatımı

    RDAP yanıtı kayıt sahibini göstermiyor; bu bilgi Hutchins'in kendi anlatımından geliyor.

  5. 8 Eylül 2026, 20:53:33 UTC sorgusunda alan adı iki IP adresine yöneliyor ve HTTP HEAD 200 döndürüyordu.

    Kayıtla destekleniyorK3 HTTP ve DNS sorgusunun dökümüK4 Ham HTTP başlıklarıK5 Ham DNS A kaydı çıktısı

  • Kanıt 1Veri kaydı, Doğrulandı

    Verisign RDAP yanıtı

    Alan adı için .com kayıt sunucusundan alınan ham RDAP yanıtı (JSON).

    Gösterdiği
    Kayıt olayı 2017-05-12T15:08:04Z, kayıt kuruluşu Cloudflare, Inc. ve alan adının durum kodları.
    Göstermediği
    Alan adını kimin kaydettiğini ve zararlı yazılımın nasıl davrandığını göstermez.
    Olayla ilişkisi
    Alan adının 12 Mayıs 2017'de oluşturulduğu bilgisinin dayanağı.
    Büyüt ve incele

    Belgedeki tarih 12 Mayıs 2017elde edildiği tarih 8 Eylül 2026Özgün dosya

    Kayıt ayrıntıları
    Elde edildiği tarih
    Yanıttaki 'last update of RDAP database' zamanı 2026-09-08T20:53:19Z. Ayrı bir indirme zamanı kaydedilmemiş.
    Doğrulandı
    Kayıt tarihi ve kayıt kuruluşu yanıtta doğrudan okunuyor.
    SHA-256
    deaa2ecb32fe16cc7bb80948ddfc59c708979f79af6dad79661090e4c423e5c6, 3008 bayt
    Arşiv
    Bu dosya CSINT'in sakladığı kopya; üçüncü taraf arşiv kopyası yok.
    Kullanım ve atıf
    Verisign .com RDAP. Lisans belirtilmemiş; kamuya açık sorgunun yanıtı. Alıntılarken kaynağı ve sorgu zamanını belirtin.
    Kayıt geçmişi
    • 8 Eylül 2026. Ham çıktı depoya eklendi (d226262).
    • 23 Eylül 2026. Kanıt dosyasına alındı; özgün ve yayımlanan kopya ayrıldı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

  • Kanıt 2Komut çıktısı, Doğrulandı

    Kayıt tarihinin komut çıktısı

    curl ve jq ile RDAP yanıtından seçilen kayıt ve bitiş tarihleri, zaman damgasıyla.

    Kayıt tarihinin komut çıktısı
    Gösterdiği
    Sorgu zamanı 2026-09-08T20:53:33Z; kayıt 2017-05-12T15:08:04Z; bitiş 2027-05-12T15:08:04Z.
    Göstermediği
    Kaydı yapan kişiyi ve 2017'deki saldırının seyrini göstermez.
    Olayla ilişkisi
    RDAP yanıtının okura kolay okunur özeti; aynı tarihi gösterir.
    Büyüt ve incele

    Belgedeki tarih 12 Mayıs 2017elde edildiği tarih 8 Eylül 2026, 20:53:33 UTCÖzgün dosyaOkur kopyası

    Kayıt ayrıntıları
    Doğrulandı
    Tarihler ham RDAP yanıtıyla aynı.
    SHA-256
    4fc263a7b20c742cda9f0396b47b8f1aa3bd60dceafbbc50cf3482c6fff72442, 226 bayt
    Okur kopyasında yapılan değişiklik
    Metin çıktısının tarayıcıdaki görüntüsü; satırlar değiştirilmedi. 237ee71cf2b87b2efc6d74776c952a11964797239ac9cbe8ba79ebb79eab6145
    Arşiv
    Bu dosya CSINT'in sakladığı kopya; üçüncü taraf arşiv kopyası yok.
    Kullanım ve atıf
    CSINT Research. CSINT'in kendi kaydı. Kaynak göstererek kullanılabilir.
    Kayıt geçmişi
    • 8 Eylül 2026. Ham çıktı depoya eklendi (d226262).
    • 23 Eylül 2026. Kanıt dosyasına alındı; özgün ve yayımlanan kopya ayrıldı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

  • Kanıt 3Komut çıktısı, Doğrulandı

    HTTP ve DNS sorgusunun dökümü

    curl --head ve dig +short A komutlarının aynı oturumdaki çıktısı, zaman damgasıyla.

    HTTP ve DNS sorgusunun dökümü
    Gösterdiği
    2026-09-08T20:53:33Z'de alan adı HTTP 200 ve 'Server: cloudflare' döndürdü; iki A kaydı 104.16.166.228 ve 104.16.167.228 idi.
    Göstermediği
    2017'deki durumu, sunucuyu kimin işlettiğini ve solucanın bugün yayıldığını göstermez. Sorgunun yapıldığı ağ ve DNS çözümleyicisi kayıtlı değil.
    Olayla ilişkisi
    Metindeki 2026 sorgu değerlerinin ham kaydı.
    Büyüt ve incele

    Elde edildiği tarih 8 Eylül 2026, 20:53:33 UTCÖzgün dosyaOkur kopyası

    Kayıt ayrıntıları
    Kaynak
    curl --head, dig +short A
    Doğrulandı
    Metindeki 8 Eylül 2026 değerlerini doğrudan gösterir.
    SHA-256
    a1068deecae7d3d5501e60094157af20b6fcbeb4877f129f9896fd4a0980fe93, 280 bayt
    Okur kopyasında yapılan değişiklik
    Metin dökümünün tarayıcıdaki görüntüsü; satırlar değiştirilmedi. e2792c1a7c062532400299d5cc4c3028b1bcc95ef2740714021ce6e8896768ee
    Arşiv
    Bu dosya CSINT'in sakladığı kopya; üçüncü taraf arşiv kopyası yok.
    Kullanım ve atıf
    CSINT Research. CSINT'in kendi kaydı. Kaynak göstererek kullanılabilir.
    Kayıt geçmişi
    • 8 Eylül 2026. Ham çıktı depoya eklendi (d226262).
    • 23 Eylül 2026. Kanıt dosyasına alındı; özgün ve yayımlanan kopya ayrıldı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

  • Kanıt 4Komut çıktısı, Doğrulandı

    Ham HTTP başlıkları

    HEAD isteğine dönen başlıkların değiştirilmemiş kaydı.

    Gösterdiği
    HTTP/1.1 200 OK, sunucu saati 'Tue, 08 Sep 2026 20:53:33 GMT', 'Server: cloudflare' ve bir CF-RAY kimliği.
    Göstermediği
    Sayfanın içeriğini ve sunucunun arkasındaki işletmeciyi göstermez.
    Olayla ilişkisi
    Dökümdeki HTTP satırlarının ham karşılığı.
    Büyüt ve incele

    Elde edildiği tarih 8 Eylül 2026, 20:53:33 UTCÖzgün dosya

    Kayıt ayrıntıları
    Kaynak
    curl --head
    Elde edildiği tarih
    Zaman, sunucunun Date başlığından okunuyor.
    Doğrulandı
    8 Eylül 2026 yanıtını gösterir; metin bu tarihi kullanıyor.
    SHA-256
    ca09626d3422a06bb26e6208413663b632f13f5a65274884901ad326eb9f568b, 150 bayt
    Arşiv
    Bu dosya CSINT'in sakladığı kopya; üçüncü taraf arşiv kopyası yok.
    Kullanım ve atıf
    CSINT Research. CSINT'in kendi kaydı. Kaynak göstererek kullanılabilir.
    Kayıt geçmişi
    • 8 Eylül 2026. Ham çıktı depoya eklendi (d226262).
    • 23 Eylül 2026. Kanıt dosyasına alındı; özgün ve yayımlanan kopya ayrıldı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

  • Kanıt 5Komut çıktısı, Kısmen doğrulandı

    Ham DNS A kaydı çıktısı

    dig +short A çıktısının yalnız IP adreslerinden oluşan kaydı.

    Gösterdiği
    104.16.166.228 ve 104.16.167.228.
    Göstermediği
    Sorgu zamanını göstermez; dosyada zaman bilgisi yok.
    Olayla ilişkisi
    Aynı adresler 8 Eylül 2026, 20:53:33 UTC tarihli dökümde de görülüyor.
    Büyüt ve incele

    Elde edildiği tarih kaydedilmediÖzgün dosya

    Kayıt ayrıntıları
    Kaynak
    dig +short A
    Elde edildiği tarih
    Dosya zaman damgası taşımıyor; zamanı yalnız döküm üzerinden eşleştirilebiliyor.
    Kısmen doğrulandı
    Adresleri doğrular, tarihi tek başına doğrulamaz.
    SHA-256
    4b10eed39d5c60697be22960cdd60c6d521a714ca8b3d688ebe05c162b34330a, 30 bayt
    Arşiv
    Bu dosya CSINT'in sakladığı kopya; üçüncü taraf arşiv kopyası yok.
    Kullanım ve atıf
    CSINT Research. CSINT'in kendi kaydı. Kaynak göstererek kullanılabilir.
    Kayıt geçmişi
    • 8 Eylül 2026. Ham çıktı depoya eklendi (d226262).
    • 23 Eylül 2026. Kanıt dosyasına alındı; özgün ve yayımlanan kopya ayrıldı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

  • Kanıt 6Web sayfası, Kısmen doğrulandı

    Marcus Hutchins'in anlatımı

    Alan adını kaydeden araştırmacının 13 Mayıs 2017 tarihli blog yazısı.

    Gösterdiği
    Araştırmacının kendi anlatımıyla alan adını kaydetmesini ve örneğin bu adrese bağlı davranışını.
    Göstermediği
    Bağımsız bir kayıt değildir; RDAP yanıtı kayıt sahibini göstermediği için 'kimin kaydettiği' yalnız bu anlatıma dayanır.
    Olayla ilişkisi
    Durdurma mantığının ve kaydı yapan kişinin birincil anlatımı.
    Büyüt ve incele

    Belgedeki tarih 13 Mayıs 2017elde edildiği tarih kaydedilmediÖzgün kaynak

    Kayıt ayrıntıları
    Kısmen doğrulandı
    Makalede kaynak olarak bağlantı veriliyor. Bu kayıt hazırlanırken sayfa yeniden açılıp dayanılan bölüm kaydedilmedi.
    Arşiv
    Arşiv kopyası alınmadı.
    Kullanım ve atıf
    Marcus Hutchins, MalwareTech. Yayıncının hakları; yalnız bağlantı veriliyor. Bağlantı verin; kısa alıntıda kaynağı belirtin.
    Kayıt geçmişi
    • 23 Eylül 2026. Makaledeki kaynak bağlantısından kanıt dosyasına alındı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

  • Kanıt 7Web sayfası, Kısmen doğrulandı

    Microsoft Güvenlik Blogu yazısı

    Saldırı günü yayımlanan Microsoft değerlendirmesi.

    Gösterdiği
    12 Mayıs 2017'de güncel olmayan sistemleri hedefleyen fidye yazılımına ilişkin dönem kaydını; zararlının bağlanmaya çalıştığı alan adını ve bağlantı kurulursa çalışmayı durdurduğunu.
    Göstermediği
    Alan adını kimin kaydettiğini göstermez.
    Olayla ilişkisi
    Saldırının tarihine ve etkisine ilişkin dönem kaydı.
    Büyüt ve incele

    Belgedeki tarih 12 Mayıs 2017elde edildiği tarih kaydedilmediÖzgün kaynak

    Kayıt ayrıntıları
    Kısmen doğrulandı
    Makalede kaynak olarak bağlantı veriliyor. Bu kayıt hazırlanırken sayfa yeniden açılıp dayanılan bölüm kaydedilmedi.
    Arşiv
    Arşiv kopyası alınmadı.
    Kullanım ve atıf
    Microsoft Security Blog. Yayıncının hakları; yalnız bağlantı veriliyor. Bağlantı verin; kısa alıntıda kaynağı belirtin.
    Kayıt geçmişi
    • 23 Eylül 2026. Makaledeki kaynak bağlantısından kanıt dosyasına alındı.
    • 23 Eylül 2026. Site sahibi, sohbetteki yayın talimatıyla yayın için onayladı.

Tüm kanıt kayıtları

Kaynaklar

Yayımlayan Ahmet Göker. Kayıtlarda görünen ajan ve araç katkıları Çalışma kaydı bölümünde. Belge, görüntü ve fotoğrafların hakları asıl sahiplerinde. Kişiler gösterilmiyor ya da bulanıklaştırıldı.