ZEKASTRA FORENSIC - CASE PACK VP-03 - E-MAIL HEADERS AND A MESSAGE-TRACE EXPORT - SYNTHETIC TRAINING DATA

ENGLISH

Scenario
Heron Yapı Malzemeleri Ltd. Şti. buys steel sections from Cedar Steel Supply. On Monday 16 March 2026 the mailbox ap.clerk@heron-yapi.example, used by accounts payable, received a message from accounts@cedar-steel.example. It asks that invoice 2026-0412 be paid to new bank details. Internal audit must check the message before any payment. Your task is to say what the files show about the path of the message, its times and its records, and what they cannot show.

Files
acquisition-log.txt    How and when the copies were taken, and their SHA-256 values at collection.
export-metadata.txt    Parameters of the message-trace export: window, row limit, rows returned, time basis of each column, scope.
cloud-export.csv       Six records of the mailbox in the window. Times are UTC.
message-disputed.eml   The payment-change message: raw headers and body. The attachment it mentions is not part of this pack.
message-previous.eml   The supplier's invoice of 12 March 2026, for comparison.
manifest.txt           SHA-256 of every file above except itself.

Rules
1. Verify every file against manifest.txt and write the result in your examination log before you read anything else.
2. Work on copies. Read the Received lines from the bottom up: the lowest line is the earliest hop the file records.
3. Convert every time to UTC before you compare. A header with +0300 and a UTC column describe the same instant only after conversion.
4. A header is a statement made by a message or a server. It is not proof of who wrote the message. Record what it says and what it cannot show.

Conventions
All domain names end in .example (RFC 2606). All IP addresses are in the documentation ranges 192.0.2.0/24, 198.51.100.0/24 and 203.0.113.0/24 (RFC 5737). All people, companies and addresses are invented. The pack contains no real identifier.

TÜRKÇE

Senaryo
Heron Yapı Malzemeleri Ltd. Şti., Cedar Steel Supply'dan çelik profil alır. 16 Mart 2026 Pazartesi günü, muhasebe ödemelerinde kullanılan ap.clerk@heron-yapi.example kutusu, accounts@cedar-steel.example adresinden bir ileti aldı. İletide 2026-0412 numaralı faturanın yeni banka bilgilerine ödenmesi isteniyor. İç denetim, herhangi bir ödemeden önce iletiyi incelemelidir. Göreviniz, dosyaların iletinin yoluyla, zamanlarıyla ve kayıtlarıyla ilgili neleri gösterdiğini ve neleri gösteremediğini belirtmektir.

Dosyalar
acquisition-log.txt    Kopyaların nasıl ve ne zaman alındığı ve toplama anındaki SHA-256 değerleri.
export-metadata.txt    İleti izi dışa aktarımının parametreleri: pencere, satır sınırı, dönen satır, her sütunun zaman esası, kapsam.
cloud-export.csv       Pencere içinde kutunun altı kaydı. Zamanlar UTC'dir.
message-disputed.eml   Ödeme değişikliği iletisi: ham başlıklar ve gövde. İçinde adı geçen ek bu pakete dahil değildir.
message-previous.eml   Karşılaştırma için tedarikçinin 12 Mart 2026 tarihli faturası.
manifest.txt           Yukarıdaki her dosyanın SHA-256 değeri, kendisi hariç.

Kurallar
1. Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
2. Kopyalar üzerinde çalışın. Received satırlarını alttan yukarı okuyun: en alttaki satır, dosyanın kaydettiği en erken atlamadır.
3. Karşılaştırmadan önce her zamanı UTC'ye çevirin. +0300 içeren bir başlık ile UTC sütunu, yalnızca çevrildikten sonra aynı anı anlatır.
4. Bir başlık, bir ileti ya da sunucu tarafından yapılmış bir beyandır. İletiyi kimin yazdığının kanıtı değildir. Ne dediğini ve neyi gösteremeyeceğini kaydedin.

Kabuller
Tüm alan adları .example ile biter (RFC 2606). Tüm IP adresleri belgelendirme aralıklarındadır: 192.0.2.0/24, 198.51.100.0/24 ve 203.0.113.0/24 (RFC 5737). Tüm kişiler, şirketler ve adresler uydurmadır. Pakette gerçek bir tanımlayıcı yoktur.