ZEKASTRA FORENSIC - CASE PACK VP-04 - A PHISHING MESSAGE, A PROXY LOG, A DNS LOG AND DHCP LEASES - SYNTHETIC TRAINING DATA

ENGLISH

Scenario
Linden Print Works Ltd. prints packaging. On Tuesday 7 April 2026 the mailbox e.sahin@linden-print.example, used by a human resources assistant, received a message headed "Updated leave policy: confirm your details". The assistant told the IT desk that they opened the link in it and could not remember whether they typed anything. Your task is to say what the files show about the message, about the requests that followed from the workstation, and what they cannot show.

Files
acquisition-log.txt    How and when the copies were taken, and their SHA-256 values at collection.
export-metadata.txt    Parameters of the three exports: windows, row limits, rows returned, the time basis of each column, scope.
phishing-message.eml   The message: raw headers and both body parts.
proxy-log.csv          Web proxy access log, 40 rows, local time UTC+3. The export stopped at its row limit.
dns-log.csv            DNS resolver query log, times in UTC.
dhcp-leases.csv        DHCP leases of four addresses, times in UTC.
manifest.txt           SHA-256 of every file above except itself.

Rules
1. Verify every file against manifest.txt and write the result in your examination log before you read anything else.
2. Work on copies. Write the time basis next to every time you copy out of a file, and convert to UTC before you compare two sources.
3. An IP address names a host only at a given moment. Use the lease record that was valid at that moment, in UTC.
4. A log records that a request or a lookup happened. It does not record who was at the keyboard or what was typed.

Conventions
All domain names end in .example (RFC 2606). All IP addresses are in the documentation ranges 192.0.2.0/24, 198.51.100.0/24 and 203.0.113.0/24 (RFC 5737). All people, companies, host names and addresses are invented. The pack contains no real identifier.

TÜRKÇE

Senaryo
Linden Print Works Ltd. ambalaj baskısı yapar. 7 Nisan 2026 Salı günü, bir insan kaynakları asistanının kullandığı e.sahin@linden-print.example kutusuna "Updated leave policy: confirm your details" başlıklı bir ileti geldi. Asistan, BT masasına iletideki bağlantıyı açtığını, ancak bir şey yazıp yazmadığını hatırlamadığını bildirdi. Göreviniz, dosyaların iletiyle, iş istasyonundan sonra yapılan isteklerle ilgili neleri gösterdiğini ve neleri gösteremediğini belirtmektir.

Dosyalar
acquisition-log.txt    Kopyaların nasıl ve ne zaman alındığı ve toplama anındaki SHA-256 değerleri.
export-metadata.txt    Üç dışa aktarımın parametreleri: pencereler, satır sınırları, dönen satır sayıları, her sütunun zaman esası, kapsam.
phishing-message.eml   İleti: ham başlıklar ve iki gövde bölümü.
proxy-log.csv          Web vekil sunucusu erişim günlüğü, 40 satır, yerel saat UTC+3. Dışa aktarım satır sınırında durdu.
dns-log.csv            DNS çözümleyici sorgu günlüğü, zamanlar UTC.
dhcp-leases.csv        Dört adresin DHCP kiralamaları, zamanlar UTC.
manifest.txt           Yukarıdaki her dosyanın SHA-256 değeri, kendisi hariç.

Kurallar
1. Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
2. Kopyalar üzerinde çalışın. Bir dosyadan aldığınız her zamanın yanına zaman esasını yazın; iki kaynağı karşılaştırmadan önce UTC'ye çevirin.
3. Bir IP adresi bir ana makineyi yalnızca belirli bir anda adlandırır. O anda geçerli olan kiralama kaydını, UTC olarak kullanın.
4. Bir günlük, bir isteğin ya da sorgunun yapıldığını kaydeder. Klavyenin başında kimin olduğunu ya da neyin yazıldığını kaydetmez.

Gelenekler
Tüm alan adları .example ile biter (RFC 2606). Tüm IP adresleri 192.0.2.0/24, 198.51.100.0/24 ve 203.0.113.0/24 belgelendirme aralıklarındandır (RFC 5737). Tüm kişiler, şirketler, ana makine adları ve adresler uydurmadır. Paket gerçek bir tanımlayıcı içermez.