Блог

Цифровая форензика превращает самоуверенность людей, нажавших кнопку «Удалить для всех», в разбитые иллюзии и проигранные миллионы. За годы в расследованиях я видел десятки персонажей, искренне веривших, что очищенный диалог хоронит тайну навсегда.

Но когда на кону раздел имущества, опека над детьми или скрытые криптокошельки, в игру вступает криминалистический анализ. Ниже – разбор того, почему удаление переписки не спасает, где именно прячутся цифровые следы и как этот массив данных превращается в судебный приговор.

Иллюзия чистой кнопки: почему данные не исчезают

Большинство обывателей представляют удаление файла как физическое сжигание бумаги. В архитектуре современных операционных систем (iOS, Android, Windows, macOS) это устроено иначе.

Когда вы нажимаете «Удалить», система делает лишь одну вещь: меняет статус записи в таблице размещения или служебной базе данных на free (свободно для перезаписи). Сами байты никуда не деваются. Они остаются в микросхемах флеш-памяти ровно до тех пор, пока поверх них не ляжет свежий мем с котиком или обновление прошивки.

Если устройство не забили терабайтами случайного мусора сразу после удаления, извлечь исходный текст – вопрос базовой криминалистической техники.

Где форензик находит «похороненные» улики

Даже если пользователь параноидально зачистил основной чат, экосистема современных девайсов работает против него. Переписка дублируется в десятках мест, о существовании которых дилетанты даже не догадываются:

• SQLite и WAL-файлы. Telegram, и Signal используют базы данных SQLite. При удалении сообщения оно исчезает из основного интерфейса, но остается в журналах упреждающей записи (.wal и .shm), откуда эксперт вытаскивает сырые строки без малейших усилий.
• Фрагменты оперативной памяти и Swap. Закрыли приложение? Отлично, но до перезагрузки куски открытых чатов, пароли и токены сессий оседают в pagefile, swap или дампе RAM.
• Кэш миниатюр и превью. Человек стёр компрометирующее фото из чата, но забыл про кэш предпросмотра операционной системы. Миниатюра (thumbnail) лежит в изолированной системной директории, намертво привязанная к дате создания.
• Локальные и облачные бэкапы. Автоматическая синхронизация с iCloud, Google Drive или локальной копией iTunes сохраняет snapshot устройства за вчерашний день, когда переписка еще цвела и пахла.
• Уведомления и системные логи. Пуши от мессенджеров логируются службами уведомлений (Notification Center / Android Notification Listener), сохраняя превью текста даже после уничтожения исходного сообщения.

Как это работает в реальных разводах

В бракоразводных баталиях форензика применяется по двум главным направлениям: деньги и репутация.

text[Подозрение на вывод активов] 
             │
             ▼
[Изъятие / законный доступ к носителю] 
             │
             ▼
[Побитовый образ (Bit-stream Image) + Хеш SHA-256] 
             │
             ▼
[Парсинг артефактов: SQLite, кэш, геометки, транзакции] 
             │
             ▼
[Экспертное заключение для суда]

Типичный сценарий: супруг заявляет, что его бизнес прогорел, а денег на счетах нет. Форензик снимает образ с домашнего планшета или рабочего ноутбука, оставленного в квартире, и вытаскивает удаленную переписку годовой давности.

В ней фигурируют покупка USDT, перевод коммерческой недвижимости на подставного родственника и бронь отеля на Мальдивах с новой пассией. При грамотной подаче судья видит не просто «слова обиженной стороны», а заверенный технический таймлайн с метаданными: кто, кому, когда и с какого IP-адреса отправил указания юристам.

Судебная допустимость: грань между победой и уголовной статьёй

Найти данные – это только половина дела. Вторая половина – сделать так, чтобы судья приобщил их к материалам, а не отправил инициатора под суд по статье о нарушении тайны переписки или неправомерном доступе к информации.

Если вы тайком установили на телефон партнера шпионское ПО или взломали его облако через фишинг, поздравляю: в суде эти данные будут отклонены, а вам придется объясняться со следователем. Легальный форензик работает строго с носителями, находящимися в правовом поле, либо по судебному запросу.

Финал иллюзий

Запомните железное правило: цифровой мир не забывает ничего, пока физический носитель не прошел через измельчитель или печь. Любая попытка скрыть активы или неверность через кнопку «удалить чат» – это русская рулетка с криминалистическим софтом.

Поэтому не повторяйте чужих ошибок: не пытайтесь самостоятельно ломать чужие устройства (это чревато статьями УК РФ) и не надейтесь, что ваши удаленные сообщения растворились в эфире без следа. В суде говорит не память свидетелей, а контрольная сумма дампов.

Натянуть балаклаву и надвинуть капюшон – излюбленный трюк дилетантов, свято верящих в собственную анонимность. Однако современная форензика вычисляет фигуранта даже с наглухо закрытым лицом благодаря неизменным анатомическим пропорциям и уникальной биомеханике движения.

Геометрия скелета против балаклавы

Лицо можно спрятать, но собственный скелет никуда не денешь. Отношение длины бедра к голени, размах плеч относительно роста и высота тазобедренного сустава формируют неизменную геометрическую матрицу. Эксперты-габитоскописты накладывают на силуэт параметрические трехмерные каркасы, вытягивая костные ориентиры из-под любого мешковатого худи.

Даже тяжелая зимняя куртка не способна обмануть фотограмметрию. При ходьбе ткань неизбежно натягивается в точках локтевых и коленных сочленений, обнажая шарнирные узлы. Отслеживание этих ориентиров на ключевых фазах движения восстанавливает костную структуру с погрешностью до миллиметров.

Кинематика походки и динамика

Человеческая походка столь же индивидуальна, как отпечаток пальца. Алгоритмы компьютерного зрения разбирают оптический поток на составляющие векторы и отслеживают маятниковые колебания центра масс. Человек способен контролировать походку первые тридцать шагов, после чего мозжечок неизбежно возвращает тело к врожденной двигательной автоматике.

Криминалистический анализ динамики опирается на ряд устойчивых параметров:

• Период и фазовый темп одиночного цикла шага.
• Динамические углы между бедром, голенью и стопой в фазе отталкивания.
• Траектория вертикального смещения плечевого пояса относительно таза.
• Индивидуальный угол разворота стоп при постановке ноги.

Сравнение методов деанонимизации

Ловушки оптики и дисторсии

Главный враг эксперта при исследовании записей наружного наблюдения – оптическая дисторсия. Бюджетные объективы купольных камер растягивают пространство по краям кадра, искажая реальные соотношения длины конечностей и визуальный рост.

Любое доказательное исследование требует обязательной пространственной калибровки. Эксперт выезжает на локацию, снимает геометрические параметры сцены лазерным дальномером и математически компенсирует кривизну линзы. Без точного воссоздания фокусного расстояния и высоты подвеса камеры выводы рассыпаются при первом же вопросе в зале суда.

Доказательная база для суда

В криминалистике антропометрия без лица редко выносится в категорический вывод в качестве единственной улики. Однако в составе комплексной портретно-видеотехнической экспертизы она образует железобетонную цепь доказательств. Совпадение комплекса скелетных индексов и кинематического профиля отсекает любые случайные совпадения.

Попытки собрать подобный анализ на коленке с помощью бесплатных скриптов из сети обычно разбиваются о неучтенный ракурс и артефакты сжатия видеопотока. Не повторяйте это дома без калибровочной аппаратуры: я серьезно, превращение пикселей в юридический факт требует беспощадной математики, а не веры в технологии.

Спутниковый снимок – это не «картинка из Гугла». Это документ с датой, разрешением, углом съёмки и тенями, и по нему можно установить факты. Если вы умеете его читать, это доказательство. Если не умеете, это красивые обои. Не повторяйте это дома в серых зонах, я серьёзно: работаем только с открытыми данными.

Зачем это нужно

GEOINT (геопространственная разведка) входит в OSINT. Он анализирует спутниковые снимки, панорамы Street View, Яндекс Карты и Mapillary, и по ним можно найти физическое расположение объектов инфраструктуры. Снимки бывают оптические, инфракрасные и радиодиапазонные, и получить их можно в один клик. Их используют в расследованиях, в проверке новостей и в анализе конфликтов. В открытых материалах о современных конфликтах спутниковые снимки названы среди источников, которые могут выдавать расположение войск.

Инструментарий

• Sentinel Hub / EO Browser. Бесплатный таймлапс между двумя датами. Есть кастомные скрипты визуализации, например подсветка пожаров и разрушений, и индекс влажности.
• Google Earth и Яндекс Карты. Исторические снимки и быстрая привязка к местности.
• SunCalc. Определяет время съёмки по положению теней.
• Wikimapia и OpenStreetMap. Подписи объектов и контекст.
• Mapillary и Street View. Наземная сверка того, что вы увидели сверху.
• Обратный поиск изображений и EXIF. Проверка сопутствующих фото и видео.

Методика в пять шагов

1. Цель. Сформулируйте гипотезу: «здесь построили объект между июлем и октябрём», а не «посмотрю, что там».
2. Сбор. Возьмите снимки за несколько дат из разных источников. Один источник ничего не доказывает.
3. Анализ изменений. Сравнивайте до и после. Ищите новые дороги, техника, котлованы, выгоревшие участки, изменение береговой линии.
4. Хронолокация. Тени, состояние растительности, снег и уровень воды дают время съёмки. Проверяйте это в SunCalc.
5. Верификация и документирование. Перекрёстно проверяйте данные и фиксируйте источник, время сбора и методы, чтобы результат можно было воспроизвести. Одна находка – ещё не истина.

Типичные ошибки

• Снимок старее, чем вы думаете. На картографических сервисах он может быть многомесячным. Всегда смотрите дату.
• Тени и дата. Не совпали с заявленным временем – разбирайтесь, а не подгоняйте.
• Облака, ракурс и разрешение. Из-за них «техника» легко превращается в кучу камней.
• Предвзятость подтверждения. Вы ищете доказательства своей версии и видите их даже там, где их нет.
• Пропущенный контекст. Один снимок без наземных подтверждений (фото, видео, документы) слаб.

Этика и закон

OSINT законен, пока вы не нарушаете границы Уголовного кодекса РФ и не получаете несанкционированный доступ к закрытым системам. Разглядывать чужой забор можно. Использовать результат для слежки за конкретным человеком или для навредивших действий нельзя. Публикуя расследование, взвешивайте риски для людей на снимке и не выдавайте точные координаты объектов, где это может кому-то навредить.

Пример кейса: в материале на Хабре разбирают Мьянму. Таймлапс в EO Browser показывает, как населённые пункты уничтожались, а на их месте возводились новые объекты. Достаточно бесплатной регистрации и двух дат.

Пока новички тратят часы на вычитывание постов и поиск компромата в комментариях, профессионалы смотрят на топологию сети. Контент профиля можно подделать, вычистить или заполнить дезинформацией, но топологическую структуру связей скрыть практически невозможно.

Геометрия связей и скрытые кластеры

Социальный граф представляет собой математическую модель, где аккаунты выступают вершинами (nodes), а любые взаимодействия – ребрами (edges). Взаимные подписки, репосты, реакции и совместные отметки создают устойчивые кластеры, отражающие реальное социальное окружение человека.

Даже если объект расследования ведет абсолютно пустой профиль с вымышленным именем, его окружение работает как распределенный маяк. Анализ пересечений общих друзей и алгоритмы кластеризации мгновенно вычисляют место работы, географическую локацию и сферу интересов анонима.

Математические метрики сетевого влияния

В форензике и OSINT анализ графов строится на вычислении центральности узлов (centrality metrics), а не на субъективных догадках.

• Степень узла (Degree Centrality) отражает базовое количество прямых связей и позволяет выявить ключевых координаторов сети.
• Посредничество (Betweenness Centrality) определяет «мосты» между изолированными сообществами – именно эти узлы чаще всего оказываются связными или дропами.
• Близость (Closeness Centrality) показывает, насколько быстро информация или команда распространяется от конкретного аккаунта по всей структуре.

Косвенные следы и темные ребра

Аналитики обращают внимание не только на явные подписки, но и на скрытые или косвенные взаимодействия. Совместное нахождение в закрытых чатах, синхронная активность в ночное время и паттерны финансовых переводов в P2P-каналах создают устойчивый поведенческий отпечаток.

Специфический тайминг реакций позволяет выявить фермы ботов и координированные сетки влияния. Когда сотня аккаунтов репостит сообщение с дельтой в пару секунд или синхронно комментирует заданные целевые страницы, граф демонстрирует аномальную плотность, не свойственную живому органическому общению.

Практические правила для исследователя

Не стройте гипотезы на основе одного изолированного профиля, пока не выгрузили граф связей второго и третьего порядка, я серьезно. Настоящие улики лежат не на витрине аккаунта, а в узлах, через которые циркулирует трафик.

• Используйте специализированные инструменты визуализации графов вроде Gephi или Maltego для фильтрации информационного шума.
• Исключайте из анализа «селебрити-узлы» с миллионным охватом, которые лишь размывают кластеры и искажают метрику расстояния.
• Сопоставляйте срезы графа во времени (temporal graphs), чтобы отследить момент появления новых контактов накануне инцидента.

Можно купить чистый ноутбук за наличные, настроить цепочку из трех “сервисов на три буквы”, и сидеть под свежим ником в Tor, но собственный мозг все равно оставит в тексте цифровой отпечаток пальца. Стилометрия превращает синтаксис, пунктуацию и словарный запас в математическую матрицу, способную деанонимизировать автора быстрее, чем утечка IP-адреса.

Цифровой ДНК в каждом предложении

Человек не контролирует построение фраз на сто процентов, потому что речь формируется годами под влиянием привычек, прочитанных книг и региональных диалектов. В криминалистической лингвистике этот уникальный речевой портрет называют идиолектом.

Анализ опирается не на редкие жаргонизмы, которые злоумышленник легко подделает, а на так называемые служебные слова: предлоги, союзы, частицы и вводные конструкции. Их распределение и частота в длинных текстах подчиняются строгим статистическим закономерностям, индивидуальным для каждого конкретного автора.

Математический аппарат текстового анализа

Современная стилометрия давно ушла от ручного подсчета запятых к многомерным векторным моделям и машинному обучению. Эксперты оцифровывают текст в сотни числовых признаков, формируя координатную точку писателя в пространстве эмбеддингов.

• Анализ n-грамм символов и слов фиксирует неосознанные орфографические паттерны, опечатки и устойчивые словосочетания.
• Дельта Берроуза (Burrows’ Delta) математически вычисляет расстояние между частотными профилями неизвестного текста и базы подозреваемых.
• Метрики синтаксической сложности оценивают среднюю длину предложений, глубину вложенности придаточных конструкций и ритмику абзацев.

Следы в даркнете и коде

Классический пример триумфа стилометрии в расследованиях – идентификация авторов манифестов, кибервымогателей и операторов теневых площадок, включая дело Unabomber и деанонимизацию создателей хакерских форумов. Даже при общении короткими репликами автор выдает себя специфическим типом смайликов, пробелами перед знаками препинания и форматированием списков.

Тот же принцип работает и в реверс-инжиниринге исходного кода (code stylometry). То, как программист именует переменные, расставляет отступы, комментирует функции и обрабатывает исключения, формирует сигнатуру, позволяющую связать анонимную малварь с открытыми репозиториями разработчика.

Методы маскировки и их слабости

Попытка намеренно коверкать стиль или прогонять текст через автоматический переводчик туда-обратно помогает только против базовых эвристик. Продвинутые нейросетевые классификаторы легко выявляют неестественные скачки энтропии и артефакты машинной генерации.

• Ручная стилизация под чужой стиль быстро утомляет автора, и на длинной дистанции естественные привычки неизбежно прорываются наружу.
• Использование LLM для рерайта сглаживает авторские черты, но навязывает специфические статистические паттерны самой модели.
• Никогда не публикуйте конфиденциальные манифесты или экспертные расследования без предварительной агрессивной нормализации синтаксиса, я серьезно.

Многие разработчики и безопасники искренне верят в магию команды git commit --amend или принудительного пуша с флагом --force. Реальность куда прозаичнее: Git спроектирован как структура данных на основе направленного ациклического графа (DAG), которая по умолчанию ничего не удаляет, а лишь переставляет указатели веток.

Анатомия каталога .git и висячие объекты

Когда файл случайно попадает в коммит, а затем разработчик пытается «замести следы» быстрым откатом ветки, содержимое файла никуда не исчезает. Оно остается в виде сжатого blob-объекта внутри внутренней базы данных под каталогом .git/objects.

Такие объекты переходят в категорию dangling (висячих) объектов, на которые больше не ссылается ни одна вершина графа. Внутренний сборщик мусора git gc не трогает их неделями, давая форензик-специалисту огромное окно возможностей для извлечения чувствительных данных.

Извлечение улик из скрытого журнала

Если коммит перезаписали или затерли локально, первым делом исследуют журнал ссылок git reflog. Он ведет строгий учет каждого перемещения указателя HEAD, сохраняя историю всех переключений, слияний и правок.

• Команда git fsck --lost-found моментально находит все потерянные коммиты и распаковывает их содержимое в отдельную папку.
• Утилита git cat-file -p <HASH> позволяет восстановить исходный текст любого найденного blob-объекта напрямую по его хешу.
• Анализ git log -g раскрывает полную хронологию локальных действий пользователя до момента принудительной перезаписи истории.

Удаленные репозитории и публичные зеркала

Попытка переписать публичную ветку на GitHub или GitLab через git push --force создает лишь иллюзию безопасности. Платформы кэшируют старые коммиты во внутренних хранилищах, и они остаются доступными по прямому хешу через API событий или Pull Requests.

Любой приватный ключ, токен API или пароль от базы данных, попавший в публичный доступ хотя бы на пять секунд, уже спарсен ботами поисковых систем и зеркал. Использование инструментов вроде BFG Repo-Cleaner или git-filter-repo зачищает граф, но не отзывает скомпрометированные секреты у внешних систем.

Практические правила для расследователя

Никогда не доверяйте внешнему виду ветки main, пока не выгрузили сырые объекты и не провели глубокий статический анализ. Полноценная очистка репозитория требует полного пересчета всех деревьев и принудительного сброса кэша сборщика мусора.

• Всегда клонируйте репозиторий вместе с полным набором скрытых веток и служебных ссылок через флаг --mirror.
• Используйте сканеры вроде TruffleHog или Gitleaks для автоматического поиска энтропии и паттернов секретов по всей глубине графа.
• Не пытайтесь тестировать утилиты очистки на рабочем репозитории без создания изолированного бэкапа, я серьезно.

Если девопсы и хакеры свято верят, что после команды уничтожения контейнер растворяется в цифровом небытии без следа, то у меня для них плохие новости. Эфемерность Docker обманчива: хост помнит практически всё, если специалист понимает архитектуру ядра Linux и структуру демона.

Анатомия слоев и OverlayFS

Главный миф микросервисов – иллюзия полной бесследности запущенных приложений. На самом деле контейнер представляет собой изолированный процесс на хосте, пишущий временные данные в выделенный рабочий слой файловой системы.

Каталог /var/lib/docker/overlay2 хранит все разрозненные слои образов и контейнеров. Пока сущность не вычищена с диска принудительно через docker system prune, рабочий каталог diff содержит абсолютно каждый измененный или созданный файл, включая загруженные бэкдоры.

Снятие дампа оперативной памяти

Атакующие нередко держат вредоносный код исключительно в памяти, избегая записи бинарников на диск. Пространства имен лишь разграничивают видимость, поэтому для хостового ядра память изолированного процесса ничем не отличается от локальной службы.

Вытащить оперативную память можно напрямую из каталога /proc/<PID>/mem или с помощью gcore на хосте, определив родительский PID контейнера. Для глубокого исследования инъекций и анализа скрытых сокетов применяют профилированный модуль LiME в связке с фреймворком Volatility.

Тактика сбора цифровых доказательств

Первое правило реагирования на инцидент – забыть про спонтанный перезапуск служб. Обычная остановка контейнера может запустить скрипты самоуничтожения малвари или обнулить ценные точки монтирования в памяти tmpfs.

• Примените команду заморозки docker pause, чтобы зафиксировать состояние всех регистров и процессов.
• Создайте снимок текущего состояния файловой системы в новый образ с помощью команды docker commit.
• Сохраните контейнер в архив через docker save или docker export для изолированного препарирования на стенде.
• Рассчитайте и зафиксируйте контрольные хеш-суммы SHA-256 каждого полученного слепка в протоколе расследования.

Логирование и сетевой контекст

Попытка зачистить историю shell внутри окружения – классический ход, который не спасает от внешнего аудита. Если на хосте развернуты auditd или eBPF-зонды, каждый системный вызов внутри cgroups уже сохранен в централизованном журнале.

Файл конфигурации /var/log/docker.log и метаданные команды docker inspect содержат точную хронологию запуска, смонтированные тома и скрытые переменные окружения. Таблица трансляции conntrack и цепочки iptables хоста сохраняют адреса удаленных серверов управления, с которыми контактировал скомпрометированный узел.

Главные правила работы эксперта

Не проводите эксперименты на живой рабочей инфраструктуре без предварительного снятия дампов, я серьезно. Неаккуратное движение уничтожит цепочку улик и превратит потенциальное доказательство для отчета в бесполезный мусор.

• Всегда анализируйте параметры bind mounts на предмет несанкционированного побега злоумышленника в корневую систему хоста.
• Изучайте переменные окружения контейнера, где беспечные инженеры регулярно забывают боевые токены и приватные ключи.
• Проверяйте историю сборки базового образа через docker history, чтобы отделить артефакты компрометации от заводских уязвимостей.

История браузера врёт охотнее, чем расширение. Пользователь жмёт «очистить всё», чистит cookies, включает инкогнито – и искренне верит, что стёр следы. Расширение в это время спокойно пишет LevelDB, IndexedDB и свой локальный склад. «Очистить историю» его, как правило, не трогает.

Это не магия. Это архитектура: плагин – отдельное приложение внутри профиля, со своим storage API и своими файлами. Для форензики это золото. Для тех, кто «просто почистил Chrome» – неприятный сюрприз.

Не повторяйте это дома, я серьезно: ниже – разбор своих профилей, лабораторных образов и кейсов с законным основанием. Чужой диск без мандата – уже не OSINT, а статья УК.

Почему плагин помнит больше браузера

Chromium и Firefox дают расширениям chrome.storage.local, chrome.storage.sync, IndexedDB, Cache Storage и (у старых) WebSQL. Браузер не считает это «историей». Поэтому:

• adblocker хранит списки доменов и счётчики блокировок;
• менеджер паролей держит метаданные сейфа и иногда зашифрованный vault;
• криптокошелёк пишет ключи/сид в LevelDB (infostealer’ы это знают лучше половины SOC);
• AI-сайдбары (Monica, Sider и компания) складывают переписки в Local Extension Settings.

Исследование 2026 года по conversational AI-расширениям прямо указывает: основные артефакты лежат в Local Extension Settings, формат – LevelDB. Не в History. Не в cookies.

Отдельный бонус: состояние расширений переживает Clear All History. Password managers, ad blockers, «продуктивность» и даже тупые темы часто оставляют навигационный контекст.

Карта диска: Chromium-семья

Chrome, Edge, Brave, Opera, Vivaldi, Яндекс – одна кухня, разные адреса профиля.

Windows (пример Chrome):

%LOCALAPPDATA%\Google\Chrome\User Data\<Profile>\

Edge: ...\Microsoft\Edge\User Data\Default\Extensions\...
Opera: чаще %APPDATA%\Opera Software\Opera Stable\Extensions\

extension_id – 32 символа латиницы (nkbihfbeogaeaoehlefnkodbefgpgknn = MetaMask, и да, это уже мем в инцидентах). Не гадай: сверяй с manifest.json и Preferences.

Linux: ~/.config/google-chrome/<profile>/
macOS: ~/Library/Application Support/Google/Chrome/<profile>/

Что внутри LevelDB

Это не SQLite. Открывать «как таблицу» бесполезно. На диске – SST/LDB плюс WAL-подобный *.log. Значения часто JSON или protobuf. Строки ключей иногда читаются strings, но для суда нужен парсер (Hindsight, leveldbdump, кастом на Python plyvel – только с копии, не с живого профиля).

Типичный улов:

• списки URL / last visited / pinned tabs у session-менеджеров;
• email, workspace id, last prompt у AI-плагинов;
• address book и tx history у кошельков;
• правила фильтрации – косвенно показывают, какие домены пользователь видел.

Infostealer’ы (Vidar 2.0 и наследники) целенаправленно грабят Local Extension Settings, Sync Extension Settings и IndexedDB\chrome-extension_*. Если в IR видишь, что малварь ходила именно туда – это не «ещё один путь», это приоритет: там деньги и сессии.

Firefox: другая религия, та же жадность

Профиль: %APPDATA%\Mozilla\Firefox\Profiles\<random>.default-release\

• extensions.json – каталог аддонов, состояние, даты.
• extensions\ – XPI/распакованные.
• addonStartup.json.lz4 – что реально поднималось при старте.
• storage\default\moz-extension+++<uuid>\ – IndexedDB/local storage в SQLite (idb, ls).
• browser-extension-data\<id>\ – storage.local в JSON у части аддонов.
• prefs.js – флаги, в том числе отключённые плагины.

UUID в storage\default не равен addon id с AMO. Связка: extensions.json → path / id → storage. Пропустишь маппинг – получишь красивый дамп ни о чём.

Что именно доказывать

Расширение само по себе не преступление. Цепочка обычно такая:

1. Inventory. Что стояло, когда поставили, откуда (update_url в манифесте: Chrome Web Store vs левый CDN – уже сюжет).
2. Permissions. <all_urls> + webRequest + debugger у «ускорителя PDF» – красный флаг, не диагноз.
3. Runtime state. Enabled в момент инцидента или «случайно» выключили за час до изъятия.
4. User data. Содержимое storage: переписки, адреса, seed-фразы, списки сайтов.
5. Корреляция. Сопоставить install time с загрузками в History/places.sqlite, с Secure Preferences и с prefetch браузера.

Пример из практики (лаборатория, не «взлом соседа»): пользователь чистит историю после спорной сессии. В History пусто. В storage адблока – счётчики хитов по доменам за тот же день. В AI-сайдбаре – промпт с реквизитами. Timeline собирается без единого URL из visits.

Ещё один классический слой: Clear All History режет таблицы urls/visits, но WAL/History-wal и freelist SQLite ещё часы живут. Плюс Top Sites, Network Action Predictor, Service Worker. Расширения – четвёртый слой, который вообще не входил в «очистить».

Инструменты без театра

• Копия профиля, браузер закрыт. Живой Chrome держит локи на LevelDB – сломаешь и себе, и цепочке.
• Hindsight (RyanDFIR) – Chromium-артефакты, включая куски extension-related.
• DB Browser for SQLite – Firefox storage\default, не LevelDB.
• WebX / triage-сканеры – инвентаризация расширений пачкой с KAPE/образа.
• Elcomsoft Quick Triage и аналоги – полевой съём Preferences, IndexedDB, Yandex-специфики (Ya Passman Data и т.п.).
• Свой парсер LevelDB – когда вендорный софт молчит. Пиши на копии. Хеши до и после.

Не тащи «Inspect background page» на боевой машине подозреваемого, если задача – изъятие. Это изменение состояния. Для своего лаба – пожалуйста: DevTools → Application → Extension storage. Для суда – файл с диска.

Грязные зоны (и почему я не дам рецепт)

Криптокошельки в расширениях, менеджеры паролей, сессионные токены SaaS – это не «интересно посмотреть JSON». Это доступ к чужим деньгам и аккаунтам. Разбор формата vault’а, обход мастер-пароля, эксплуатация уязвимого плагина – за скобками. Если на образе лежит nkbihfbeogaeaoehlefnkodbefgpgknn и жирный LevelDB, фиксируешь факт, хеши, версию, permissions. Дальше – уполномоченные и политика кейса.

То же про вредоносные расширения из supply chain: анализируй манифест, сетевые IOC, persistence. Не пиши и не запускай эксплойт «чтобы проверить».

Короткий чеклист на изъятие

1. Зафиксировать запущен ли браузер; по возможности live-triage только если нужен App-Bound Encryption / сессия. Иначе – выключить чисто.
2. Снять весь User Data / Firefox profile, не только Extensions.
3. Не забыть Local Extension Settings, Sync Extension Settings, IndexedDB, Extension State.
4. Рядом положить Preferences, Secure Preferences, Local State, extensions.json.
5. Посчитать SHA-256. Парсить только копии.
6. Смапить ID → имя → версия → store/sideload.
7. Отдельно пометить кошельки, password managers, AI-чаты, корпоративные SSO-плагины.

Маленький плагин с большой памятью – это не поэзия. Это каталог на диске, который пользователь не считает уликой. Ты – считаешь. И да, сначала свой профиль: открой Local Extension Settings и посмотри, сколько о тебе помнит «просто блокировщик рекламы». Спойлер: больше, чем тебе комфортно.

Ты сканируешь QR-код на парковочном автомате, в меню кафе, в письме от “банка” – и за долю секунды доверяешь непонятной последовательности черных пикселей больше, чем незнакомцу на улице. Именно на этой иррациональной доверчивости построена целая индустрия атак, которую индустрия скромно назвала “quishing” (QR + phishing). Разберём, как это работает под капотом и как это ловить форензику.

Почему квадратик обманывает даже опытных

QR-код – это не “ссылка”, это контейнер произвольных данных: URL, deep-link в приложение, vCard, Wi-Fi конфиг или просто текст. Человеческий глаз не может декодировать матрицу, поэтому мы вынуждены слепо доверять сканеру. Это же свойство обожают злоумышленники: вредоносный URL существует только как закодированные пиксели изображения – он невидим для текстовых антифишинговых сканеров, которые ищут паттерны в теле письма.

Масштаб проблемы за последние два-три года вырос кратно:

• Image-based фишинг-атаки выросли на 400% к 2025 году, и сейчас 12–12.4% всех фишинговых инцидентов используют QR как канал доставки.
• Только в почтовых вложениях за период октябрь 2024 – март 2025 зафиксировано более 1.7 млн уникальных вредоносных QR-кодов, при этом в среднем 2.7 млн писем с QR-кодами обрабатывалось ежедневно.
• Palo Alto Networks фиксирует свыше 11 000 детектов вредоносных QR-кодов каждый день, а среди QR-кодов, найденных офлайн-краулерами на веб-страницах, 15% ведут на зловредные ссылки.
• Microsoft Digital Defense Report зафиксировал более 15 000 фишинговых писем с QR-кодом ежедневно только в атаках на сектор образования.
• 56% детектированных quishing-писем маскируются под уведомление о сбросе двухфакторной аутентификации Microsoft – классика социальной инженерии “срочно подтвердите вход”.

Арсенал атакующего: не только “ссылка на фишинг”

Классический quishing

Самый примитивный вариант: QR ведёт на клон страницы логина (банк, почта, корпоративный SSO). Жертва сканирует телефоном, попадает на страницу вне защищённого корпоративного браузера – и вот тут кроется главная подлость: сканирование происходит на личном мобильном устройстве, где нет ни EDR, ни корпоративного веб-фильтра. Атака физически “выходит” за периметр защиты компании.

Обход браузерной изоляции (Mandiant)

Исследователи Mandiant показали PoC, где атакующий сервер зашивает команды прямо в QR-код. Пользователь сканирует его с мобильного – и устройство инициирует связь с C2-сервером атакующего, полностью минуя изолированный браузер на рабочей станции. Изоляция браузера защищает десктоп, но не защищает от того, что происходит после сканирования телефоном.

Split и nested QR-коды

В 2025 году Barracuda зафиксировала кампании, где вредоносная нагрузка фрагментируется между несколькими QR-кодами или “накладывается” одна матрица на другую (nested), чтобы обмануть автоматические сканеры безопасности, которые ждут один цельный, легко читаемый паттерн.

QR как вектор SQL-инъекции в offline-системах

Это уже не про фишинг, а про физическую безопасность. Kaspersky обнаружил уязвимости (CVE-2023-3938, CVE-2023-3942) в китайских биометрических системах контроля доступа: злоумышленник кодирует в QR произвольные данные, а терминал вставляет их в SQL-запрос без санитайзинга. Итог – либо несанкционированный доступ (система “думает”, что это последний авторизованный пользователь), либо утечка данных из базы через инъекцию, либо перезагрузка устройства при переполнении payload’а.

Обход детекторов через кодировку

Интересный трюк: 67.6% вредоносных QR в письмах доставляются как обычные изображения, но 32.4% собираются из unicode-символов, имитирующих визуальный паттерн QR – это ломает многие сигнатурные анализаторы, которые ищут именно растровое изображение.

Методология форензик-разбора: как ловить квадратик за руку

Когда к тебе на стол попадает подозрительный QR (из письма, ПДФ, скрина, физической наклейки) – вот пошаговый чек-лист, а не “просканируй телефоном и молись”.

Изоляция и извлечение. Никогда не сканируй подозрительный QR личным телефоном с активным Wi-Fi/мобильными данными. Извлекай изображение программно: pdfimages для PDF-вложений, zbarimg для быстрого декода, CyberChef для более глубокого разбора кодировки данных.

Декодирование без выполнения. Получи raw-содержимое (обычно URL) без захода по ссылке. На этом этапе смотри тип payload: обычный HTTPS URL, deep-link в приложение, JSON или plaintext – это сразу сужает вектор атаки.

Анализ через сэндбокс. Инструменты типа ANY.RUN или Joe Sandbox автоматически детектируют QR внутри файлов, извлекают URL и открывают его в изолированной виртуалке, эмулируя реальный клик – так ты видишь редиректы, фингерпринтинг устройства и итоговый лендинг без риска для боевой машины.

Разбор цепочки редиректов. Атакующие обожают URL-шортенеры и множественные редиректы, чтобы спрятать финальный домен и обойти репутационные фильтры. Трассируй каждый прыжок отдельно, фиксируй все промежуточные домены – это твои будущие индикаторы компрометации (IOC).

Оценка “возраста” инфраструктуры. Quishing-кампании часто разворачиваются на свежезарегистрированной инфраструктуре, из-за чего до 80% таких атак не детектируются классическими антифишинговыми движками при первом контакте, по данным Cyble – даже явно вредоносный PDF с QR может дать ноль детектов на VirusTotal [web:5]. Проверяй WHOIS, дату регистрации домена и SSL-сертификата – молодой домен под “банк с 100-летней историей” – это уже железный маркер.

Контекстный, а не только технический анализ. Современные защитные системы (например, подход Inception Cyber NACE) уже не гоняются за ссылкой внутри QR, а анализируют семантику и тон самого письма-носителя – тему, срочность формулировок, паттерны социальной инженерии – потому что домен назначения легко подменить, а психологический триггер “срочно подтвердите” остаётся неизменным маркером атаки.

Что забирать с собой

QR-код – это не угроза сам по себе, а идеальный слепой угол существующих защитных механизмов: он невидим для текстовых фильтров, выводит атаку на неконтролируемое мобильное устройство и легко маскируется фрагментацией или юникод-имитацией. Форензику здесь нужно смотреть не только на “куда ведёт ссылка”, а на весь контекст доставки – файл-носитель, инфраструктуру домена и социальную инженерию вокруг сканирования.

Практический вывод для тебя как для практика: если работаешь с входящими QR (в рамках инцидент-респонса или пентеста), всегда декодируй программно, никогда – личным устройством с боевой сим-картой. И да, если ты решишь потренироваться генерировать “тестовые” вредоносные QR для клиентской пентест-программы – делай это только в рамках подписанного договора и scope. Не повторяйте это дома, я серьезно.

Привет, бро. Фотки еды – это не про еду, а про поведенческую телеметрию, завернутую в красивую тарелку. Один ресторанный нельзяграм легко сдает, где человек бывает, с кем ужинает, в какие часы живет и какие места считает “своими”.

Почему это работает

OSINT опирается на открытые источники, а соцсети и геометки прямо входят в типичный набор данных для установления местоположения и анализа активности. Публикации с едой особенно удобны, потому что люди сами добавляют интерьер, посуду, меню, отметки ресторана и время публикации, а это уже не фото ужина, а маленький отчет о перемещении.

Что выдает ресторанный Нельзяgram

По серии постов и сторис можно собрать устойчивые паттерны: любимые районы, повторяющиеся заведения, окна активности утром или вечером и круг людей, которые постоянно появляются рядом. Если в кадре видны фирменные детали интерьера, вид из окна, форма официантов или уникальная подача блюда, геолокацию часто удается подтвердить даже без явной отметки места.

Маршруты и распорядок

Когда человек постит похожие локации регулярно, появляется предсказуемость маршрута: кофе в одном месте утром, бизнес-ланч в другом районе днем, ужин в третьем вечером. Публикация в реальном времени усиливает риск, потому что по таким отметкам и рутине можно понять не только привычки, но и момент, когда человек сейчас находится вне дома или офиса.

Связи и контекст

Фуд-контент хорошо вскрывает социальные связи, потому что люди отмечают друзей, шефов, партнеров, заведения и мероприятия, а сами фото еды часто используются как часть публичной самопрезентации. Для расследователя это почти подарок судьбы: через безобидный кадр можно связать человека с конкретной компанией, районом, встречей или привычной социальной группой.

Где тонко

Самые частые утечки – это геотеги, метаданные, постинг “здесь и сейчас” и публичные настройки видимости, из-за которых публикация начинает работать как маяк. Короче, тарелка пасты в ленте – это иногда не гастрономия, а бесплатный трекер с базиликом сверху.

Привет, бро. Академическая среда – это огромная дыра в корпоративной безопасности, через которую ежедневно утекают миллионы долларов интеллектуальной собственности. За время работы в форензике я насмотрелся, как компании тратят бюджеты на сложнейшие DLP-системы, а потом их ноу-хау сливается через безобидный реферат стажера. Лови разбор того, как ученые степени становятся лучшими друзьями корпоративного шпиона.

Научный тщеславный слив

Главная уязвимость академии – потребность в публикациях. Аспиранты и научные сотрудники, работающие над совместными проектами с корпорациями, обязаны публиковать статьи в ВАК или Scopus, а также защищать диссертации. В погоне за уникальностью исследования они часто «забывают» обезличить данные и публикуют куски проприетарного кода, реальные бизнес-процессы, схемы неопубликованных патентов или результаты закрытых тестирований. OSINT-специалисты просто парсят базы вроде eLibrary, CyberLeninka или западные репозитории по ключевым словам и названиям компаний-спонсоров.

Гранты как открытая бухгалтерия

Университетские гранты и госзакупки научно-исследовательских работ (НИОКР) – это легальный способ залезть в планы корпораций. Если компания заказывает у вуза исследование новых полимеров, данные об этом тендере, включая техническое задание и списки привлеченных экспертов, оседают в открытых реестрах и университетских отчетах. Проанализировав такие закупки с помощью базовых OSINT-инструментов, можно с точностью до месяца предсказать, в какую сторону движется разработка конкурента и какие технологии он планирует внедрить.

Метаданные: цифровые следы в PDF

Диссертации и авторефераты обычно выкладываются в формате PDF, который является золотой жилой для форензика. Авторы редко чистят метаданные перед публикацией, оставляя внутри файлов имена реальных авторов (иногда корпоративных кураторов), пути к папкам на внутренних серверах (например, C:\Users\Ivanov\Corp_Secret_Project), версии софта и скрытые комментарии. Извлечение таких данных через инструменты типа ExifTool позволяет не только выявить связь академика с конкретной компанией, но и получить векторы для потенциального фишинга сотрудников.

Привет, бро. Анализ некрологов и баз ЗАГСа – это мощнейший OSINT-вектор, позволяющий через умерших родственников собирать критические данные о живых людях. За свои годы в форензике я усвоил одно: мертвецы не умеют хранить секреты, поэтому лови жесткий мастер-класс по «некро-разведке» без лишней воды.

Архивы ЗАГСа: Бюрократическая машина времени

ЗАГС – это клондайк данных, где фиксируются факты рождения, смерти, браков и разводов, хранящий за собой адреса проживания, места работы и имена ближайших родственников. По закону эти записи не являются общедоступными, поэтому легальный доступ возможен только при подтверждении родства, а вот старые книги (старше 100 лет) передаются в публичные государственные архивы. Я готов в деталях объяснить, как некоторые выуживают свежие справки через фишинг сотрудников или покупают логи в даркнете, но не повторяйте это дома, я серьезно.

Некрологи: Открытый граф связей

Если официальные бумаги скрыты бюрократией, то некрологи в открытом доступе сами добровольно выдают готовые социальные связи. Безутешные родственники публикуют в газетах и соцсетях тексты, где перечисляют весь круг близких лиц, а специализированные платформы вроде Find A Grave агрегируют данные о реальных захоронениях. Грамотное использование операторов поиска (Google Dorking) позволяет вытаскивать такие некрологи и мгновенно выстраивать семейное древо нашего таргета.

Цифровое наследие брошенных аккаунтов

Физическая смерть не означает удаление из интернета, ведь брошенные социальные сети годами хранят метаданные, старые контакты и геолокации. Некоторые платформы предлагают встроенные инструменты, такие как Google Inactive Account Manager, позволяющие передать архивы почты и фотографий доверенным лицам после определенного периода неактивности. Однако большинство профилей навсегда остаются заброшенными, превращаясь в вечные цифровые следы и идеальные базы для сбора первичного профиля.