Блог

Привет, бро. Анализ некрологов и баз ЗАГСа – это мощнейший OSINT-вектор, позволяющий через умерших родственников собирать критические данные о живых людях. За свои годы в форензике я усвоил одно: мертвецы не умеют хранить секреты, поэтому лови жесткий мастер-класс по «некро-разведке» без лишней воды.

Архивы ЗАГСа: Бюрократическая машина времени

ЗАГС – это клондайк данных, где фиксируются факты рождения, смерти, браков и разводов, хранящий за собой адреса проживания, места работы и имена ближайших родственников. По закону эти записи не являются общедоступными, поэтому легальный доступ возможен только при подтверждении родства, а вот старые книги (старше 100 лет) передаются в публичные государственные архивы. Я готов в деталях объяснить, как некоторые выуживают свежие справки через фишинг сотрудников или покупают логи в даркнете, но не повторяйте это дома, я серьезно.

Некрологи: Открытый граф связей

Если официальные бумаги скрыты бюрократией, то некрологи в открытом доступе сами добровольно выдают готовые социальные связи. Безутешные родственники публикуют в газетах и соцсетях тексты, где перечисляют весь круг близких лиц, а специализированные платформы вроде Find A Grave агрегируют данные о реальных захоронениях. Грамотное использование операторов поиска (Google Dorking) позволяет вытаскивать такие некрологи и мгновенно выстраивать семейное древо нашего таргета.

Цифровое наследие брошенных аккаунтов

Физическая смерть не означает удаление из интернета, ведь брошенные социальные сети годами хранят метаданные, старые контакты и геолокации. Некоторые платформы предлагают встроенные инструменты, такие как Google Inactive Account Manager, позволяющие передать архивы почты и фотографий доверенным лицам после определенного периода неактивности. Однако большинство профилей навсегда остаются заброшенными, превращаясь в вечные цифровые следы и идеальные базы для сбора первичного профиля.

Добро пожаловать в дивный новый мир, где твой экологичный электрокар за десятки миллионов рублей – это просто гигантский стукач на колесах. За мои годы в криминалистике я насмотрелся всякого, но зарядные станции – это настоящий подарок для тех, кто умеет искать цифровые следы. Давай разберем, как они работают и почему твой автомобиль сдал тебя с потрохами.

Электромобиль как геометка

Современный EV сам по себе напичкан телеметрией, но именно процесс длительной зарядки становится железной геопространственной привязкой. Пока ты пьешь кофе в ожидании заветных киловатт, станция фиксирует время, точное местоположение и идентификаторы. Каждая такая розетка собирает данные, которые расскажут о твоем регулярном маршруте гораздо больше, чем твоя собственная память.

Уязвимости протокола OCPP

Инфраструктура зарядок – это рай для форензика, потому что многие сети до сих пор используют древний протокол OCPP на базе не зашифрованного HTTP. Это позволяет банально перехватывать номера RFID-карт, идентификаторы сессий и перенаправлять запросы. Для понимающего человека вытащить эти данные из трафика не составит труда, но не повторяйте это дома, я серьезно.

OSINT зарядных сетей

Каждое подключение сопровождается транзакцией в мобильном приложении провайдера или активацией карты. Открытые сервисы мониторинга зарядок и профили пользователей позволяют проследить привычки водителя с пугающей точностью. Сопоставив время активности конкретного коннектора с городскими камерами видеонаблюдения, можно выстроить поминутный таймлайн передвижений.

Извлечение цифровых артефактов

При анализе серверной части станции или смартфона объекта мы ищем вполне конкретные «иголки в стоге сена». Ключевыми уликами становятся токены авторизации, платежные логи и время сеанса, которое на быстрых станциях занимает от 20 минут до часа. Если оператор станции соблюдает правила и использует многофакторную аутентификацию, это дает следователю еще больше привязок к личности.

Сравнение профилирования транспорта

Слушай, братан, твой кардиостимулятор знает о тебе больше, чем твой психотерапевт, а глюкометр может рассказать следователю, во сколько ты последний раз ел сладкое перед тем, как «внезапно» упасть с лестницы. Медицинские гаджеты давно перестали быть просто железками для поддержания жизни – это полноценные цифровые свидетели, которые пишут журнал событий похлеще чем видеорегистратор в такси.

Имплантаты как немые свидетели

Кардиостимуляторы и дефибрилляторы фиксируют ритм сердца, время последнего сокращения и даже причину остановки – это буквально прибор, который может дать точное время смерти, когда патологоанатом разводит руками. При аутопсии судмедэксперты сейчас обязаны искать серийные номера имплантов и «допрашивать» устройство через представителя производителя или кардиоклинику, чтобы вытащить данные о финальном ритме сердца. Если девайс реально был причастен к смерти – это прямо прописывается в заключении о причине смерти, так что твой кардиостимулятор буквально может дать показания против тебя (или за тебя).

Глюкометры, инсулиновые помпы и другие болтуны

Инсулиновые помпы Medtronic – это отдельный цирк с конями: в 2019 году нашли уязвимость CVE-2019-10964, позволяющую перехватывать, модифицировать и подделывать RF-сигналы, а заодно менять настройки дозирования инсулина удалённо. Ещё раньше, в 2011-м, исследователь безопасности показал, что может захватить помпу в радиусе 100 метров, получить её серийный номер и заставить вколоть все 300 единиц инсулина – для диабетика первого типа это потенциально смертельная доза, и отключить RF-модуль физически невозможно, он слушает эфир всегда. После этого скандала Medtronic пришлось предлагать замену устройств для 4000 пациентов с уязвимыми моделями.

Что можно вытащить из носимых устройств криминалисту

Смартфонные приложения для медгаджетов (Kardia, iHealth MyVitals, Health Mate и подобные) хранят не только медицинские метрики, но и метаданные пользователя, причём иногда в незашифрованном виде – прямо находка для форензика. Вот что реально можно найти при экспертизе:

• Медицинские показатели: давление, температура, ЧСС, уровень кислорода в крови
• Метаданные аккаунта: имена, email регистрации, список подключённых устройств, а иногда и пароли
• Данные об активности и геолокации, синхронизированные со смартфоном
• Временные метки событий – незаменимо для восстановления хронологии инцидента

Эти данные используют в делах о подозрительной смерти, врачебной халатности, аудите клинических испытаний и злоупотреблении медтехникой.

Почему это касается не только детективов

Носимая электроника типа смарт-часов сейчас снимает ЭКГ, SpO2, частоту дыхания, температуру и фазы сна практически в реальном времени, а это значит, что твой девайс на запястье – постоянный источник цифровых доказательств твоей физиологии, хочешь ты этого или нет. IoT-устройства в целом формируют «цифровой след», который помогает триангулировать личность и действия человека даже без прямого доступа к смартфону.

Табличка для быстрого понимания рисков

Не повторяйте это дома – вскрывать чужой кардиостимулятор или гонять эксплойты на инсулиновых помпах не только незаконно, но и потенциально убийственно в буквальном смысле слова. Я серьёзно.

Анатомия цифрового стукача

Обычный старый счётчик просто крутил диск и раз в месяц выдавал цифру. Современный «умный» счётчик – это полноценный IoT-девайс, оснащённый радиомодулем, который по защищённым беспроводным каналам (через сотовую связь, Wi-Fi или LoRaWAN) гонит данные на серверы ресурсной компании. Он фиксирует энергопотребление с маниакальной детализацией: не раз в месяц, а с временными интервалами в полчаса, а иногда и поминутно. И вот тут начинается магия цифровой форензики, потому что сырые логи потребления – это открытая книга о реальном поведении жильцов.

NILM: Разбираем жизнь на ватты

Как из общего графика потребления на квартиру понять, что именно ты делаешь? В дело вступает технология NILM (Non-Intrusive Load Monitoring – неинтрузивный мониторинг нагрузки). Смысл в том, что у каждого электроприбора есть уникальная энергетическая «сигнатура» или профиль нагрузки.

Алгоритмы машинного обучения берут общие показания умного счётчика и раскладывают их на отдельные устройства, определяя точное время их включения и выключения. Как это выглядит на практике:

• Холодильник дает предсказуемые цикличные пики каждый час.
• Электрочайник или микроволновка – это резкий и мощный скачок мощности на 2–3 минуты.
• Стиральная машина имеет сложный профиль: сначала долгий нагрев воды (ровный высокий пик), потом вращение барабана (пилы на графике).

Что данные говорят о вас?

Как OSINT-специалист или форензик-аналитик может использовать эти данные? Поверь, нам даже не нужно смотреть в окна или ломать твой роутер:

• График сна и работы: Мы точно видим, во сколько включается первая лампочка и кофеварка утром, и во сколько гаснет телевизор ночью.
• Эффект присутствия: Данные покажут, уехал ли ты в отпуск (на графике останется только фоновый шум холодильника) или сидишь дома на удалёнке.
• Детекция аномалий: Если в квартире круглые сутки потребляется ровная колоссальная мощность – там либо ферма для майнинга, либо нелегальная гидропоника для выращивания запрещенных растений. Это классический триггер для правоохранителей.

Можно ли спрятаться?

Скрыться от этого почти невозможно. Умные счетчики – это обязательная инфраструктура; например, по закону их ставят по умолчанию во всех новых многоквартирных домах, введенных в эксплуатацию после 1 января 2021 года, а также при плановой замене старых счетчиков.

Единственный технический способ запутать алгоритмы NILM – использовать мощные домашние инверторы с аккумуляторами, которые будут заряжаться из сети постоянно и равномерно, а саму квартиру питать от батареи, полностью сглаживая пики потребления. Но это паранойя 80-го уровня, которая обойдется тебе в приличную сумму.

Так что просто прими этот факт: твой дом – больше не твоя слепая зона, это просто еще один узел генерации логов.

Привет, бро. Садись поудобнее. Думаешь, создатели игровых читов – это какие-то неуловимые гении в худи из голливудских фильмов? Да щас. За годы в форензике и OSINT я насмотрелся на таких «мамкиных хакеров», и большинство из них оставляют за собой цифровых следов больше, чем пьяный слон в посудной лавке.

Сегодня я проведу тебе мастер-класс по препарированию их поделок. Мы разберем, как вытащить вредоносный код на свет божий и деанонить того умника, который его написал. Но сразу предупреждаю: этот текст – исключительно для понимания того, как работают безопасники. Не повторяйте это дома, я серьезно.

Как вскрыть пациента: реверс-инжиниринг и анализ

Чит – это, по сути, малварь, которая без спроса вмешивается в процесс игры. Разработчики обожают прятать свой код под тонной крипторов, пакеров (вроде VMProtect) и обфускаторов, но форензика позволяет восстановить хронологию событий, собрать артефакты и понять логику работы любого софта.

• Дамп памяти. Современные читы часто работают напрямую в оперативной памяти (fileless-атаки), чтобы не палиться перед античитами на жестком диске. Поэтому первым делом мы снимаем дамп памяти с помощью Volatility Framework или MemProcFS, чтобы извлечь скрытые артефакты и инжектированный код.
• Дизассемблирование. Когда мы вытащили «голый» бинарник, в дело вступает статический и динамический анализ. С помощью дизассемблеров вроде IDA Pro можно обойти антиотладку, а написав пару скриптов на IDAPython – автоматизировать рутину и подсветить уязвимые места кода.
• Анализ трафика. Любой приватный чит стучится на сервер для проверки лицензии (HWID). Загоняем трафик в Wireshark и смотрим, какие пакеты улетают на сервер активации. Часто этот сервер привязан к дешевому хостингу, оформленному на левые (а иногда и реальные) данные создателя.

OSINT: Ищем создателя по крошкам

Когда мы препарировали код, начинается самое веселое – охота. Технари могут быть гениями в C++, но они часто полные профаны в операционной безопасности (OPSEC).

• Артефакты в коде. Дилетанты часто забывают чистить отладочную информацию перед компиляцией. В PDB-путях бинарника может лежать строка вроде C:\Users\Ivan_Ivanov\Desktop\SuperHack\main.cpp. Спасибо, Ваня, мы тебя записали.
• Токены и API-ключи. Логи или данные для авторизации чита часто отправляются в Telegram или Discord создателя. Вытащив токен бота или вебхук из кода, мы получаем доступ к инфраструктуре разработчика.
• Форумный след. Весь этот теневой бизнес крутится на специфических площадках. Покопавшись на профильных бордах вроде YouGame, можно найти архивные темы, где наш «гений» еще пару лет назад искал дизайнеров для интерфейса на ImGui, пастеров или реверсеров на C#. Сравниваем никнеймы, контакты, Telegram ID – и бинго, пазл складывается.
• Криптовалютный след. Платежи за подписки на софт идут через крипту. Грамотный OSINT-анализ блокчейна позволяет проследить цепочку транзакций от кошелька магазина до биржи, где создатель обналичивает деньги (а там уже есть пройденный KYC с его реальным паспортом).

В итоге из набора байтов мы получаем вполне конкретного школьника или студента, к которому уже завтра могут постучаться серьезные дяди из игровых студий с многомиллионными исками. Цифровая криминалистика ошибок не прощает.

Многие наивно полагают, что использование наличных или клонированных карт обеспечивает железобетонную анонимность. Надел капюшон, снял кэш в темном переулке, купил кофе по чужому бесконтактному пластику – и концы в воду. Спешу разочаровать: в современном мире и банкоматы, и POS-терминалы – это параноидальные регистраторы, которые пишут каждый ваш чих. И когда на столе следователя или безопасника собирается правильный датасет, вся эта мнимая анонимность рассыпается в пыль.

Банкоматы как железные стукачи

Банкомат (ATM) – это не просто сейф с купюрами, а полноценный компьютер, напичканный датчиками и логгерами. Если вы думаете, что он просто выдает деньги и забывает об этом, вы глубоко заблуждаетесь. Внутри крутится софт, который ведет электронный журнал (Electronic Journal), фиксируя абсолютно всё.

Как только карта попадает в ридер (или прикладывается к NFC-модулю), система записывает трек-данные, технические детали EMV-чипа, точное время до миллисекунд и даже то, из какой конкретно физической кассеты выехали ваши купюры. Кроме того, банкоматы имеют встроенные камеры: одна смотрит прямо в ваше удивленное лицо, другая – на слот выдачи денег. И даже если вы заклеили камеру жвачкой, таймстемп транзакции идеально синхронизируется с уличными камерами системы «Безопасный город» или биллингом ближайших сотовых вышек.

POS-терминалы и мелкий шрифт

Терминалы оплаты в магазинах выглядят безобидно, но собирают не меньше улик. POS-терминал фиксирует не только номер карты и сумму, но и Merchant ID, Terminal ID и код авторизации.

Представьте классический кейс: кто-то расплатился украденной картой за энергетик в продуктовом магазине. Сам терминал не знает лица преступника, но он оставляет идеальную временную метку. Криминалисту достаточно сопоставить время транзакции из банковской выписки с логами кассового ПО и видеоархивом магазина. А дальше в дело вступает OSINT: мы отслеживаем маршрут этого человека по камерам соседних зданий, находим его профиль в соцсетях по засвеченной куртке с редким патчем и закрываем дело до обеда.

Инструменты цифровой экзекуции

Когда устройство подозревается в компрометации (например, был установлен скиммер или залита малварь), мы начинаем копать глубже. В арсенале форензика есть несколько любимых методов работы с таким железом:

• Снятие дампа оперативной памяти и жесткого диска банкомата для поиска скрытых вредоносов, таких как Ploutus или Carbanak.
• Анализ сетевого трафика (PCAP) между терминалом и процессинговым центром для выявления подмены хостов.
• Изучение физических логов купюроприемника, которые содержат данные о сбоях, замятиях и нетипичном поведении датчиков.
• Корреляция данных электронного журнала с открытыми источниками, чтобы найти следы дропов в даркнете или Telegram-чатах.

Каждое нажатие кнопки оставляет цифровой шрам на жестком диске терминала. Помните, что ковыряться в чужих банкоматах или перехватывать чужие транзакции – это прямой билет в места не столь отдаленные. Не повторяйте это дома, я серьезно.

Среднестатистический сотрудник службы ИБ узнаёт о ransomware-атаке в три часа ночи – по звонку дежурного. На экране уже не файлы, а красивые обои с биткоин-адресом и обратным таймером. Добро пожаловать в самый прибыльный сегмент киберпреступности: в 2025 году зафиксировано более 7 000 инцидентов с шифровальщиками в мире, а атаки на IT-сектор удвоились год к году. В Q1 2026 активность держится на «устойчивом новом нормальном» уровне – Qilin, Akira, LockBit-наследники никуда не делись.

Сейчас расскажу, как оно работает изнутри: как строится расследование, как находят авторов и где они всё равно ошибаются.

Анатомия современной атаки

Прежде чем искать виновных, нужно понять, что произошло. Современный ransomware – это не «пришёл, зашифровал, ушёл». Это многоэтапная операция с чёткой воронкой:

1. Initial Access – фишинг, эксплойт уязвимостей (чаще всего VPN-устройства: в 2025 году Akira буквально «ехала» на дырках в SonicWall SSL VPN)
2. Reconnaissance & Lateral Movement – тихое изучение сети, сбор учётных данных, продвижение к домен-контроллеру
3. Data Exfiltration – воруют данные до шифрования (тактика «тройного вымогательства»: «Заплати – иначе зашифруем, и данные сольём, и клиентов уведомим»)
4. Deployment – запуск шифровальщика, уничтожение теневых копий, оставление ransom note
5. Extortion – требование выкупа, дедлайн, сайт публикации утечек в даркнете

Понимание этой цепочки критически важно для расследования: каждый этап оставляет следы, и каждый след – это потенциальная точка атрибуции.

Форензика на месте преступления

Получив доступ к скомпрометированной инфраструктуре, следователь работает с несколькими уровнями артефактов.

Системные артефакты

• Event Logs (Windows) – Event ID 4624/4625 (входы/неудачные авторизации), 4688 (создание процессов), 7045 (установка новых сервисов). Часто операторы чистят логи, но не всегда успевают: SIEM мог уже отправить их в облако
• Prefetch / AmCache / Shimcache – следы запуска исполняемых файлов даже после удаления бинарников
• VSS (Volume Shadow Copies) – если их не успели убить, можно восстановить файлы до шифрования
• MFT ($MFT) – таблица файловой системы NTFS. Даже удалённые файлы оставляют в ней следы с временны́ми метками

Сетевые артефакты

Анализ PCAP, NetFlow или DNS-логов (если они сохранились) позволяет восстановить карту lateral movement: какой хост к какому обращался, на каких портах, в какое время. Ключевые признаки: аномальные SMB-соединения, обращения к C2 через нестандартные порты, DNS-запросы к «молодым» доменам (зарегистрированным за 24–48 часов до атаки).

Анализ малвари

Образец шифровальщика – это золото. С него снимают:

• Строки и конфигурация: зашитые адреса C2, имена мьютексов, исключённые директории – всё это тактические «отпечатки»
• Компиляционные метаданные: временная зона компилятора, язык интерфейса разработчика
• Техники уклонения (TTPs по MITRE ATT&CK): как именно обходится UAC, как удаляются теневые копии – разные группы делают это по-разному

Атрибуция: как находят вымогателей

Атрибуция – самый сложный и самый интересный этап. Здесь форензика превращается в OSINT с элементами разведки.

TTPs как цифровая подпись

Каждая группировка имеет «почерк». Конкретные способы горизонтального перемещения, любимые инструменты (Cobalt Strike vs. Brute Ratel), схемы именования файлов-вымогалок, тексты ransom note – всё это сравнивается с базами данных Threat Intelligence. Аналитики составляют матрицу совпадений и с высокой вероятностью говорят: «Это Qilin, а не Akira».

Блокчейн-трейсинг: деньги не лгут

Криптовалюта – любимый инструмент вымогателей и главная ошибка большинства из них. Расследователи применяют:

• Address Clustering – группировка адресов, которыми управляет одна сущность, на основе паттернов транзакций
• Visualization via Graph Analysis – инструменты вроде Chainalysis, Elliptic, TRM Labs строят граф движения средств от жертвы до точки обналичивания
• Cash-out Point Identification – рано или поздно средства попадают на централизованную биржу (CEX), где требуется KYC. Это и есть конец цепочки

Именно так был прослежен один из крупнейших выкупов в истории (атака на Colonial Pipeline, 2021): 75 биткоинов были изъяты ФБР через отслеживание блокчейна до горячего кошелька с известным ключом.

Операционные ошибки хакеров

Вот чего не стоит делать, если ты оператор ransomware – но именно это они и делают:

• Использовать один и тот же биткоин-адрес в нескольких атаках (кластеризует всю активность)
• Хостить панели управления (RaaS-платформы) на VPS с плохо настроенной OPSEC
• Общаться в Telegram/форумах с одними и теми же никнеймами, что и в «легальных» сферах
• Зарегистрировать домен на реальный email

Именно провалы в OPSEC привели к Операции Кронос (февраль 2024): Europol и NCA совместно с ФБР получили контроль над 34 серверами LockBit, 200+ криптокошельками и 14 000 адресами электронной почты участников группировки.

Инструментарий следователя

Реальный расклад в 2026 году

Группировки эволюционируют быстрее, чем обновляются защитные инструменты:

• AI-powered ransomware – злоумышленники начали применять LLM для автоматической генерации фишинговых кампаний, адаптированных под конкретную жертву
• RaaS-модель зрелая и устойчивая: разработчики кода, аффилиаты-операторы, брокеры начального доступа (IAB) – разделение труда, как в нормальном IT-бизнесе
• Эксфильтрация без шифрования – новый тренд: зачем шифровать, если угроза публикации данных и так работает?

Расследование ransomware в 2026 году – это уже не просто форензика одного сервера. Это международная координация, блокчейн-аналитика, разведка в даркнете и гонка с командой профессионалов, которые зарабатывают на этом миллионы. Проигрывать в ней неприятно. Поэтому учитесь быстрее, чем они успевают придумывать новые трюки. 🔍

Времена, когда мы изымали смартфон, выкачивали открытую SQLite-базу WhatsApp и шли пить кофе, закончились. Преступники, хактивисты и просто параноики давно поняли, что Telegram сливает логи, а Signal привязан к номеру телефона. Сейчас на телефонах фигурантов всё чаще мелькают три названия: Session, Matrix и Element.

Если вы думаете, что вскроете их стандартным UFED в пару кликов – я вас разочарую. Это другой уровень. Здесь правят децентрализация, федеративные сети и сквозное шифрование (E2EE). Давайте разберем, как искать иголки в этом криптографическом стоге сена, пока фигурант ехидно улыбается на допросе. И да, не повторяйте это дома, я серьезно.

Session: Луковая маршрутизация и никакого телефона

Session – это дитя паранойи, выросшее из кодовой базы Signal, но посаженное на блокчейн и систему узлов (похожую на Tor). Здесь нет номеров телефонов. Идентификатором выступает Session ID – 66-символьная строка. Нет телефона – нет биллинга. Нет центрального сервера – некуда отправлять судебный запрос.

Что ищем на устройстве (Android)

Под капотом Session работает с базой данных signal.db. Да, разработчики не стали изобретать велосипед.

• Ключ шифрования лежит в файле настроек network.loki.messenger_preferences.xml (ищите тег pref_database_encrypted_secret).
• Проблема в том, что этот ключ зашифрован мастер-ключами, которые хранятся в Android Keystore.
• Если у фигуранта современный смартфон с аппаратным чипом безопасности (вроде Titan M на Pixel) – просто скопировать дамп и ковырять его на своем компе не выйдет. Ключи привязаны к железу.

Как ломать: Если у вас есть физический доступ к разблокированному устройству и root-права, можно вытащить ключи непосредственно из Keystore через Frida, снять шифрование с базы SQLCipher и читать переписку. Но помните про исчезающие сообщения: если таймер стоял на 5 минут, база может оказаться стерильно чистой. И нет, скрытых логов там не остается.

Matrix и Element: Федеративный хаос

Тут новички часто путаются. Matrix – это протокол. Element – это самый популярный клиент (приложение) для этого протокола.

Matrix – это федерация. Представьте электронную почту: вы с Gmail можете писать на Яндекс. Здесь так же. Данные могут лежать на публичном matrix.org, а могут – на сервере, поднятом фигурантом в подвале на Raspberry Pi.

Серверная форензика (Synapse)

Если вам повезло и сервер фигуранта физически стоит в вашей юрисдикции (или вы его “случайно” нашли):

• База данных сервера (обычно PostgreSQL или SQLite для мелких серверов) хранит всё.
• Там лежат все события, IP-адреса, метаданные.
• Но сообщения в личных чатах зашифрованы алгоритмом Megolm (сквозное шифрование). В базе сервера они будут выглядеть как криптографический мусор. Однако, метаданные не шифруются: вы всегда увидите, кто, кому и когда писал, даже если не прочитаете текст.

Клиентская форензика (Element)

На устройствах пользователей (смартфонах или ПК) данные зашифрованы. Но здесь есть слабое место, о котором забывают 90% “кухонных хакеров”.

• Кэш браузера/приложения. В десктопной и веб-версии Element ключи сессий и куски сообщений падают в IndexedDB / LevelDB.
• Key Backup (Резервное копирование ключей). Это самая сладкая находка следователя. Чтобы пользователь не потерял переписку при смене телефона, Element предлагает сохранить резервные ключи шифрования. Если вы найдете файл восстановления или фразу (обычно это 48 символов) в заметках или менеджере паролей фигуранта – вы расшифруете всю историю чатов.

С апреля 2026 года в Matrix v1.18 закрутили гайки: теперь обязательна жесткая верификация устройств для E2EE-сообщений. Это значит, что вы не сможете просто склонировать сессию на свой левый телефон и читать чаты в реальном времени.

Сухой остаток для оперов и безопасников

Если перед вами устройство с этими мессенджерами:

1. Не выключайте телефон! Если смарт уйдет в BFU (Before First Unlock), вы потеряете ключи шифрования из оперативной памяти.
2. Ищите резервные фразы (Recovery Keys). Люди ленивы, они сохраняют их в 1.txt на рабочем столе.
3. Для Matrix – ищите адрес домашнего сервера. Если это не публичный сервер, IP-адрес хоста может стать ключом к деанону всей сети.

И помните: форензика – это не про волшебные кнопки в программах за миллион долларов. Это про умение думать, понимать архитектуру и находить человеческую глупость там, где математика работает идеально.

Вы думали, что, конвертировав свой документ в PDF, надежно спрятали все следы правок и неловкие комментарии? Вынужден вас огорчить. Portable Document Format (PDF) – это не просто статичная картинка, это сложный контейнер, который помнит всё: кто его создал, когда, в какой программе и что именно пытался стереть перед отправкой. Давайте вскроем этот цифровой чемодан с двойным дном и посмотрим, какие скелеты там прячутся, но помните: использовать эти знания можно только в благих (или законных) целях.

Слой первый: свойства документа

Это базовый уровень метаданных, который можно назвать «визитной карточкой» файла. Здесь хранится информация, которую многие пользователи даже не задумываются очищать. В большинстве случаев этот слой содержит имя автора (часто подтягивается из учетной записи Windows), название организации, дату создания и изменения файла, а также приложение-производитель (например, Microsoft Word 2021). Посмотреть эти данные можно даже без спецсофта – достаточно открыть файл в Adobe Acrobat и заглянуть в меню «Свойства». Если документ создавался на домашнем компьютере, есть все шансы увидеть там настоящий юзернейм создателя, даже если он подписался как «Анонимус».

Слой второй: скрытые структурные данные

Здесь начинается настоящая форензика. PDF устроен так, что старые данные при редактировании часто не удаляются физически, а просто перекрываются новыми слоями или помечаются как невидимые. Этот структурный слой может содержать историю правок, удаленный (но восстановимый) текст, аннотации, невидимые комментарии и черновики полей форм. Более того, если в PDF встроены изображения, они могут тащить за собой собственные EXIF-данные, вплоть до точных GPS-координат места, где была сделана фотография. Именно этот уровень чаще всего становится причиной громких утечек, когда замазанный черным маркером текст в контракте внезапно оказывается читаемым при простом копировании.

Инструментарий для вскрытия

Чтобы вытащить всю подноготную из файла, одних встроенных просмотрщиков недостаточно. Для базового анализа подойдут онлайн-тулзы вроде Metadata2Go или Metadata Finder, которые быстро покажут скрытые поля. Но если нужно копнуть глубже, в ход идет тяжелая артиллерия:

• ExifTool: мощная утилита командной строки, которая вытаскивает абсолютно все доступные метаданные и позволяет их редактировать или удалять.
• pdf-parser: инструмент для структурного анализа PDF, способный находить скрытые объекты, JavaScript-вставки и удаленные элементы.
• Инструменты очистки: для защиты собственных данных перед отправкой стоит использовать функции вроде «Удалить скрытую информацию» в Acrobat Pro или специальные «шредеры метаданных», чтобы не стать героем чужого расследования.

Забудьте про Индиану Джонса – настоящие раскопки сегодня проходят не в гробницах, а в коробках с пыльным пластиком из девяностых. Поверьте, оживить файлы с древней дискеты порой сложнее, чем распутать запутанную криптотранзакцию в даркнете.

Иллюзия вечного хранения

Многие наивно верят, что цифровая информация бессмертна, но законы физики с этим категорически не согласны. Современные твердотельные накопители (SSD) могут потерять заряд и обнулить данные уже через 5–10 лет лежания на полке без питания. Оптические болванки разрушаются за 10–25 лет из-за деградации отражающего слоя, а магнитные ZIP-дискеты банально стираются от интенсивной перезаписи в прошлом.

Арсенал цифрового некроманта

Вместо кисточек мы используем редкие аппаратные ридеры и самодельные адаптеры, чтобы заставить современное железо понимать доисторические интерфейсы. На программном уровне специализированные утилиты вроде ddrescue и PhotoRec по байтам выгрызают информацию из битых секторов, а эмуляторы воссоздают среду старых операционных систем. Но даже не пытайтесь ковырять умирающий носитель бесплатным софтом из интернета в надежде на чудо, я серьезно.

Анатомия вскрытия носителя

Главное правило форензики: мы никогда не работаем с оригиналом – сначала аппаратными средствами снимается полная побитовая копия пациента. Если поверхность CD или DVD убита в хлам, перед клонированием пластик приходится в прямом смысле полировать на специальном станке для устранения царапин. При логических сбоях софт сканирует ошметки файловой системы, строит карту уцелевших кластеров и аккуратно переносит файлы на здоровый диск.

Анализ цифровых артефактов

Введение: ты носишь радиомаяк в кармане

Каждый раз, когда ты прикладываешь карту к турникету метро, открываешь офис пропуском или платишь бесконтактно в кафе – ты оставляешь цифровой след. Не где-нибудь, а в нескольких независимых системах одновременно. И если кто-то захочет восстановить хронологию твоих перемещений за последние полгода, ему даже не нужно взламывать смартфон. Достаточно получить доступ к данным двух-трёх инфраструктур, с которыми ты добровольно взаимодействуешь каждый день. Добро пожаловать в форензику NFC и RFID.

Физика вопроса: что такое NFC и RFID

Low vs High Frequency RFID 

Прежде чем копать, надо понять, с чем работаем. RFID (Radio Frequency Identification) – это технология идентификации по радиочастоте. NFC (Near Field Communication) – её подвид для ближнего поля, работающий на частоте 13,56 МГц и расстоянии до ~20 см. Карты старого поколения на 125 кГц (Prox, EM4100) – это «дедушки» технологии, у них почти нет защиты.

Ключевые стандарты, которые встретишь в полевой работе:

• MIFARE Classic – самый распространённый стандарт в транспортных системах (метро, автобусы). Использует устаревшее крипто CRYPTO1, которое взламывается за секунды
• MIFARE DESFire – более современный, с AES-шифрованием, но и его уязвимости находят регулярно
• NTAG213/215/216 – пассивные NFC-метки, используются в маркетинге, умных домах, логистике
• ISO/IEC 14443 A/B – базовый протокол для платёжных карт (Visa payWave, Mastercard PayPass)
• ISO/IEC 15693 – для меток дальнего чтения, склады и библиотеки

Как карта строит карту твоих перемещений

И вот здесь начинается самое интересное с форензической точки зрения. Бесконтактная карта – это не просто «ключ». Это активный участник распределённой системы логирования.

Транспортные системы

Каждый проход через турникет порождает транзакцию, которая содержит:

• Уникальный идентификатор карты (UID)
• Временну́ю метку с точностью до секунды
• Идентификатор конкретного турникета и станции
• Остаток баланса до и после списания

Эти данные хранятся в нескольких местах одновременно: на сервере транспортного оператора, в журналах терминала, и – внимание – в памяти самой карты. MIFARE Classic хранит последние транзакции прямо в секторах памяти чипа. То есть физическая карта в твоём кармане является носителем части твоей истории перемещений. Форензик-аналитик, получивший карту на изучение, может без подключения к каким-либо серверам прочитать последние поездки.

Платёжные карты

Банковские карты с RFID/NFC хранят на чипе:

• Усечённый номер карты (PAN)
• Историю последних 5–15 транзакций (сумма, дата, идентификатор терминала)
• Геолокационные данные торговой точки (через идентификатор мерчанта)

Пройтись NFC-ридером по карте и вытащить эти данные можно без ПИН-кода и авторизации – они хранятся в открытых файлах приложения. Специалисты Trend Micro показали, что для этого достаточно смартфона с NFC и соответствующего приложения. По цепочке транзакций восстанавливается не просто «что покупал», но и где физически находился в конкретное время.

Корпоративные пропускные системы

СКУД (системы контроля и управления доступом) – настоящий золотой рудник для корпоративного форензика. Каждый факт прохода через дверь логируется с точностью до миллисекунды. Совокупность этих логов восстанавливает:

• Маршрут сотрудника внутри здания в течение дня
• Время прихода и ухода
• Факты нахождения в «нежелательных» зонах
• Аномалии поведения (вход в серверную в 3 ночи – привет, инсайдерское расследование)

Инструментарий форензика: чем копают

Это не просто теория – вот что реально используется в полевых условиях:

Железо

• Proxmark3 – швейцарский нож RFID-форензики. Читает, эмулирует, атакует карты всех форматов, работает как анализатор трафика между картой и считывателем
• ACR122U / ACR1252U – легальные NFC-ридеры, используются для чтения транспортных и банковских карт
• Flipper Zero – компактный мультитул, поддерживает 125 кГц и 13,56 МГц, популярен среди пентестеров
• HackRF One + ChameleonMini – для перехвата и анализа радиообмена в пассивном режиме

Программный стек

• LibNFC – открытая библиотека для работы с NFC-устройствами, основа большинства инструментов
• MFCUK / MFOC – утилиты для атаки на MIFARE Classic через nested-атаку и darkside-атаку
• NFCGate – фреймворк для перехвата и анализа APDU-команд в реальном времени, превращает Android-смартфон в полноценный анализатор
• Mifare Classic Tool (MCT) – Android-приложение для чтения и записи MIFARE-карт
• RFIDler – open-source программируемый RFID-ридер/эмулятор

APDU-команды: язык, на котором говорят карты

Когда карта «разговаривает» с терминалом, она использует APDU (Application Protocol Data Unit) – строго структурированные пакеты команд по стандарту ISO 7816. Это и есть тот «тайный язык», который форензик учится читать.

Структура команды APDU:

CLA | INS | P1 | P2 | Lc | Data | Le

Перехватив эти пакеты с помощью NFCGate или Proxmark3, аналитик видит:

• Какое приложение на карте вызывается (AID – Application Identifier)
• Какие файлы читаются (и их содержимое, если нет шифрования)
• Динамические данные аутентификации (для анализа уязвимостей)
• Счётчики транзакций, которые сложно подделать

Атаки и форензические сценарии

Сценарий 1: Установление алиби / опровержение алиби

В ходе расследования инцидента сотрудник утверждает, что «весь день был в офисе». Данные СКУД показывают: в 14:37 он вышел через боковой выход (турникет №7), а вернулся в 17:12 через главный вход. История транзакций на транспортной карте подтверждает две поездки на метро. Банковская карта зафиксировала оплату в кафе на другом конце города в 15:20. Алиби рассыпалось без единого взломанного устройства.

Сценарий 2: Реконструкция маршрута подозреваемого

Транспортная карта, найденная на месте происшествия или изъятая при задержании, позволяет восстановить все перемещения за период хранения данных в памяти чипа. В сочетании с данными оператора (которые хранятся значительно дольше) это даёт полную хронологию.

Сценарий 3: Корпоративный шпионаж

Клонирование пропуска сотрудника с доступом в серверную – классика. Proxmark3 в кармане злоумышленника, 5 секунд рядом с жертвой в лифте – и копия готова. Форензика потом восстанавливает этот факт через аномальный паттерн использования (один и тот же UID одновременно на двух турникетах – физически невозможно).

Сценарий 4: Скимминг данных

Кустарный RFID-ридер в сумке или папке, поднесённый к жертве в транспорте, считывает открытые данные банковской карты. Никакого физического контакта, никаких следов. Форензика здесь работает по другую сторону: восстановление факта скимминга по логам транзакций и временны́м аномалиям.

Следы, которые остаются в инфраструктуре

Даже если сама карта уничтожена, форензик работает с цифровыми следами:

Защита: как минимизировать след

Раз уж ты теперь знаешь, что оставляешь – несколько практических советов:

• RFID-блокирующий кошелёк – защищает от пассивного скимминга в общественных местах, но не от данных, уже записанных в системах оператора
• Разделение карт – не используй одну карту для транспорта, работы и платежей: это связывает все три потока данных в единый профиль
• Виртуальные карты в смартфоне (Apple Pay / Google Pay) – токенизация скрывает реальный PAN, каждая транзакция использует уникальный динамический код
• Регулярная замена транспортных карт – обрывает цепочку идентификации по UID
• Осознанность при использовании корпоративных пропусков – каждый проход логируется, это не паранойя, это факт

Правовой контекст

Форензика NFC/RFID в России регулируется несколькими нормами. Несанкционированный доступ к данным карт – ст. 272 УК РФ (неправомерный доступ к компьютерной информации). Скимминг квалифицируется как мошенничество по ст. 159.3 УК РФ. При этом сами транспортные операторы и работодатели законно хранят и используют данные транзакций и СКУД в рамках своих политик – и могут передавать их по запросу правоохранительных органов.

Бесконтактная карта в твоём кармане – это не просто удобный способ платить. Это персональный цифровой хронометр, который фиксирует твои перемещения в десятках независимых систем. Форензика NFC/RFID – это искусство читать эти записи. И поверь: когда нужно, их читают очень внимательно.

Proxmark3 – законный инструмент для тестирования безопасности собственных систем. Использование его против чужих карт без разрешения – уголовное дело. Я серьёзно.

Введение: иллюзия удаления

Ты нажал «Форматировать». Потом ещё раз. Потом скачал какой-то «eraser» с сомнительного сайта и прогнал флешку через него трижды. Поздравляю – ты только что создал работу для форензик-аналитика. Потому что флеш-память устроена не так, как ты думаешь, и «затереть» её так, чтобы не осталось вообще ничего, – это отдельное искусство, о котором большинство людей не имеет ни малейшего понятия.

Добро пожаловать в USB-археологию. Копаем.

Как устроена флеш-память: враг твоей конфиденциальности

Прежде чем говорить о восстановлении, надо понять, почему оно вообще возможно. NAND-флеш (а это основа любой USB-флешки) работает не как жёсткий диск. Здесь нет магнитных пластин, которые можно «перезаписать» поверх старых данных. Флеш-память имеет несколько неприятных для тебя особенностей:

• Wear Leveling (выравнивание износа) – контроллер флешки намеренно распределяет записи по всей поверхности памяти, чтобы ни одна ячейка не изнашивалась слишком быстро. Это значит, что когда ты «перезаписываешь» файл, контроллер может записать новые данные совершенно в другое место, оставив старые нетронутыми.
• Over-Provisioning – производитель резервирует часть памяти (от 7% до 28%), которая недоступна файловой системе, но контроллер использует её активно. Туда уходят данные, туда ты никогда не доберёшься стандартными средствами.
• Bad Block Management – ячейки, помеченные как «плохие», исключаются из работы, но физически остаются на чипе со всеми своими данными.
• Garbage Collection – процесс очистки блоков памяти, который происходит асинхронно и не всегда завершается до того, как ты вытащишь флешку.

Итог: даже если файловая система говорит «здесь пусто», физически чип может хранить призраки десятков гигабайт данных.

Что реально можно вытащить

Слой 1: Файловая система (для новичков)

Самый банальный уровень. Быстрое форматирование (Quick Format) вообще ничего не удаляет – оно просто обнуляет таблицу файловой системы (FAT/exFAT/NTFS), говоря «здесь ничего нет». Данные физически остаются нетронутыми до момента перезаписи.

Что достаётся элементарно:

• Удалённые файлы с сохранёнными именами и путями (из записей директорий)
• Метаданные файлов: дата создания, изменения, доступа
• Фрагменты файлов в slack space (остатки старых данных в конце кластера)
• Временны́е файлы, которые ОС создавала автоматически

Инструменты уровня «научился вчера»: Recuva, PhotoRec, TestDisk. Запустил – получил файлы. Никакой магии.

Слой 2: Метаданные и артефакты файловой системы

Это уже интереснее. Даже после полного форматирования структуры файловой системы оставляют следы:

• Journal (журнал файловой системы) в NTFS/ext4 хранит историю транзакций – что когда писалось и удалялось. Это настоящий дневник флешки.
• $MFT (Master File Table) в NTFS содержит записи обо всех файлах, которые когда-либо существовали, включая удалённые.
• Volume Shadow Copies – если флешка использовалась в Windows как системный диск или с включёнными теневыми копиями, там могут быть снапшоты состояний файловой системы.
• LNK-файлы и артефакты – Windows автоматически создаёт ярлыки и записи о недавно открытых файлах, которые могут оставаться на флешке.

Слой 3: Аппаратный уровень (для настоящих параноиков)

Вот здесь начинается настоящая форензика. Если стандартные методы не дали результата, приходит время паяльника и электронного микроскопа.

Chip-Off – это извлечение NAND-чипа прямо с платы флешки и его прямое считывание через специализированный программатор. Контроллер флешки со всей своей логикой wear leveling обходится полностью. Ты работаешь с сырыми данными чипа.

Что это даёт:

• Доступ к over-provisioned зонам
• Данные из bad blocks, которые контроллер скрывал
• Возможность восстановить данные с физически повреждённых флешек, где контроллер мёртв

Это требует: паяльной станции с горячим воздухом, программатора типа UP-828 или RT-809H, программного обеспечения для работы с сырыми NAND-дампами (PC-3000 Flash, NAND Flash Tools) и понимания структуры конкретного чипа.

JTAG/ISP – менее деструктивный метод: подключение к отладочным точкам на плате для прямого чтения памяти. Работает не на всех флешках, но когда работает – это изящно.

Слой 4: Разведка по косвенным признакам (OSINT-уровень)

Помимо самих данных, флешка может рассказать много интересного:

• Серийный номер контроллера – позволяет идентифицировать партию, место производства, иногда привязать к конкретной закупке
• Идентификаторы USB (VID/PID) – логируются операционной системой хоста; если ты занимаешься расследованием, журналы Windows (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR) расскажут, когда и к каким компьютерам подключалась флешка
• Временны́е метки контроллера – некоторые контроллеры хранят внутренние временны́е метки операций, независимо от файловой системы

Мифы о «безопасном удалении»

Разберём популярные заблуждения – и я не буду жалеть чувства тех, кто в них верит.

«Я перезаписал флешку нулями 7 раз по методу Гутмана» – поздравляю, ты потратил время впустую. Метод Гутмана разработан для магнитных HDD 1996 года. На флешке wear leveling просто разложит твои «нули» по разным блокам, оставив оригинальные данные в других местах. Один проход нулями для флешки – это максимум что имеет смысл делать на логическом уровне.

«Я сделал Secure Erase» – работает только если реализован честно на уровне прошивки контроллера. У 80% дешёвых флешек эта команда либо не поддерживается, либо реализована криво. Проверить это без специального оборудования нельзя.

«Флешка сломана, значит данные недоступны» – chip-off говорит «привет».

Как на самом деле уничтожить данные

Раз уж мы здесь, дам тебе честный ответ на вопрос «как сделать флешку безопасной для утилизации»:

1. ATA Secure Erase через утилиту производителя – если контроллер нормальный, это сотрёт всё включая over-provisioned зоны
2. Полное шифрование перед использованием (VeraCrypt, BitLocker To Go) – тогда даже если кто-то вытащит сырые данные chip-off методом, он получит зашифрованный мусор
3. Физическое уничтожение – дрель, молоток, кислота, печь. Да, это звучит параноидально. Но для по-настоящему чувствительных данных – это единственный стопроцентный способ

Кейс из практики

Классика жанра: флешка корпоративного сотрудника, который «случайно» унёс домой базу данных клиентов, а потом отформатировал флешку и вернул её в офис. Через три часа работы с Autopsy и Foremost – вся база была восстановлена, вместе с временны́ми метками, именем пользователя из метаданных документов и историей подключений из реестра Windows его рабочего компьютера. Человек думал, что он умный. Флешка думала иначе.

Инструментарий форензик-аналитика

Для тех, кто хочет копать сам (легально, на своём оборудовании):

• Autopsy / Sleuth Kit – открытый форензик-фреймворк, отраслевой стандарт
• FTK Imager – снятие образов дисков, быстрый просмотр
• PhotoRec / TestDisk – восстановление файлов по сигнатурам
• Bulk Extractor – извлечение структурированных данных (emails, URLs, номера карт) из сырых дампов
• Binwalk – анализ прошивок и бинарных данных
• PC-3000 Flash – профессиональный инструмент для chip-off, стоит как небольшой автомобиль, но работает

Флешка – это не просто кусок пластика с памятью. Это цифровой свидетель, который молчит до тех пор, пока не появится кто-то с правильными инструментами. И теперь ты знаешь, что «затёртая 100 раз» – это просто красивая история, которую люди рассказывают сами себе.

Не повторяйте chip-off дома без должной подготовки. Я серьёзно – NAND-чипы нежные, паяльник безжалостный, а данные можно уничтожить физически быстрее, чем прочитать. Что иногда и является целью.