Блог

Привет, бро. Садись поудобнее. Думаешь, создатели игровых читов – это какие-то неуловимые гении в худи из голливудских фильмов? Да щас. За годы в форензике и OSINT я насмотрелся на таких «мамкиных хакеров», и большинство из них оставляют за собой цифровых следов больше, чем пьяный слон в посудной лавке.

Сегодня я проведу тебе мастер-класс по препарированию их поделок. Мы разберем, как вытащить вредоносный код на свет божий и деанонить того умника, который его написал. Но сразу предупреждаю: этот текст – исключительно для понимания того, как работают безопасники. Не повторяйте это дома, я серьезно.

Как вскрыть пациента: реверс-инжиниринг и анализ

Чит – это, по сути, малварь, которая без спроса вмешивается в процесс игры. Разработчики обожают прятать свой код под тонной крипторов, пакеров (вроде VMProtect) и обфускаторов, но форензика позволяет восстановить хронологию событий, собрать артефакты и понять логику работы любого софта.

• Дамп памяти. Современные читы часто работают напрямую в оперативной памяти (fileless-атаки), чтобы не палиться перед античитами на жестком диске. Поэтому первым делом мы снимаем дамп памяти с помощью Volatility Framework или MemProcFS, чтобы извлечь скрытые артефакты и инжектированный код.
• Дизассемблирование. Когда мы вытащили «голый» бинарник, в дело вступает статический и динамический анализ. С помощью дизассемблеров вроде IDA Pro можно обойти антиотладку, а написав пару скриптов на IDAPython – автоматизировать рутину и подсветить уязвимые места кода.
• Анализ трафика. Любой приватный чит стучится на сервер для проверки лицензии (HWID). Загоняем трафик в Wireshark и смотрим, какие пакеты улетают на сервер активации. Часто этот сервер привязан к дешевому хостингу, оформленному на левые (а иногда и реальные) данные создателя.

OSINT: Ищем создателя по крошкам

Когда мы препарировали код, начинается самое веселое – охота. Технари могут быть гениями в C++, но они часто полные профаны в операционной безопасности (OPSEC).

• Артефакты в коде. Дилетанты часто забывают чистить отладочную информацию перед компиляцией. В PDB-путях бинарника может лежать строка вроде C:\Users\Ivan_Ivanov\Desktop\SuperHack\main.cpp. Спасибо, Ваня, мы тебя записали.
• Токены и API-ключи. Логи или данные для авторизации чита часто отправляются в Telegram или Discord создателя. Вытащив токен бота или вебхук из кода, мы получаем доступ к инфраструктуре разработчика.
• Форумный след. Весь этот теневой бизнес крутится на специфических площадках. Покопавшись на профильных бордах вроде YouGame, можно найти архивные темы, где наш «гений» еще пару лет назад искал дизайнеров для интерфейса на ImGui, пастеров или реверсеров на C#. Сравниваем никнеймы, контакты, Telegram ID – и бинго, пазл складывается.
• Криптовалютный след. Платежи за подписки на софт идут через крипту. Грамотный OSINT-анализ блокчейна позволяет проследить цепочку транзакций от кошелька магазина до биржи, где создатель обналичивает деньги (а там уже есть пройденный KYC с его реальным паспортом).

В итоге из набора байтов мы получаем вполне конкретного школьника или студента, к которому уже завтра могут постучаться серьезные дяди из игровых студий с многомиллионными исками. Цифровая криминалистика ошибок не прощает.

Многие наивно полагают, что использование наличных или клонированных карт обеспечивает железобетонную анонимность. Надел капюшон, снял кэш в темном переулке, купил кофе по чужому бесконтактному пластику – и концы в воду. Спешу разочаровать: в современном мире и банкоматы, и POS-терминалы – это параноидальные регистраторы, которые пишут каждый ваш чих. И когда на столе следователя или безопасника собирается правильный датасет, вся эта мнимая анонимность рассыпается в пыль.

Банкоматы как железные стукачи

Банкомат (ATM) – это не просто сейф с купюрами, а полноценный компьютер, напичканный датчиками и логгерами. Если вы думаете, что он просто выдает деньги и забывает об этом, вы глубоко заблуждаетесь. Внутри крутится софт, который ведет электронный журнал (Electronic Journal), фиксируя абсолютно всё.

Как только карта попадает в ридер (или прикладывается к NFC-модулю), система записывает трек-данные, технические детали EMV-чипа, точное время до миллисекунд и даже то, из какой конкретно физической кассеты выехали ваши купюры. Кроме того, банкоматы имеют встроенные камеры: одна смотрит прямо в ваше удивленное лицо, другая – на слот выдачи денег. И даже если вы заклеили камеру жвачкой, таймстемп транзакции идеально синхронизируется с уличными камерами системы «Безопасный город» или биллингом ближайших сотовых вышек.

POS-терминалы и мелкий шрифт

Терминалы оплаты в магазинах выглядят безобидно, но собирают не меньше улик. POS-терминал фиксирует не только номер карты и сумму, но и Merchant ID, Terminal ID и код авторизации.

Представьте классический кейс: кто-то расплатился украденной картой за энергетик в продуктовом магазине. Сам терминал не знает лица преступника, но он оставляет идеальную временную метку. Криминалисту достаточно сопоставить время транзакции из банковской выписки с логами кассового ПО и видеоархивом магазина. А дальше в дело вступает OSINT: мы отслеживаем маршрут этого человека по камерам соседних зданий, находим его профиль в соцсетях по засвеченной куртке с редким патчем и закрываем дело до обеда.

Инструменты цифровой экзекуции

Когда устройство подозревается в компрометации (например, был установлен скиммер или залита малварь), мы начинаем копать глубже. В арсенале форензика есть несколько любимых методов работы с таким железом:

• Снятие дампа оперативной памяти и жесткого диска банкомата для поиска скрытых вредоносов, таких как Ploutus или Carbanak.
• Анализ сетевого трафика (PCAP) между терминалом и процессинговым центром для выявления подмены хостов.
• Изучение физических логов купюроприемника, которые содержат данные о сбоях, замятиях и нетипичном поведении датчиков.
• Корреляция данных электронного журнала с открытыми источниками, чтобы найти следы дропов в даркнете или Telegram-чатах.

Каждое нажатие кнопки оставляет цифровой шрам на жестком диске терминала. Помните, что ковыряться в чужих банкоматах или перехватывать чужие транзакции – это прямой билет в места не столь отдаленные. Не повторяйте это дома, я серьезно.

Среднестатистический сотрудник службы ИБ узнаёт о ransomware-атаке в три часа ночи – по звонку дежурного. На экране уже не файлы, а красивые обои с биткоин-адресом и обратным таймером. Добро пожаловать в самый прибыльный сегмент киберпреступности: в 2025 году зафиксировано более 7 000 инцидентов с шифровальщиками в мире, а атаки на IT-сектор удвоились год к году. В Q1 2026 активность держится на «устойчивом новом нормальном» уровне – Qilin, Akira, LockBit-наследники никуда не делись.

Сейчас расскажу, как оно работает изнутри: как строится расследование, как находят авторов и где они всё равно ошибаются.

Анатомия современной атаки

Прежде чем искать виновных, нужно понять, что произошло. Современный ransomware – это не «пришёл, зашифровал, ушёл». Это многоэтапная операция с чёткой воронкой:

1. Initial Access – фишинг, эксплойт уязвимостей (чаще всего VPN-устройства: в 2025 году Akira буквально «ехала» на дырках в SonicWall SSL VPN)
2. Reconnaissance & Lateral Movement – тихое изучение сети, сбор учётных данных, продвижение к домен-контроллеру
3. Data Exfiltration – воруют данные до шифрования (тактика «тройного вымогательства»: «Заплати – иначе зашифруем, и данные сольём, и клиентов уведомим»)
4. Deployment – запуск шифровальщика, уничтожение теневых копий, оставление ransom note
5. Extortion – требование выкупа, дедлайн, сайт публикации утечек в даркнете

Понимание этой цепочки критически важно для расследования: каждый этап оставляет следы, и каждый след – это потенциальная точка атрибуции.

Форензика на месте преступления

Получив доступ к скомпрометированной инфраструктуре, следователь работает с несколькими уровнями артефактов.

Системные артефакты

• Event Logs (Windows) – Event ID 4624/4625 (входы/неудачные авторизации), 4688 (создание процессов), 7045 (установка новых сервисов). Часто операторы чистят логи, но не всегда успевают: SIEM мог уже отправить их в облако
• Prefetch / AmCache / Shimcache – следы запуска исполняемых файлов даже после удаления бинарников
• VSS (Volume Shadow Copies) – если их не успели убить, можно восстановить файлы до шифрования
• MFT ($MFT) – таблица файловой системы NTFS. Даже удалённые файлы оставляют в ней следы с временны́ми метками

Сетевые артефакты

Анализ PCAP, NetFlow или DNS-логов (если они сохранились) позволяет восстановить карту lateral movement: какой хост к какому обращался, на каких портах, в какое время. Ключевые признаки: аномальные SMB-соединения, обращения к C2 через нестандартные порты, DNS-запросы к «молодым» доменам (зарегистрированным за 24–48 часов до атаки).

Анализ малвари

Образец шифровальщика – это золото. С него снимают:

• Строки и конфигурация: зашитые адреса C2, имена мьютексов, исключённые директории – всё это тактические «отпечатки»
• Компиляционные метаданные: временная зона компилятора, язык интерфейса разработчика
• Техники уклонения (TTPs по MITRE ATT&CK): как именно обходится UAC, как удаляются теневые копии – разные группы делают это по-разному

Атрибуция: как находят вымогателей

Атрибуция – самый сложный и самый интересный этап. Здесь форензика превращается в OSINT с элементами разведки.

TTPs как цифровая подпись

Каждая группировка имеет «почерк». Конкретные способы горизонтального перемещения, любимые инструменты (Cobalt Strike vs. Brute Ratel), схемы именования файлов-вымогалок, тексты ransom note – всё это сравнивается с базами данных Threat Intelligence. Аналитики составляют матрицу совпадений и с высокой вероятностью говорят: «Это Qilin, а не Akira».

Блокчейн-трейсинг: деньги не лгут

Криптовалюта – любимый инструмент вымогателей и главная ошибка большинства из них. Расследователи применяют:

• Address Clustering – группировка адресов, которыми управляет одна сущность, на основе паттернов транзакций
• Visualization via Graph Analysis – инструменты вроде Chainalysis, Elliptic, TRM Labs строят граф движения средств от жертвы до точки обналичивания
• Cash-out Point Identification – рано или поздно средства попадают на централизованную биржу (CEX), где требуется KYC. Это и есть конец цепочки

Именно так был прослежен один из крупнейших выкупов в истории (атака на Colonial Pipeline, 2021): 75 биткоинов были изъяты ФБР через отслеживание блокчейна до горячего кошелька с известным ключом.

Операционные ошибки хакеров

Вот чего не стоит делать, если ты оператор ransomware – но именно это они и делают:

• Использовать один и тот же биткоин-адрес в нескольких атаках (кластеризует всю активность)
• Хостить панели управления (RaaS-платформы) на VPS с плохо настроенной OPSEC
• Общаться в Telegram/форумах с одними и теми же никнеймами, что и в «легальных» сферах
• Зарегистрировать домен на реальный email

Именно провалы в OPSEC привели к Операции Кронос (февраль 2024): Europol и NCA совместно с ФБР получили контроль над 34 серверами LockBit, 200+ криптокошельками и 14 000 адресами электронной почты участников группировки.

Инструментарий следователя

Реальный расклад в 2026 году

Группировки эволюционируют быстрее, чем обновляются защитные инструменты:

• AI-powered ransomware – злоумышленники начали применять LLM для автоматической генерации фишинговых кампаний, адаптированных под конкретную жертву
• RaaS-модель зрелая и устойчивая: разработчики кода, аффилиаты-операторы, брокеры начального доступа (IAB) – разделение труда, как в нормальном IT-бизнесе
• Эксфильтрация без шифрования – новый тренд: зачем шифровать, если угроза публикации данных и так работает?

Расследование ransomware в 2026 году – это уже не просто форензика одного сервера. Это международная координация, блокчейн-аналитика, разведка в даркнете и гонка с командой профессионалов, которые зарабатывают на этом миллионы. Проигрывать в ней неприятно. Поэтому учитесь быстрее, чем они успевают придумывать новые трюки. 🔍

Времена, когда мы изымали смартфон, выкачивали открытую SQLite-базу WhatsApp и шли пить кофе, закончились. Преступники, хактивисты и просто параноики давно поняли, что Telegram сливает логи, а Signal привязан к номеру телефона. Сейчас на телефонах фигурантов всё чаще мелькают три названия: Session, Matrix и Element.

Если вы думаете, что вскроете их стандартным UFED в пару кликов – я вас разочарую. Это другой уровень. Здесь правят децентрализация, федеративные сети и сквозное шифрование (E2EE). Давайте разберем, как искать иголки в этом криптографическом стоге сена, пока фигурант ехидно улыбается на допросе. И да, не повторяйте это дома, я серьезно.

Session: Луковая маршрутизация и никакого телефона

Session – это дитя паранойи, выросшее из кодовой базы Signal, но посаженное на блокчейн и систему узлов (похожую на Tor). Здесь нет номеров телефонов. Идентификатором выступает Session ID – 66-символьная строка. Нет телефона – нет биллинга. Нет центрального сервера – некуда отправлять судебный запрос.

Что ищем на устройстве (Android)

Под капотом Session работает с базой данных signal.db. Да, разработчики не стали изобретать велосипед.

• Ключ шифрования лежит в файле настроек network.loki.messenger_preferences.xml (ищите тег pref_database_encrypted_secret).
• Проблема в том, что этот ключ зашифрован мастер-ключами, которые хранятся в Android Keystore.
• Если у фигуранта современный смартфон с аппаратным чипом безопасности (вроде Titan M на Pixel) – просто скопировать дамп и ковырять его на своем компе не выйдет. Ключи привязаны к железу.

Как ломать: Если у вас есть физический доступ к разблокированному устройству и root-права, можно вытащить ключи непосредственно из Keystore через Frida, снять шифрование с базы SQLCipher и читать переписку. Но помните про исчезающие сообщения: если таймер стоял на 5 минут, база может оказаться стерильно чистой. И нет, скрытых логов там не остается.

Matrix и Element: Федеративный хаос

Тут новички часто путаются. Matrix – это протокол. Element – это самый популярный клиент (приложение) для этого протокола.

Matrix – это федерация. Представьте электронную почту: вы с Gmail можете писать на Яндекс. Здесь так же. Данные могут лежать на публичном matrix.org, а могут – на сервере, поднятом фигурантом в подвале на Raspberry Pi.

Серверная форензика (Synapse)

Если вам повезло и сервер фигуранта физически стоит в вашей юрисдикции (или вы его “случайно” нашли):

• База данных сервера (обычно PostgreSQL или SQLite для мелких серверов) хранит всё.
• Там лежат все события, IP-адреса, метаданные.
• Но сообщения в личных чатах зашифрованы алгоритмом Megolm (сквозное шифрование). В базе сервера они будут выглядеть как криптографический мусор. Однако, метаданные не шифруются: вы всегда увидите, кто, кому и когда писал, даже если не прочитаете текст.

Клиентская форензика (Element)

На устройствах пользователей (смартфонах или ПК) данные зашифрованы. Но здесь есть слабое место, о котором забывают 90% “кухонных хакеров”.

• Кэш браузера/приложения. В десктопной и веб-версии Element ключи сессий и куски сообщений падают в IndexedDB / LevelDB.
• Key Backup (Резервное копирование ключей). Это самая сладкая находка следователя. Чтобы пользователь не потерял переписку при смене телефона, Element предлагает сохранить резервные ключи шифрования. Если вы найдете файл восстановления или фразу (обычно это 48 символов) в заметках или менеджере паролей фигуранта – вы расшифруете всю историю чатов.

С апреля 2026 года в Matrix v1.18 закрутили гайки: теперь обязательна жесткая верификация устройств для E2EE-сообщений. Это значит, что вы не сможете просто склонировать сессию на свой левый телефон и читать чаты в реальном времени.

Сухой остаток для оперов и безопасников

Если перед вами устройство с этими мессенджерами:

1. Не выключайте телефон! Если смарт уйдет в BFU (Before First Unlock), вы потеряете ключи шифрования из оперативной памяти.
2. Ищите резервные фразы (Recovery Keys). Люди ленивы, они сохраняют их в 1.txt на рабочем столе.
3. Для Matrix – ищите адрес домашнего сервера. Если это не публичный сервер, IP-адрес хоста может стать ключом к деанону всей сети.

И помните: форензика – это не про волшебные кнопки в программах за миллион долларов. Это про умение думать, понимать архитектуру и находить человеческую глупость там, где математика работает идеально.

Вы думали, что, конвертировав свой документ в PDF, надежно спрятали все следы правок и неловкие комментарии? Вынужден вас огорчить. Portable Document Format (PDF) – это не просто статичная картинка, это сложный контейнер, который помнит всё: кто его создал, когда, в какой программе и что именно пытался стереть перед отправкой. Давайте вскроем этот цифровой чемодан с двойным дном и посмотрим, какие скелеты там прячутся, но помните: использовать эти знания можно только в благих (или законных) целях.

Слой первый: свойства документа

Это базовый уровень метаданных, который можно назвать «визитной карточкой» файла. Здесь хранится информация, которую многие пользователи даже не задумываются очищать. В большинстве случаев этот слой содержит имя автора (часто подтягивается из учетной записи Windows), название организации, дату создания и изменения файла, а также приложение-производитель (например, Microsoft Word 2021). Посмотреть эти данные можно даже без спецсофта – достаточно открыть файл в Adobe Acrobat и заглянуть в меню «Свойства». Если документ создавался на домашнем компьютере, есть все шансы увидеть там настоящий юзернейм создателя, даже если он подписался как «Анонимус».

Слой второй: скрытые структурные данные

Здесь начинается настоящая форензика. PDF устроен так, что старые данные при редактировании часто не удаляются физически, а просто перекрываются новыми слоями или помечаются как невидимые. Этот структурный слой может содержать историю правок, удаленный (но восстановимый) текст, аннотации, невидимые комментарии и черновики полей форм. Более того, если в PDF встроены изображения, они могут тащить за собой собственные EXIF-данные, вплоть до точных GPS-координат места, где была сделана фотография. Именно этот уровень чаще всего становится причиной громких утечек, когда замазанный черным маркером текст в контракте внезапно оказывается читаемым при простом копировании.

Инструментарий для вскрытия

Чтобы вытащить всю подноготную из файла, одних встроенных просмотрщиков недостаточно. Для базового анализа подойдут онлайн-тулзы вроде Metadata2Go или Metadata Finder, которые быстро покажут скрытые поля. Но если нужно копнуть глубже, в ход идет тяжелая артиллерия:

• ExifTool: мощная утилита командной строки, которая вытаскивает абсолютно все доступные метаданные и позволяет их редактировать или удалять.
• pdf-parser: инструмент для структурного анализа PDF, способный находить скрытые объекты, JavaScript-вставки и удаленные элементы.
• Инструменты очистки: для защиты собственных данных перед отправкой стоит использовать функции вроде «Удалить скрытую информацию» в Acrobat Pro или специальные «шредеры метаданных», чтобы не стать героем чужого расследования.

Забудьте про Индиану Джонса – настоящие раскопки сегодня проходят не в гробницах, а в коробках с пыльным пластиком из девяностых. Поверьте, оживить файлы с древней дискеты порой сложнее, чем распутать запутанную криптотранзакцию в даркнете.

Иллюзия вечного хранения

Многие наивно верят, что цифровая информация бессмертна, но законы физики с этим категорически не согласны. Современные твердотельные накопители (SSD) могут потерять заряд и обнулить данные уже через 5–10 лет лежания на полке без питания. Оптические болванки разрушаются за 10–25 лет из-за деградации отражающего слоя, а магнитные ZIP-дискеты банально стираются от интенсивной перезаписи в прошлом.

Арсенал цифрового некроманта

Вместо кисточек мы используем редкие аппаратные ридеры и самодельные адаптеры, чтобы заставить современное железо понимать доисторические интерфейсы. На программном уровне специализированные утилиты вроде ddrescue и PhotoRec по байтам выгрызают информацию из битых секторов, а эмуляторы воссоздают среду старых операционных систем. Но даже не пытайтесь ковырять умирающий носитель бесплатным софтом из интернета в надежде на чудо, я серьезно.

Анатомия вскрытия носителя

Главное правило форензики: мы никогда не работаем с оригиналом – сначала аппаратными средствами снимается полная побитовая копия пациента. Если поверхность CD или DVD убита в хлам, перед клонированием пластик приходится в прямом смысле полировать на специальном станке для устранения царапин. При логических сбоях софт сканирует ошметки файловой системы, строит карту уцелевших кластеров и аккуратно переносит файлы на здоровый диск.

Анализ цифровых артефактов

Введение: ты носишь радиомаяк в кармане

Каждый раз, когда ты прикладываешь карту к турникету метро, открываешь офис пропуском или платишь бесконтактно в кафе – ты оставляешь цифровой след. Не где-нибудь, а в нескольких независимых системах одновременно. И если кто-то захочет восстановить хронологию твоих перемещений за последние полгода, ему даже не нужно взламывать смартфон. Достаточно получить доступ к данным двух-трёх инфраструктур, с которыми ты добровольно взаимодействуешь каждый день. Добро пожаловать в форензику NFC и RFID.

Физика вопроса: что такое NFC и RFID

Low vs High Frequency RFID 

Прежде чем копать, надо понять, с чем работаем. RFID (Radio Frequency Identification) – это технология идентификации по радиочастоте. NFC (Near Field Communication) – её подвид для ближнего поля, работающий на частоте 13,56 МГц и расстоянии до ~20 см. Карты старого поколения на 125 кГц (Prox, EM4100) – это «дедушки» технологии, у них почти нет защиты.

Ключевые стандарты, которые встретишь в полевой работе:

• MIFARE Classic – самый распространённый стандарт в транспортных системах (метро, автобусы). Использует устаревшее крипто CRYPTO1, которое взламывается за секунды
• MIFARE DESFire – более современный, с AES-шифрованием, но и его уязвимости находят регулярно
• NTAG213/215/216 – пассивные NFC-метки, используются в маркетинге, умных домах, логистике
• ISO/IEC 14443 A/B – базовый протокол для платёжных карт (Visa payWave, Mastercard PayPass)
• ISO/IEC 15693 – для меток дальнего чтения, склады и библиотеки

Как карта строит карту твоих перемещений

И вот здесь начинается самое интересное с форензической точки зрения. Бесконтактная карта – это не просто «ключ». Это активный участник распределённой системы логирования.

Транспортные системы

Каждый проход через турникет порождает транзакцию, которая содержит:

• Уникальный идентификатор карты (UID)
• Временну́ю метку с точностью до секунды
• Идентификатор конкретного турникета и станции
• Остаток баланса до и после списания

Эти данные хранятся в нескольких местах одновременно: на сервере транспортного оператора, в журналах терминала, и – внимание – в памяти самой карты. MIFARE Classic хранит последние транзакции прямо в секторах памяти чипа. То есть физическая карта в твоём кармане является носителем части твоей истории перемещений. Форензик-аналитик, получивший карту на изучение, может без подключения к каким-либо серверам прочитать последние поездки.

Платёжные карты

Банковские карты с RFID/NFC хранят на чипе:

• Усечённый номер карты (PAN)
• Историю последних 5–15 транзакций (сумма, дата, идентификатор терминала)
• Геолокационные данные торговой точки (через идентификатор мерчанта)

Пройтись NFC-ридером по карте и вытащить эти данные можно без ПИН-кода и авторизации – они хранятся в открытых файлах приложения. Специалисты Trend Micro показали, что для этого достаточно смартфона с NFC и соответствующего приложения. По цепочке транзакций восстанавливается не просто «что покупал», но и где физически находился в конкретное время.

Корпоративные пропускные системы

СКУД (системы контроля и управления доступом) – настоящий золотой рудник для корпоративного форензика. Каждый факт прохода через дверь логируется с точностью до миллисекунды. Совокупность этих логов восстанавливает:

• Маршрут сотрудника внутри здания в течение дня
• Время прихода и ухода
• Факты нахождения в «нежелательных» зонах
• Аномалии поведения (вход в серверную в 3 ночи – привет, инсайдерское расследование)

Инструментарий форензика: чем копают

Это не просто теория – вот что реально используется в полевых условиях:

Железо

• Proxmark3 – швейцарский нож RFID-форензики. Читает, эмулирует, атакует карты всех форматов, работает как анализатор трафика между картой и считывателем
• ACR122U / ACR1252U – легальные NFC-ридеры, используются для чтения транспортных и банковских карт
• Flipper Zero – компактный мультитул, поддерживает 125 кГц и 13,56 МГц, популярен среди пентестеров
• HackRF One + ChameleonMini – для перехвата и анализа радиообмена в пассивном режиме

Программный стек

• LibNFC – открытая библиотека для работы с NFC-устройствами, основа большинства инструментов
• MFCUK / MFOC – утилиты для атаки на MIFARE Classic через nested-атаку и darkside-атаку
• NFCGate – фреймворк для перехвата и анализа APDU-команд в реальном времени, превращает Android-смартфон в полноценный анализатор
• Mifare Classic Tool (MCT) – Android-приложение для чтения и записи MIFARE-карт
• RFIDler – open-source программируемый RFID-ридер/эмулятор

APDU-команды: язык, на котором говорят карты

Когда карта «разговаривает» с терминалом, она использует APDU (Application Protocol Data Unit) – строго структурированные пакеты команд по стандарту ISO 7816. Это и есть тот «тайный язык», который форензик учится читать.

Структура команды APDU:

CLA | INS | P1 | P2 | Lc | Data | Le

Перехватив эти пакеты с помощью NFCGate или Proxmark3, аналитик видит:

• Какое приложение на карте вызывается (AID – Application Identifier)
• Какие файлы читаются (и их содержимое, если нет шифрования)
• Динамические данные аутентификации (для анализа уязвимостей)
• Счётчики транзакций, которые сложно подделать

Атаки и форензические сценарии

Сценарий 1: Установление алиби / опровержение алиби

В ходе расследования инцидента сотрудник утверждает, что «весь день был в офисе». Данные СКУД показывают: в 14:37 он вышел через боковой выход (турникет №7), а вернулся в 17:12 через главный вход. История транзакций на транспортной карте подтверждает две поездки на метро. Банковская карта зафиксировала оплату в кафе на другом конце города в 15:20. Алиби рассыпалось без единого взломанного устройства.

Сценарий 2: Реконструкция маршрута подозреваемого

Транспортная карта, найденная на месте происшествия или изъятая при задержании, позволяет восстановить все перемещения за период хранения данных в памяти чипа. В сочетании с данными оператора (которые хранятся значительно дольше) это даёт полную хронологию.

Сценарий 3: Корпоративный шпионаж

Клонирование пропуска сотрудника с доступом в серверную – классика. Proxmark3 в кармане злоумышленника, 5 секунд рядом с жертвой в лифте – и копия готова. Форензика потом восстанавливает этот факт через аномальный паттерн использования (один и тот же UID одновременно на двух турникетах – физически невозможно).

Сценарий 4: Скимминг данных

Кустарный RFID-ридер в сумке или папке, поднесённый к жертве в транспорте, считывает открытые данные банковской карты. Никакого физического контакта, никаких следов. Форензика здесь работает по другую сторону: восстановление факта скимминга по логам транзакций и временны́м аномалиям.

Следы, которые остаются в инфраструктуре

Даже если сама карта уничтожена, форензик работает с цифровыми следами:

Защита: как минимизировать след

Раз уж ты теперь знаешь, что оставляешь – несколько практических советов:

• RFID-блокирующий кошелёк – защищает от пассивного скимминга в общественных местах, но не от данных, уже записанных в системах оператора
• Разделение карт – не используй одну карту для транспорта, работы и платежей: это связывает все три потока данных в единый профиль
• Виртуальные карты в смартфоне (Apple Pay / Google Pay) – токенизация скрывает реальный PAN, каждая транзакция использует уникальный динамический код
• Регулярная замена транспортных карт – обрывает цепочку идентификации по UID
• Осознанность при использовании корпоративных пропусков – каждый проход логируется, это не паранойя, это факт

Правовой контекст

Форензика NFC/RFID в России регулируется несколькими нормами. Несанкционированный доступ к данным карт – ст. 272 УК РФ (неправомерный доступ к компьютерной информации). Скимминг квалифицируется как мошенничество по ст. 159.3 УК РФ. При этом сами транспортные операторы и работодатели законно хранят и используют данные транзакций и СКУД в рамках своих политик – и могут передавать их по запросу правоохранительных органов.

Бесконтактная карта в твоём кармане – это не просто удобный способ платить. Это персональный цифровой хронометр, который фиксирует твои перемещения в десятках независимых систем. Форензика NFC/RFID – это искусство читать эти записи. И поверь: когда нужно, их читают очень внимательно.

Proxmark3 – законный инструмент для тестирования безопасности собственных систем. Использование его против чужих карт без разрешения – уголовное дело. Я серьёзно.

Введение: иллюзия удаления

Ты нажал «Форматировать». Потом ещё раз. Потом скачал какой-то «eraser» с сомнительного сайта и прогнал флешку через него трижды. Поздравляю – ты только что создал работу для форензик-аналитика. Потому что флеш-память устроена не так, как ты думаешь, и «затереть» её так, чтобы не осталось вообще ничего, – это отдельное искусство, о котором большинство людей не имеет ни малейшего понятия.

Добро пожаловать в USB-археологию. Копаем.

Как устроена флеш-память: враг твоей конфиденциальности

Прежде чем говорить о восстановлении, надо понять, почему оно вообще возможно. NAND-флеш (а это основа любой USB-флешки) работает не как жёсткий диск. Здесь нет магнитных пластин, которые можно «перезаписать» поверх старых данных. Флеш-память имеет несколько неприятных для тебя особенностей:

• Wear Leveling (выравнивание износа) – контроллер флешки намеренно распределяет записи по всей поверхности памяти, чтобы ни одна ячейка не изнашивалась слишком быстро. Это значит, что когда ты «перезаписываешь» файл, контроллер может записать новые данные совершенно в другое место, оставив старые нетронутыми.
• Over-Provisioning – производитель резервирует часть памяти (от 7% до 28%), которая недоступна файловой системе, но контроллер использует её активно. Туда уходят данные, туда ты никогда не доберёшься стандартными средствами.
• Bad Block Management – ячейки, помеченные как «плохие», исключаются из работы, но физически остаются на чипе со всеми своими данными.
• Garbage Collection – процесс очистки блоков памяти, который происходит асинхронно и не всегда завершается до того, как ты вытащишь флешку.

Итог: даже если файловая система говорит «здесь пусто», физически чип может хранить призраки десятков гигабайт данных.

Что реально можно вытащить

Слой 1: Файловая система (для новичков)

Самый банальный уровень. Быстрое форматирование (Quick Format) вообще ничего не удаляет – оно просто обнуляет таблицу файловой системы (FAT/exFAT/NTFS), говоря «здесь ничего нет». Данные физически остаются нетронутыми до момента перезаписи.

Что достаётся элементарно:

• Удалённые файлы с сохранёнными именами и путями (из записей директорий)
• Метаданные файлов: дата создания, изменения, доступа
• Фрагменты файлов в slack space (остатки старых данных в конце кластера)
• Временны́е файлы, которые ОС создавала автоматически

Инструменты уровня «научился вчера»: Recuva, PhotoRec, TestDisk. Запустил – получил файлы. Никакой магии.

Слой 2: Метаданные и артефакты файловой системы

Это уже интереснее. Даже после полного форматирования структуры файловой системы оставляют следы:

• Journal (журнал файловой системы) в NTFS/ext4 хранит историю транзакций – что когда писалось и удалялось. Это настоящий дневник флешки.
• $MFT (Master File Table) в NTFS содержит записи обо всех файлах, которые когда-либо существовали, включая удалённые.
• Volume Shadow Copies – если флешка использовалась в Windows как системный диск или с включёнными теневыми копиями, там могут быть снапшоты состояний файловой системы.
• LNK-файлы и артефакты – Windows автоматически создаёт ярлыки и записи о недавно открытых файлах, которые могут оставаться на флешке.

Слой 3: Аппаратный уровень (для настоящих параноиков)

Вот здесь начинается настоящая форензика. Если стандартные методы не дали результата, приходит время паяльника и электронного микроскопа.

Chip-Off – это извлечение NAND-чипа прямо с платы флешки и его прямое считывание через специализированный программатор. Контроллер флешки со всей своей логикой wear leveling обходится полностью. Ты работаешь с сырыми данными чипа.

Что это даёт:

• Доступ к over-provisioned зонам
• Данные из bad blocks, которые контроллер скрывал
• Возможность восстановить данные с физически повреждённых флешек, где контроллер мёртв

Это требует: паяльной станции с горячим воздухом, программатора типа UP-828 или RT-809H, программного обеспечения для работы с сырыми NAND-дампами (PC-3000 Flash, NAND Flash Tools) и понимания структуры конкретного чипа.

JTAG/ISP – менее деструктивный метод: подключение к отладочным точкам на плате для прямого чтения памяти. Работает не на всех флешках, но когда работает – это изящно.

Слой 4: Разведка по косвенным признакам (OSINT-уровень)

Помимо самих данных, флешка может рассказать много интересного:

• Серийный номер контроллера – позволяет идентифицировать партию, место производства, иногда привязать к конкретной закупке
• Идентификаторы USB (VID/PID) – логируются операционной системой хоста; если ты занимаешься расследованием, журналы Windows (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR) расскажут, когда и к каким компьютерам подключалась флешка
• Временны́е метки контроллера – некоторые контроллеры хранят внутренние временны́е метки операций, независимо от файловой системы

Мифы о «безопасном удалении»

Разберём популярные заблуждения – и я не буду жалеть чувства тех, кто в них верит.

«Я перезаписал флешку нулями 7 раз по методу Гутмана» – поздравляю, ты потратил время впустую. Метод Гутмана разработан для магнитных HDD 1996 года. На флешке wear leveling просто разложит твои «нули» по разным блокам, оставив оригинальные данные в других местах. Один проход нулями для флешки – это максимум что имеет смысл делать на логическом уровне.

«Я сделал Secure Erase» – работает только если реализован честно на уровне прошивки контроллера. У 80% дешёвых флешек эта команда либо не поддерживается, либо реализована криво. Проверить это без специального оборудования нельзя.

«Флешка сломана, значит данные недоступны» – chip-off говорит «привет».

Как на самом деле уничтожить данные

Раз уж мы здесь, дам тебе честный ответ на вопрос «как сделать флешку безопасной для утилизации»:

1. ATA Secure Erase через утилиту производителя – если контроллер нормальный, это сотрёт всё включая over-provisioned зоны
2. Полное шифрование перед использованием (VeraCrypt, BitLocker To Go) – тогда даже если кто-то вытащит сырые данные chip-off методом, он получит зашифрованный мусор
3. Физическое уничтожение – дрель, молоток, кислота, печь. Да, это звучит параноидально. Но для по-настоящему чувствительных данных – это единственный стопроцентный способ

Кейс из практики

Классика жанра: флешка корпоративного сотрудника, который «случайно» унёс домой базу данных клиентов, а потом отформатировал флешку и вернул её в офис. Через три часа работы с Autopsy и Foremost – вся база была восстановлена, вместе с временны́ми метками, именем пользователя из метаданных документов и историей подключений из реестра Windows его рабочего компьютера. Человек думал, что он умный. Флешка думала иначе.

Инструментарий форензик-аналитика

Для тех, кто хочет копать сам (легально, на своём оборудовании):

• Autopsy / Sleuth Kit – открытый форензик-фреймворк, отраслевой стандарт
• FTK Imager – снятие образов дисков, быстрый просмотр
• PhotoRec / TestDisk – восстановление файлов по сигнатурам
• Bulk Extractor – извлечение структурированных данных (emails, URLs, номера карт) из сырых дампов
• Binwalk – анализ прошивок и бинарных данных
• PC-3000 Flash – профессиональный инструмент для chip-off, стоит как небольшой автомобиль, но работает

Флешка – это не просто кусок пластика с памятью. Это цифровой свидетель, который молчит до тех пор, пока не появится кто-то с правильными инструментами. И теперь ты знаешь, что «затёртая 100 раз» – это просто красивая история, которую люди рассказывают сами себе.

Не повторяйте chip-off дома без должной подготовки. Я серьёзно – NAND-чипы нежные, паяльник безжалостный, а данные можно уничтожить физически быстрее, чем прочитать. Что иногда и является целью.

Видеорегистратор – это не просто безобидная камера на лобовом стекле, а полноценный черный ящик, который сдаст вас с потрохами при первом же удобном случае. Эти маленькие пластиковые шпионы методично пишут не только красивый пейзаж за окном, но и каждую вашу ошибку на дороге, превращая сырые байты в железобетонный приговор.​

Скрытые слои метаданных

Большинство водителей наивно полагают, что удаление видеофайла стирает все следы их ночных приключений. На деле регистратор непрерывно пишет скрытые логи: точные GPS-координаты, показатели встроенного акселерометра и реальную скорость движения в каждый момент времени. Современные форензик-инструменты легко вытягивают эту телеметрию, позволяя следователю наложить ваш маршрут на интерактивную карту и посекундно разобрать траекторию.

Хардкорная экстракция

Даже если регистратор размазало по асфальту при ДТП, для опытного криминалиста это лишь легкая разминка. Помимо банального извлечения данных с уцелевшей SD-карты, мы регулярно используем JTAG-подключение или варварский метод Chip-off, когда чип памяти выпаивается прямо с убитой платы. Если устройство поддерживает Wi-Fi или облачную синхронизацию, резервные копии маршрута часто остаются на серверах производителя или в памяти вашего сопряженного смартфона.​

Распознавание невидимого

Когда метаданные повреждены, в игру вступают алгоритмы OCR (оптического распознавания символов), которые беспощадно вытаскивают вшитые прямо в видеоряд цифры скорости и даты. Софт автоматически транскрибирует аудиозаписи салона, фиксируя ваши разговоры и звуки срабатывания систем предупреждения о столкновении. Экспертиза также может легко выявить монтаж видео по уникальному цифровому шуму матрицы (PRNU), так что склеить себе алиби в редакторе не выйдет.

Векторы сбора улик

В зависимости от состояния девайса и параноидальности водителя, цифровые следы извлекаются на совершенно разных уровнях. Ниже показано, какими путями мы достаем данные из автомобильных регистраторов.

Стерилизация следов

Если вы хотите реально защитить свои данные от изъятия, банальное форматирование флешки не спасет – только аппаратное шифрование носителя и физическое отключение записи звука. Я рассказываю вам про эти уязвимости и векторы атак исключительно для повышения цифровой грамотности, поэтому не повторяйте это дома, я серьезно.

Смарт-колонки давно перестали быть просто модными игрушками и превратились в идеальных цифровых стукачей, скрупулезно документирующих каждый ваш чих. В этой статье я покажу, почему ваши Алиса, Siri и Alexa знают о вас больше, чем ваш собственный адвокат, и как их логи рутинно используются в судах.

Анатомия цифрового предательства

Многие наивно верят, что колонка слушает вас только после произнесения кодового слова, но на деле микрофоны постоянно работают в режиме фоновой буферизации. Главным клондайком для следователя становится даже не сама пластиковая коробка на столе, а привязанный к ней личный смартфон, хранящий гигабайты системного кэша. С помощью мобильных форензик-инструментов из приложений-компаньонов легко вытаскиваются голосовые записи, списки бытовых задач и точные тайминги вашей активности.​

Алиса и товарищ майор

Отечественная Алиса глубоко интегрирована в экосистему умного дома, поэтому собирает массу информации с датчиков движения, умных розеток и камер. При получении судебного или физического доступа к серверам Яндекса следователи могут составить поминутный распорядок вашего дня и детально изучить историю поисковых запросов. Если вы сдуру задали колонке провокационный вопрос, ассистент зафиксирует эту запись на сервере, что в теории легко становится основой для реального уголовного дела.​

Иллюзия приватности от Siri

Apple обожает громко заявлять, что Siri обрабатывает большинство запросов локально на устройстве и принципиально не привязывает их к вашему личному аккаунту. Вместо прямой привязки корпорация использует случайные криптографические идентификаторы для обезличивания данных при их отправке в защищенное облако. Тем не менее, при физическом изъятии разблокированного iPhone грамотный криминалист всё равно без проблем вытащит локальную историю вашего плотного общения с ассистентом.

Прецеденты с Amazon Alexa

В западной судебной практике ордера на обыск серверов Amazon для извлечения пользовательских данных стали абсолютной криминалистической рутиной при расследовании тяжких преступлений. Еще в 2016 году в штате Арканзас полиция впервые официально изъяла аудиозаписи устройства Echo, чтобы доказать присутствие подозреваемого на месте убийства. При этом иногда гаджеты играют и на сторону защиты: зафиксированные логи заказа песен и глупых шуток реально помогли адвокатам доказать железное алиби своих клиентов.​

Данные цифровых свидетелей

Если вы думаете, что все ассистенты сдают вас совершенно одинаково, то с точки зрения цифровой форензики вы глубоко заблуждаетесь. Подход к извлечению улик напрямую зависит от архитектуры конкретной операционной системы и методов обработки пользовательских запросов в компании. Ниже показано, какие именно следы оставляет каждая колонка и где следователь будет их искать в первую очередь.

Минимизация цифровых следов

Извлечение критичных данных чаще всего происходит из сопряженного смартфона, поэтому банальная установка криптографически стойкого пароля на мобильный заметно усложнит жизнь любому криминалисту. Регулярная ручная очистка истории голосовых запросов на серверах провайдера также снижает объем потенциальных улик, которые могут быть выданы по запросу следствия. Я рассказываю эти методы исключительно для понимания архитектуры уязвимостей, поэтому не повторяйте это дома, я серьезно.

Контекстная реклама – это не просто раздражающие баннеры со скидками, а глобальная система слежки, которая через методы ADINT (Advertising Intelligence) позволяет вытащить точные координаты и интересы любого смартфона. Рекламные сети собирают гигантские массивы данных, и грамотный форензик-специалист всегда найдет способ превратить эту сырую базу в железные доказательства.

Иллюзия цифровой анонимности

Вы думаете, что режим инкогнито и VPN делают вас неуловимыми ниндзя, но за годы в форензике я насмотрелся на таких наивных мамкиных хакеров. Рекламные корпорации безжалостно связывают ваши устройства воедино: зашли в рабочую почту с домашнего ПК, а потом заказали такси со смартфона – система вас уже «склеила» в единый профиль. Каждому пользователю присваивается уникальный рекламный идентификатор (MAID), который по факту работает как неснимаемый цифровой маячок в вашем кармане.

Взлом через интересы

Рекламные площадки заботливо сегментируют свою аудиторию по возрасту, полу, уровню дохода и поисковым запросам. Если загрузить номер телефона или email цели в инструмент оценки аудитории рекламного кабинета, можно получить подробный поведенческий портрет человека. Вы узнаете, чем объект увлекается, куда планирует поехать и какие специфические запросы гуглит по ночам, просто анализируя предиктивную статистику рекламной платформы.

Геофенсинг как капкан

Самый изящный трюк – это создание геотаргетированной рекламной кампании с жестким радиусом показа всего в 500 метров от предполагаемого места жительства или работы объекта. Как только устройство жертвы оказывается в этой физической зоне и выходит в сеть, объявление срабатывает, а в логах кабинета рекламодателя немедленно фиксируется показ. Платформы обычно требуют загружать базы от 100 контактов для запуска, но разбавить номер реальной цели 99 случайными «пустышками» – это элементарная база OSINT.

Утечки рекламных торгов

Во время загрузки практически любой веб-страницы под капотом происходит микро-аукцион (Real-Time Bidding), где бренды торгуются за право показать вам свой баннер. В эти миллисекунды рекламные платформы непреднамеренно сливают брокерам частичные данные о точной геолокации и технических параметрах устройства. Грамотный перехват таких RTB-утечек позволяет отслеживать физические перемещения пользователя по городу с пугающей точностью, даже если он ничего не кликает.​

Сравнение методов слежки

Для понимания всего арсенала, посмотрите на разницу между классическими форензик-инструментами и рекламной разведкой.

Этика и закон

Прежде чем вы побежите загружать базу контактов своих бывших в Яндекс.Директ, охладите пыл. Подобные манипуляции с чужими персональными данными находятся на грани уголовного кодекса, а сами платформы жестко банят за попытки деанонимизации. Не повторяйте это дома, я серьезно: этот инструментарий создан для расследования реальных киберинцидентов, а не для развлечения сталкеров-любителей.

Цифровые граффити – это те самые небрежно оставленные байты информации, по которым грамотный специалист вытащит вас за ушко даже из самого глубокого даркнета. Забудьте сказки про абсолютную анонимность: каждый ваш токсичный пост на борде или сообщение в “секретном” чате – это жирная мишень для тех, кто умеет собирать и анализировать данные.

Иллюзия имиджборд

Многие наивные пользователи верят, что площадки вроде Двача (2ch.hk) дарят им шапку-невидимку за счет отсутствия обязательной регистрации. На деле же уникальный сленг, привычка использовать одни и те же никнеймы и случайно залитые оригиналы фотографий с EXIF-метаданными моментально хоронят эту легенду. Стоит вам лишь раз засветить геотег или кусок вида из окна, как вас деанонимизируют быстрее, чем вы нажмете кнопку удаления. И да, не повторяйте это дома, я серьезно.

Архивы старых форумов

Классические форумы и нишевые борды – это настоящая золотая жила для построения хронологии событий и составления психологического профиля цели. Изучая старые базы данных, пути распространения пригласительных ссылок и архивные переписки, мы легко связываем разрозненные профили в одну красивую паутину. Кросс-проверка этих цифровых огрызков позволяет без лишнего шума вычислить не только реальные ФИО “анонима”, но и его актуальное место работы.

Дырявые Telegram-чаты

Закрытые группы в мессенджерах давно стали иллюзией безопасности, ведь история изменения имен пользователей и названий каналов отлично логируется и индексируется. Скармливая специализированным базам пару долларов, можно вытащить всю историю миграции юзера по чатам, даже если он давно оттуда ливнул. Если цель хотя бы раз засветила там привязанный номер или оставила зацепку для умного поиска через операторы вроде intitle:, ее раскрытие – лишь вопрос времени.

Инструментарий параноика

Для препарации чужих цифровых следов профи не используют магию, а опираются на жесткую методологию и специализированный софт. Выбор конкретного подхода всегда зависит от того, какой именно мусор оставил после себя объект расследования.

Любой неосторожный клик навсегда отпечатывается на серверах, поэтому всегда думайте головой, прежде чем нажать “Отправить”.