Zer0Kernel Security Community — 🕵️OSINT

Чем Passive DNS отличается от активного резолвинга​

Какие данные хранятся в Passive DNS​

• A / AAAA — привязка домена к IPv4/IPv6-адресу.
  
• NS — делегирование зоны на конкретные серверы имён.
  
• MX — почтовые серверы домена.
  
• CNAME — псевдонимы, указывающие на другие домены.
  
• SOA — информация о зоне и ответственном сервере.
  

Основные сервисы Passive DNS​

VirusTotal​

Российские реестры юридических лиц​

ЕГРЮЛ и ЕГРИП (ФНС России)​

• Полное и сокращённое наименование, ОГРН, ИНН, КПП.
  
• Дату регистрации и текущий статус (действующее, ликвидировано, в процессе реорганизации).
  
• Юридический адрес и сведения об учредителях/участниках.
  
• Размер уставного капитала.
  
• Коды ОКВЭД (основной и дополнительные).
  
• Записи о лицензиях, филиалах, изменениях.
  

Федресурс​

• Банкротство (наблюдение, конкурсное производство, мировое соглашение).
  
• Реорганизация и ликвидация.
  
• Залоговые обязательства.
  
• Результаты аудита.
  
• Сведения о лизинге и концессиях.
  

Реестр дисквалифицированных лиц​

Судебные дела​

Как работает Have I Been Pwned​

• Только публичные данные. В базу попадают утечки, которые уже стали достоянием общественности или были переданы исследователями.
  
• Хеширование на стороне клиента. При проверке пароля через Pwned Passwords сервис использует k-анонимность: ваш пароль хешируется локально (SHA-1), и на сервер отправляются только первые 5 символов хеша. Полный пароль никогда не покидает браузер.
  
• Привязка к инцидентам. Результат показывает не просто факт утечки, а конкретный сервис и тип скомпрометированных данных.
  

Проверка email-адреса​

• Список утечек, в которых засветился адрес.
  
• Для каждой утечки: название сервиса, дату инцидента, количество затронутых записей и категории данных (пароли, email, IP-адреса, физические адреса и т. д.).
  
• Отдельный блок Paste breaches — упоминания в публичных вставках на Pastebin и аналогичных площадках.
  

Базовые операторы и их назначение​

Поиск по конкретному домену​

site:example.com filetype:pdf
site:sub.example.com
site:*.example.com
site:.gov filetype:xls "budget"

Поиск файлов по расширению​

Зачем OSINT-исследователю нужен формализованный отчёт​

• Воспроизводимость. Любой квалифицированный читатель может повторить цепочку рассуждений и убедиться, что выводы следуют из данных.
  
• Юридическая и процессуальная ценность. Если результаты используются в комплаенсе, внутреннем расследовании или судебном процессе, документ должен выдерживать scrutiny по методологии.
  
• Передача знаний. Отчёт позволяет команде масштабировать работу: один аналитик собирает, другой верифицирует, третий принимает решение.
  

Общая структура документа​

Титульная страница и метаданные​

• Название отчёта или кодовое обозначение расследования.
  
• Дата составления и дата последнего обновления.
  
• Автор или команда.
  
• Уровень конфиденциальности (например, Internal, Confidential, Restricted).
  
• Версия документа (если отчёт обновляется итеративно).
  
• Дисклеймер о том, что исследование проводилось исключительно по открытым источникам.
  

Что делает скриншот проверяемым​

Визуальный анализ: что выдаёт подделку​

Шрифты и рендеринг текста​

• Шрифт не соответствует платформе. Например, в Telegram на Android используется Roboto, на iOS — San Francisco, на десктопе — системный шрифт ОС. Если в «скриншоте с Android» текст отрендерен шрифтом, характерным для iOS, это красный флаг.
  
• Неравномерное сглаживание. При вставке текста через графический редактор антиалиасинг часто отличается от системного.
  
• Несовпадение размера шрифта между элементами одного интерфейса (заголовок чата, тело сообщения, временная метка).
  

Элементы интерфейса​

• Иконки, кнопки и индикаторы состояния (заряд батареи, сигнал сети, время в статус-баре) должны соответствовать конкретной версии ОС и приложения.
  
• Статус-бар Android и iOS различается расположением иконок, форматом времени и индикаторами. Подделка часто выдаёт себя смешением элементов разных платформ.
  
• В мессенджерах обращайте внимание на цвет пузырей сообщений, расположение галочек прочтения, формат временных меток. Эти детали меняются между версиями приложения.
  

Геометрия и выравнивание​

• Пиксельная сетка...

Что реально можно узнать по номеру телефона​

• Имя или никнейм, привязанный к номеру в мессенджерах и соцсетях
  
• Аватар и статус в Telegram, WhatsApp, Viber
  
• Профили в социальных сетях, если номер указан как способ связи или восстановления
  
• Упоминания номера на форумах, досках объявлений, в комментариях
  
• Наличие номера в публичных утечках баз данных (проверка через специализированные сервисы)
  
• Регион и оператор по префиксу номера (нумерация открыта)
  
• Связанные аккаунты на маркетплейсах и сервисах доставки, если номер используется как логин
  

Мессенджеры как основной источник​

Telegram​

• Добавить номер в адресную книгу телефона и открыть Telegram — если аккаунт существует и настройки приватности не ограничивают видимость, профиль отобразится.
  
• Поиск по номеру в самом Telegram не работает напрямую, но работает через контакты.
  
• Боты-агрегаторы (например, те, что индексируют публичные данные из утечек) могут показывать привязку номера к username. Использование таких ботов находится в серой зоне: они оперируют данными, полученными из утечек, и их легитимность зависит от юрисдикции.
  

WhatsApp​

Что индексируют Shodan и Censys​

• инвентаризации собственной инфраструктуры и обнаружения забытых сервисов;
  
• оценки поверхности атаки организации (attack surface management);
  
• исследования распространённости протоколов и конфигураций;
  
• проверки корректности TLS-настроек;
  
• академических и журналистских расследований в рамках открытых данных.
  

Синтаксис поиска Shodan​

Основные фильтры​

Что даёт сам формат адреса​

• Корпоративный домен ([email protected]) — подтверждает принадлежность к организации. По домену можно определить сайт, технологический стек, размер компании.
  
• Публичный провайдер ([email protected], [email protected]) — не привязывает адрес к конкретной организации, но указывает на экосистему сервисов.
  
• Собственный домен ([email protected]) — часто означает, что человек сам администрирует инфраструктуру.
  

RDAP и WHOIS: данные о регистрации домена​

curl -s "https://rdap.org/domain/example.com" | jq '.entities[] | select(.roles[] == "registrant") | .vcardArray'

Что технически означает «поиск по никнейму»​

Какие данные доступны на основных платформах​

Telegram​

• Имя и фамилия — задаются пользователем, могут быть вымышленными.
  
• Username (@handle) — уникален, индексируется глобальным поиском.
  
• Фото профиля — видимо всем, если не ограничено настройками.
  
• Bio (описание) — до 70 символов, публично.
  
• Номер телефона — по умолчанию скрыт; виден только если пользователь сам разрешил показ или если номер уже есть в ваших контактах.
  
• Общие группы — видны при просмотре профиля.
  
• Статус «онлайн» — отображается, если пользователь не скрыл его в настройках.
  

ВКонтакте​

• Имя, фамилия, отчество — указываются при регистрации.
  
• Короткий адрес (vanity URL) — аналог никнейма, индексируется поиском.
  
• Фотографии, стена, друзья, группы — видимость зависит от настроек приватности конкретного профиля.
  
• Дата регистрации — не отображается напрямую, но может быть определена по ID (чем меньше числовой ID, тем раньше зарегистрирован аккаунт).
  
• Город, учебные заведения, место работы — заполняются добровольно, видимость настраивается.
  

X (Twitter)​

• Display name...