Разоблачение псевдо-анонимности: анализ цифровых следов

Называть себя "доксером" - это одно, но соответствовать заявленным параметрам - совершенно другое.

Ввод в курс дела: предметом анализа стал индивид, позиционирующий себя как "горедоксер", который распространяет провокационные высказывания, находясь при этом на территории Российской Федерации. ( https://t.me/biotopf/42 )

Мотивация подобных действий:
Данная тактика преследует цель создания ложного ощущения безопасности - субъекты пытаются имитировать нахождение в другой юрисдикции (что не обеспечивает реальной защиты).

Технический аспект:
Примечательно, что идентификация подобных актёров доступна даже стандартным нейросетевым алгоритмам. Проведенный анализ архивных данных и технических следов демонстрирует удивительную некомпетентность в вопросах цифровой безопасности - субъект оставляет многочисленные цифровые отпечатки.

Масштабируемость метода:
Представленная методика проверена на 12 различных субъектах и показала 100% эффективность. Каждый проанализированный индивид оставлял достаточное количество цифровых следов для полной идентификации.

Объект исследования:
Username: @torisov
ID: 7887052978
ID mentions: 1d61ae0b2_81d670e2e4a5db50

Примечание: приведенные данные являются иллюстрацией универсального метода, а не персональной целью.

Разоблачение Doxgram: клиент, который видит всё

Заявление о безопасности - это одно. Соответствовать ему - совсем другое.

Объект анализа: неофициальный клиент Doxgram. VirusTotal: https://www.virustotal.com/gui/file/0c4b516aa25310d452cc714132ed472a337ffed964a5fe02453d5b14838281dd

Что не так с разрешениями:

Календарь (READ_CALENDAR, WRITE_CALENDAR)

Фоновый микрофон (FOREGROUND_SERVICE_MICROPHONE)

Рекламные ID (ACCESS_ADSERVICES_AD_ID)

Буфер обмена (READ_CLIPBOARD)

Аккаунты устройства (MANAGE_ACCOUNTS)

Сравнение с официальным Telegram: https://www.virustotal.com/gui/file/156f956531d732b452b2d7b087d119250cbe19dc19d6fad9ba265543baa9b780
Официальный клиент запрашивает только необходимые разрешения. Doxgram собирает данные, не связанные с работой мессенджера.

Вывод: Антивирусы не обнаруживают угроз, но разрешения позволяют собирать ваши данные независимо от API Telegram. Это инструмент сбора информации под видом мессенджера.

Рекомендация: Используйте только официальные клиенты.

UPD: Новые данные сетевого анализа

Doxgram активно передаёт данные третьим сторонам:

Google-сервера (142.250.152.147:443)

Cloudflare (172.67.151.52:443, 104.21.64.137:443)

Рекламные системы (ads.telegram.org)

10+ внешних серверов

Официальный Telegram использует только свои серверы (149.154.167.51) и сервис обновлений.

Кто являются адептами этого ритуала?
Как правило, это лица, находящиеся в перманентном поиске социальной значимости, компенсирующие недостаток реальных компетенций созданием видимости влияния.

В чём заключается ритуал?
Индивид публично провозглашает о «конфискации» цифровой идентичности оппонента. На деле же мы наблюдаем классический пример символического суррогата действия — жеста, имитирующего реальную силу там, где её нет. 🤡

Какова истинная цель?
Создание искусственного поля для торга, где предметом сделки становится возврат неотчуждаемых прав — то есть попытка монетизации иллюзии.

Почему это явление вызывает скорее жалость, чем страх?

1. Декларируемое «всемогущество» ограничивается текстовым сообщением в чате. Ни о каком реальном воздействии на аккаунты или данные речи не идёт.
2. Это инфантильная форма киберсоциализации. Поведенческий паттерн, характерный для лиц, не освоивших взрослые модели разрешения конфликтов.
3. Попытка возвести собственную несостоятельность в ранг инструмента влияния.

Резюме:
Мы имеем дело не с угрозой, а с театром абсурда, где актёры, не обладая де-факто никакой властью, играют роль карателей в надежде на монетизацию своего позёрства.

Единственная адекватная реакция — лишить этот ритуал социального подкрепления. Ваше безразличие — лучший способ продемонстрировать истинную цену подобных заявлений.

«Ты провел анализ в рамках болота (нынешнего комьюнити деонеров/сваттеров/сроляк и подобных)… пустослови.»

«Я про комьюнити криминалов в тг… приватное. Болото — это самое низшее.»

«Если ты основываешь свои анализы только на самом пустословном комьюнити докса — то ты позерник.»

«Я с киллмилком пиздился не раз.»

«Ты хуйню строчишь, не зная о чём пишешь. Псевдоинтеллектуализм.»

«Ты обманул подписчиков, это кликбейт.»

«Ты путаешь окончания слова "лик".»

«С таких как ты ток угарать можно.»

├── ИДЕНТИФИКАЦИЯ
│ ├── ID: 7214142029
│ ├── ЮЗЕРНЕЙМ: yuzonginovv
│ └── ИМЯ: #йуцонгинов #WhiteExodus
├── МЕДИА
│ ├── Тип медиа: video/mp4
│ └── Имя файла: meme.mp4

«Замбубокси своего батька лысого пид...»

«Это называется у тя мать сдо..»

Неважно, что говорят про цифры те, кто не способен собрать вокруг себя даже пятерых. Важно, что здесь те, кому это действительно нужно. 😏

🔍 Что такое OSINT на самом деле?
🧐 Кто и как его использует (спойлер: все).
💡 Примеры из жизни — от бытовых до расследований.
💼 Как на этом навыке можно построить карьеру и заработать.

🆘 ИНСТРУКЦИЯ:


Нагрузка: Найдите в переписке 50–100 сообщений с рабочими запросами.

Важно: Не просто текст «привет», а команды, которые заставляют бота думать (обращаться к базе данных, искать что-то, скачивать). Именно такие запросы вешают основной поток.

Действие: Перешлите их в бота пачкой (одним махом).

Результат: Если бот перестал отвечать — у вас, как и у нас ранее, забивается Event Loop или блокируется поток. Никакая платная подписка не решит проблему, нужно править код.

1️⃣ Услуга: «СН0С» (Ban)

🧠 В голове покупателя: Хакеры запускают 0-day эксплойт, сервера Telegram дымятся, канал врага испаряется вместе с его сим-картой.

🤡 Реальность: Твой «наемник» заходит с трех твинков, жмет кнопку «Пожаловаться -> Спам» и идет пить какао. Если канал не упал (а он не упадет) — тебе скажут: «Там стоит анти-снос v.2.0, нужно доплатить 500р за VIP-спутник».

2️⃣ Услуга: «СВ@Т» (Swatting)

🧠 В голове покупателя: Спецназ выбивает окна, вертолеты кружат над районом, враг лежит лицом в пол.

🤡 Реальность: «Дефер» заказывает на адрес жертвы суши или такси с оплатой наличными. Уровень терроризма: «Нагадил под дверь». Максимум экшена — это звонок в дверь от курьера Яндекс.Еды. Враг не уничтожен, он просто сыт.

3️⃣ Услуга: «ПР0БИВ» (Dox)

🧠 В голове покупателя: Взлом баз ФСБ, доступ к камерам «Безопасный город», детализация звонков за 10 лет.

🤡 Реальность: Дефер берет юзернейм, вставляет в бесплатного бота (который есть у каждого школьника) и кидает тебе скриншот с фамилией, которую жертва сама указала ВКонтакте в 2016 году. Ты заплатил за то, что поленился погуглить.

4️⃣ Услуга: «ПОМОЩЬ ПРИ СКАМЕ»

🧠 В голове покупателя: Вы разрабатываете гениальную схему в стиле «11 друзей Оушена», уходите от налогов и скрываетесь в Дубае.

🤡 Реальность: Тебе скидывают мануал «Как продавать воздух на Авито» 2018 года. Вся «помощь» заключается в совете: «Ну ты это... короче... ссылку кинь и скажи, что там деньги». Волк с Уолл-стрит плачет в сторонке.

5️⃣ Услуга: «ОБУЧЕНИЕ»

🧠 В голове покупателя: Академия КГБ, курсы социальной инженерии, Python для хакеров.

🤡 Реальность: Тебе кидают zip-архив весом 2 ГБ, внутри которого — текстовые файлы с мертвыми ссылками и вирусы, которые сожрут ТВОЙ же компьютер. Первый урок обучения: «Как не быть лохом». И ты его провалил, купив этот архив.

6️⃣ Услуга: «ПОДДЕРЖКА 24/7»

🧠 В голове покупателя: Колл-центр в бункере, операторы на линии, мгновенная реакция.

🤡 Реальность: — 14:00: «Я в школе». — 18:00: «Я делаю уроки». — 22:00: «Мама забрала телефон». Вся их «24/7» поддержка работает по графику 6-го «Б» класса.

⛔ 1. Вектор: Traffic Correlation (Netflow v9)

Вы думаете, туннель скрывает всё? Он скрывает контент, но не физику. Взгляните на логи маршрутизатора. Это называется Side-Channel Attack.

Лог вашего Провайдера (ISP): Src: 192.168.1.5 (Ваш ПК) -> Dst: 185.213.154.2 (Mullvad Node) Proto: UDP | Len: 1350 bytes | Time: 14:00:01.100

Лог на входе Telegram (условно доступен спецслужбам/аналитикам): Src: 185.213.154.2 (Mullvad Node) -> Dst: 149.154.167.50 (Telegram) Proto: TCP | Len: 1350 bytes | Time: 14:00:01.105

👁 Что видит алгоритм: Пакет размером 1350 байт вошел в VPN в .100, а вышел из него в .105. Delta T = 5ms. Совпадение 99.9%. Им не нужно расшифровывать ваше сообщение. Им достаточно сопоставить тайминги и размер пакетов. Вы спалились, даже не начав писать.

🖥 2. Вектор: WebGL & Canvas Fingerprinting

Вы сменили IP, почистили куки. Но вы забыли про GPU. Ваша видеокарта рендерит графику с микроскопическими уникальными артефактами.

Зайдите в консоль браузера и посмотрите, что сайт видит без всяких куки

Вы можете менять VPN хоть каждые 5 минут. Но Canvas Hash останется c8f92a18.... Система видит: "О, опять этот юзер с RTX 3060 и уникальным аудио-драйвером зашел. Привет, Петя."

{
  "Unmasked Vendor": "NVIDIA Corporation",
  "Unmasked Renderer": "GeForce RTX 3060/PCIe/SSE2",
  "Canvas Hash": "c8f92a18d504...",
  "AudioContext Hash": "7d9f2c11..."
}

🔒 3. Вектор: TLS Fingerprinting (JA3)

Даже само рукопожатие (Handshake), когда вы соединяетесь с сервером, уникально. Это называется JA3 Hash. Оно зависит от порядка шифров, версии TLS и расширений, которые использует ваш клиент.

Пример вашего "отпечатка пальца" в зашифрованном трафике: JA3: 769ac3d4e8a1d567...

Если вы используете специфическую сборку браузера (например, Dolphin Anty или Sphere) или скрипт на Python — ваш JA3 будет светиться как новогодняя елка среди обычных юзеров Chrome. Вас видно не по IP. Вас видно по тому, КАК ваш софт стучится в сеть.