Телеграм-Деанонимайзер

по голосовым сообщениям в телеграм можно легко идентифицировать платформу.

для этого используем команду:
exiftool -a -G1 -u voice.ogg

теперь смотрим поле Vendor,

iPhone - libopus 1.5.1
Android - libopus unknown-fixed
Telegram Desktop (macos) - Lavf60.16.101
macOS native - libopus 1.3.1-fixed
Telegram X - libopus unknown
Telegram Web K - tweb (да, чего стесняться)
Telegram Web A - telegram-web-a (тем более)

ставьте лайки, делитесь с друзьями 👍

вот демонстрация что это более чем реально за 30 секунд.
учтите:
1. плохой интернет (как скорость так и задержка - в боте видно)
2. не сделал автоматизацию входа - кликнул сам по ссылке в браузере
3. не закрыл вкладки, но как видите времени между отправкой ссылки и удалением сообщения о входе достаточно.

💥 Telegram можно крашить ОДНИМ СТИКЕРОМ — по чатам раскидывают «звезду смерти».

Файл весит всего 269 байт, а внутри спрятана звезда с параметром примерно в 10³⁸ точек. Telegram на iOS и Desktop пытается отрисовать этот артефакт, забивает память и просто вылетает.

😳 Причём ничего нажимать особо не надо. Достаточно открыть чат, где лежит проблемный стикер или эмодзи, и приложение может начать падать снова и снова. У некоторых оно вообще закрывалось почти сразу после запуска.

Android оказался умнее: его новый Lottie-рендер упирается в лимиты и не пытается нарисовать звезду размером с конец Вселенной. На комп уже выпустили версию 7.2.7 с прямым фиксом. На iPhone патч уже готовят, но стабильное обновление ещё раскатывается.

@overlamer1

Продолжаю развивать легальную базу для российских OSINT-исследователей:

OSINTbro — портативный браузер для интернет-расследований и разведки по открытым источникам (OSINT), созданный на базе Opera Portable. Проект представляет собой готовое рабочее окружение, которое функционирует без установки на компьютер прямо с USB-флешки. Браузер содержит 1000+ структурированных OSINT-ресурсов, инструментов и поисковых закладок. Запускается на любом ПК без конфигурации, сохраняя рабочие сессии и историю внутри внешнего накопителя.

OSINT_links — готовый файл закладок на OSINT-ресурсы, которые можно импортировать в Яндекс.Браузер, Chrome, Firefox, Safari и другие популярные браузеры.

https://t.me/project_OSINTbro

📱 Telegram | 🌐 ВК | 📲 MAX
📲 RUTUBE | 🌍 VK Видео

Небольшое оглавление канала которое будет обновляться:

🚀 Проекты / реализации / небольшие скрипты
1. Swiftgram это honeypot
2. Geosharebot
3. Бот-форвардер личных сообщений
4. Анонс проекта по записи звонков
5. Скрипт для получения данных с attestation.app
6. Скрипт сужения круга по цвету аватарки Telegram

⸻

🔥 Критичные исследования / атаки
7. Telegram неанонимен
8. Карта датацентров Telegram
9. О датацентрах Telegram
10. Компрометация всех устройств через RootCerts
11. Использованные 0day список
12. Утечка данных через Telegram MiniApp
13. Фингерпринтинг звонков Telegram
14. Отслеживание сессий через секретные чаты
15. Утечка гео IP и timezone через ChatGPT
16. Probe request фингерпринтинг

⸻

🧠 Метаданные / деанонимизация
17. Утечка метаданных платформы через изображения в Telegram
18. Криминалистический анализ изображений без метаданных
19. Метаданные в Android-скриншотах
20. Утечки через сканеры транзакций
21. IMEI → модель устройства → сужение круга
22. Геолокация по BSSID
23. Connectivity check endpoints
24. Метаданные алгоритмов хеширования в парольных менеджерах
25. Отслеживание аномалий по ID сообщений Telegram

⸻

🧩 Telegram: механика и связи
26. Telegram Web скрывает auth_key_id
27. api_id в сессиях Telegram
28. Сессии ботов через клиенты Telegram
29. Связь аккаунтов в Telegram
30. Каналы и супергруппы видны после выхода
31. Утечки через автоудаление
32. Дополнительные ошибки Telegram
33. Секретные чаты для Desktop
34. Как работает 2FA Telegram

⸻

🧪 Концепты / исследовательские идеи
35. Идея анализа софта
36. Перегенерация реальных изображений
37. Agent mode ChatGPT и анонимность
38. Локальное использование ИИ для безопасности
39. Федеративные модели в i2p
40. RSS как инструмент анонимности
41. Android + USB HID (идея)

1-click Telegram для Android

спасибо за предложенные 100$, но пост для канала мне сердцу дороже

@durov

если вы нажмете на эту ссылку на текущей версии Telegram для Android, да и на предыдущих, у вас откроется miniapp безо всяких предупреждений. сейчас попробую расписать проблему:

помните я писал про уязвимость с прокси? забудьте.
здесь утекает вся инфа webview браузера, user-agent например, ip, разрешение экрана, можно js любой встроить и выполнить (например собрать отпечаток). человек просто жмет на юзернейм, и вся инфа утекает.
но также это не простой логер данных браузера:

кто не знал, в miniapp встроена авторизация telegram. можно настроить сервер таким образом что человек просто нажмет на ссылку или юзернейм допустим в канале и у вас появится информация о его аккаунте, о его айпи, юзер агенте, ну и других метаданных, подробнее смотрите на сайте тг что доступно миниаппам.

бонусом - фишинг поддержка телеграм может отправлять безобидные ссылки https://telegram.org за которыми будет скрыт запуск miniapp с вредоносным url. эти вредоносные ссылки не видны пользователю при запуске miniapp

я также расписывал telegram security что через бизнес бота можно создать огромную зеленую кнопку, ссылки на телеграм за которой будут работать при первом контакте. (то есть если человек при первом контакте скинет ссылку/юзернейм - будут некликабельными, но если через бизнес бота кнопку инлайн слать - все обойдется). ну они мне сказали что это соц инженерия и послали.

уязвимость с утечкой данных о любом Android пользователе Telegram при нажатии на безобидный с виду юзернейм / ссылку стоит 100$?
почему?

В MiniApps Telegram обнаружена серьезная архитектурная уязвимость изоляции контекста...

Что это даёт злоумышленнику:
Фоновое мини-приложение в любой момент может незаметно включить кейлоггер и перехватывать все нажатия клавиш пользователя.
Кроме того, оно способно заблокировать ввод текста прямо внутри мессенджера — пользователь просто не сможет писать сообщения.

Но и это не всё. Из-за той же уязвимости изоляции фоновое приложение умеет эмулировать действия жертвы и в обход стандартов W3C подменять содержимое буфера обмена (клиппер).

📱 Telegram | 🌐 ВК | 📲 MAX

У любого стикерпака в Telegram есть невидимая “бирка” в которой зашит ID создателя.

Теперь бот умеет его определять. Скиньте в @unamer_robot любой стикер из любого пака и в ответ придёт:
• Название пака
• Telegram ID автора-владельца
• «Номер пака» - какой по счёту он у этого автора

Удобно, когда в чат прилетел свежий пак, а кто его автор - непонятно или вы ищете человека, который сменил @username, но забыл про свои паки или просто хочется узнать автора прикольных стикеров.

Бесплатно.

PS: Если бот пишет "⚠️ Сервис временно недоступен" - подождите 2 минуты и попробуйте снова.

The Basics of #OSINT Investigations on #Telegram

1. Using Dorks
2. Look under the hood: viewing the full page description
3. Playing with preview channel URLs
4. How to find the exact date and time of a post
5. The power of web archives and cache

https://hackyourmom.com/en/kibervijna/60897/

Waybien

#OSINT

Поиск групп и каналов по ключевым словам в популярных мессенджерах и социальных сетях. Результаты можно отсортировать по географии, языку, тематике канала и количеству участников.

Ссылка на сервис

LH | News | OSINT | AI

🥸Неофициальный клиент Telegram уличили в сборе телефонов

В неофициальном клиенте Telegram Nekogram нашли обфусцированный код, который скрыто отправлял боту @nekonotificationbot номера телефонов пользователей вместе с идентификатором аккаунта. Проблему обнаружили исследователи, изучавшие готовые сборки приложения.

Сбор данных присутствовал только в APK, распространявшихся через Google Play, GitHub и Telegram-канал проекта. В открытом исходном коде на GitHub и в пакете из F-Droid такого изменения не было, что делает ситуацию особенно тревожной.

После публикации находки автор Nekogram признал отправку номеров своему боту, но причин не объяснил. При этом он заявил, что телефоны не сохранялись и никому не передавались, хотя исследователи считают, что данные могли собираться для базы, интересной создателям OSINT-ботов.

#Telegram #Nekogram #Кибербезопасность

@SecLabNews

Tgspyder

#OSINT

OSINT‑инструмент для структурированного сбора и анализа данных Telegram, созданный для аналитиков, журналистов и исследователей. Он позволяет собирать пользователей, сообщения, приглашения и метаданные из публичных и приватных групп и каналов и экспортировать всё в удобные для расследования CSV‑файлы.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Как анонимно создать и использовать бота в Telegram через супергруппу

#телеграмботы #полезное #гайд

Создание собственного бота в Telegram давно перестало быть задачей только для разработчиков. Пара минут в чате с BotFather, немного кода или даже готовый конструктор — и бот уже отвечает на сообщения. Гораздо сложнее вопрос анонимности. Можно ли управлять ботом так, чтобы в логах, обновлениях и технических данных не фигурировал личный аккаунт? И возможно ли разместить токен в недоверенной среде без прямой привязки к профилю владельца?

Telegram даёт такую возможность, но с оговорками. Речь идёт не о полной анонимности уровня даркнета, а о практической изоляции идентификаторов пользователя от технической инфраструктуры бота. Рабочая схема строится вокруг супергруппы и механизма анонимного администратора. Ниже — подробное объяснение того, как работает подход, где его границы и какие риски остаются.

🔗 Подробнее изучить тут

LH | News | OSINT | AI

С 8 Марта! Пусть весна подарит тепло, любовь и много поводов для улыбки. Будьте счастливы и любимы! 🌷✨

Мошенники внедряют схему хищения Telegram-аккаунтов через "переезд" чата, предупредили в МВД.

В чатах публикуется псевдоофициальное сообщение о том, что из-за "замедления работы" чат якобы переносится на новую площадку. Ссылка аферистов ведет не в новый чат, а в бот. Под предлогом "подтверждения участия" запрашивается номер телефона и код из SMS.