Кратко
Методичка по OSINT: как по домену, хостингу, DNS, содержимому и трафику выйти на владельца, администратора и разработчика сайта. WHOIS после GDPR ненадёжен, но побочных следов хватает. Выжимка полуторачасовой лекции для служб безопасности и следователей: ≈17 минут, вопросов из зала не было.
Главное
- Уберут из смартфонов USB Type-C — криминалистике «будет просто не к чему» подключаться, расти будет анализ данных. Роли: владелец (домен, хостинг), администратор (контент), разработчик (движок). Портативная Opera от T.Hunter: с флешки, «больше 2000 источников», в основном бесплатно.
- WHOIS деградировал: домены «регистрируются из рук вон плохо», после GDPR — «частная персона». Выход: архивы WHOIS, сервисы на слайде.
- «Офф-топик»: в августе ВС РФ, по словам спикера, обязал бизнес сам выявлять typosquatting и мошенничество. Бесплатно: DNSTwister, DNSTwist, третий (не распознан); IntelX, Have I Been Pwned — утечки по домену.
- Cloudflare создан против DDoS, но «активно используется правонарушителями»; снять «можно не всегда»: URLScan и VirusTotal (индексировали раньше), «утечки самого Cloudflare», DNS, верификация в Яндексе и Google, эквайринги, повтор SSL и favicon.
- DNS-записи хранят связанные серверы: часть вне Cloudflare, часть в РФ — наркоторговые и дезинформационные, «много попадалось». Октябрь 2021: при сбое «запрещенной и террористической в России» соцсети заходил «по IP-адресу».
- Контакты — в теле сайта и в утечках: архивные WHOIS, «миллионные утечки» по домену (маска почты, имена, пароли); подбор по маске office, contact, admin, support, HR, PR с проверкой SMTP.
- Файлы — VirusTotal и dorks, ценны метаданные. Кейс 2025 года: сайт против конкурента, картинки с iPhone — геолокация оказалась адресом дома подозреваемого. Ещё robots.txt, sitemap.xml и «банальнейшее приложение InfoApp» по группе ВКонтакте — админы.
- Маркетинговый обвес (эквайринги, чат-боты, метрики, рекламные коды) — «огромный минус» для владельца. Метрика: «где-то 10%» счётчиков публичны, поддержка Яндекса раскрывает почту по идентификатору. Эквайринг — «можно обратиться в банк» за получателем. Веб-архивы — прежний код, контакты, «даже файлы».
- Петиции «почти всегда» накручиваются ботами, но первый посев автор делает сам — ищут, кто первым дал ссылку. Доля «примерно в 70-80%» произнесена, к чему — неясно.
Инструменты, артефакты, технологии
- Портативная Opera (T.Hunter) — бесплатная, ссылка на слайде; WHOIS критикуется, архивы WHOIS рекомендуются (сервисы на слайде), ICANN — вскользь.
- DNSTwister, DNSTwist (+ третий, не распознан), IntelX, Have I Been Pwned — бесплатные; URLScan, VirusTotal, «утечки самого Cloudflare» — обход Cloudflare.
- Артефакты: DNS-записи, SSL-сертификат, favicon, метаданные файлов, robots.txt, sitemap.xml; ping, SMTP-проверка, dorks (примеры на слайде).
- Яндекс.Метрика, эквайринг — деанон; InfoApp (ВКонтакте) — по слуху; чат-боты, формы, рекламные коды, веб-архивы (названия не звучали).
Правовой и организационный контекст
- ВС РФ, август: по словам спикера, «обязав субъекты коммерческой деятельности самостоятельно выявлять typosquatting, интернет-мошенничество»; реквизиты акта не названы. GDPR — причина исчезновения персданных из WHOIS; ICANN — вскользь.
- Поддержка Яндекса от имени «администратора, забывшего почту» и запрос в банк по эквайрингу — рабочие приёмы (в общем саммари — претекстинг). Дело — «вторжение в личное пространство»; ссылок на УПК и УК нет.
Вопросы из зала
Вопросов не было. Ведущий: «Игорь, ты настолько, видимо, раскачал аудиторию, что в целом стало все супер понятно» — аплодисменты, переход к «прожарке». «Это бесспорно» — по контексту ведущий, атрибуция не очевидна.
Позиция спикера
OSINT — равноправный сосед криминалистики. Ограничения называет сам; путь «не совсем линейный». Тон — чек-лист с самоиронией и двумя слайдами про свой браузер.
Цитаты
- «…доменные имена регистрируются из рук вон плохо, не верифицируются данные владельцев…»
- «…Cloudflare активно используется правонарушителями для того, чтобы скрывать фактическое размещение их сайта.»
- «…с точки зрения разведки доменных имен сайтов это, конечно, огромный минус.»
- «Просто попросите подсказать: „Я администратор сайта, я забыл, какая почта у меня связана с этой Яндекс.Метрикой“…»
Закрытие онлайн-части первого дня
Ведущий Дмитрий Янковой прощается с онлайн-зрителями до второго дня, очных зовёт «в барную зону». «Прожарка», розыгрыш призов и общение не транслировались; дальше — день 2 после паузы в записи.