Instant Data Scraper

📚 Раздел: #WEBINT

📄 Описание:
Aвтоматизированный инструмент для извлечения данных с любого веб-сайта. Он использует искусственный интеллект для прогнозирования наиболее релевантных данных на HTML-странице и позволяет сохранять их в файлы Excel или CSV (XLS, XLSX, CSV).

💻 Платформа: Chrome

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

Evidence Collector

📚 Раздел: #WEBINT

📄 Описание:
Инструмент для сбора и фиксации доказательств в браузере.
Функционал:
- Сбора метаданных (дата, время, информация о браузере)
- Неизменяемая временная метка
- Фиксация просмотра (запись видео или генерация pdf-файла с вашими манипуляциями в браузере)

💻 Платформа: Chrome/Firefox

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

Viseron

📚 Раздел: #CCTV

📄 Описание:
Программный сетевой видеорегистратор с ИИ. В функционале:
- обнаружение и идентификация объектов объектов
- детектор движения
- распознавание лиц
- распознавание автомобильных номеров

💻 Платформа: Docker

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

Open notebook

📚 Раздел: #АнализДанных

📄 Описание:
Открытый и бесплатный аналог NotebookLM.
Функционал:
- Поддержка более 16 различных локальных языковых моделей
- Мульти модальность (ссылки, фото, видео, pdf, презентации, таблицы, текстовые файлы, аудио записи)
- Создание майнд-карт
- Аналитика

💻 Платформа: Docker

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

ArtiFast Lite

📚 Раздел: #КомпьютернаяКриминалистика

📄 Описание:
Бесплатная версия криминалистического анализатора логов Windows - Artifast. Поддерживает анализ логов в Lite версии по следующим направлениям:
- OneDrive
- Windows Event Logs (EVT, EVTX)
- Shellbags
- ShimCache
- Skype
- Chrome
- USB Forensics
- User Information

💻 Платформа: Win

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

NZYME

📚 Раздел: #SIGINT

📄 Описание:
Проект предназначенный для контроля и защиты беспроводных сетей. Используя доступные wifi адаптеры в режиме мониторинга, Nzyme сканирует все частоты используемые для wifi соединения на предмет подозрительной активности, и сбора отпечатков окружающих систем использующих беспроводной канал связи, а после анализа- сохранять все данные в Graylog для дальнейшего расследования инцидента, восстановив все что произошло, обозначив цель атаки и факта успешного проведения.

💻 Платформа: Linux

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

YouStealID

📚 Раздел: #WEBINT

📄 Описание:
Инструмент для мониторинга и автоматической загрузки видео, плейлистов, каналов и прямых трансляций с YouTube.

💻 Платформа: Win

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

SunnyCapturer

📚 Раздел: #WEBINT

📄 Описание:
Мультиплатформенный инструмент для создания скриншотов с возможностью извлечения текста из изображения и его перевода.

💻 Платформа: Win/Linux/macOS

💳 Стоимость: Бесплатно

Инструментарий | Консалтинг

Legassy iOS Kit

📚 Раздел: #МобильнаяКриминалистика

📄 Описание:
Фреймворк для работы с устаревшими i-устройствами. Функционал:
Отвязанный и привязанный откат без сертификатов
Сохранение SHSH сертификатов
Джейлбрейк всех 32-битных и некоторых 64-битных девайсов
Сайдлоадинг IPA
Хактивация iPhone 2G/3G(S)/4
Создание различных дампов (Cydia, IPA, прошивок, содержимого памяти)
Установка TrollStore на iOS 14/15
Перевод девайса в kDFU/pwnDFU режим
Чистка NVRAM
Установка IPA на джейлбрейкнутых девайсах
Создание резервных копий
Просмотр информации о батарее
Перевод в Recovery, управление питанием
Полный сброс

💻 Платформа: macOS / Linux

💳 Стоимость: Бесплатно

💬 Комментарий: Отличный простой инструмент для создания дампа памяти, даже если устройство полностью заблокировано, для дальнейшего подбора пароля.

Методология формирование промт- запросов для OSINT исследований.

GeoPulse

📚 Раздел: #АнализДанных

📄 Описание:
Платформа для визуализации хронологии местоположений, созданная как открытая и бесплатная альтернатива Google Timeline. Преобразует GPS‑данные из таких источников, как OwnTracks, Overland, Dawarich, GPSLogger, Home Assistant, Traccar, Colota, в удобную для поиска временную шкалу с автоматическим разделением на остановки, поездки и периоды.
Среди ключевых возможностей:
- Умное детектирование. Автоматическое преобразование точек GPS в осмысленные события (поездки, визиты, пропуски).
- Глубокая аналитика. Статистика по дистанциям, частоте посещений и паттернам перемещений.
- Интеграция с Immich. Фотографии из вашей библиотеки отображаются прямо на карте хронологии.
- Поддержка множества источников. OwnTracks (HTTP/MQTT), Overland, GPSLogger, Home Assistant, Traccar, Dawarich, Colota, а также массовый импорт из Google Timeline, GPX, GeoJSON, OwnTracks и CSV.
- Гибкие настройки приватности: система друзей, гостевые ссылки с паролем, много пользователей с ролями, OIDC/SSO.
- Полный контроль над данными: экспорт в стандартных форматах, удаление аккаунтов, отсутствие телеметрии и сторонних трекеров.
- Возможность подключить собственный OpenAI‑совместимый ключ для интеллектуальных подсказок.

💻 Платформа: Docker

💳 Стоимость: Бесплатно

Digger Solo

📚 Раздел: #АгрегацияДанных

📄 Описание:
Файловый менеджер с искусственным интеллектом. Позволяет проводить семантический поиск по содержимому файлов (включая текст, изображения, фото, аудио и видео), визуализирует взаимосвязь файлов по содержимому, включая видео и аудиозаписи. Ищет дубликаты. Работает полностью автономно.

💻 Платформа: macOS / Linux / Win

💳 Стоимость: Бесплатно (13 дней) / Платно - 5 EUR месяц или 39 EUR единовременно

💬 Комментарий: Очень интересный концептуальный проект, ломающий привычную организацию файлов относительно имени и типа и организовывающий файлы по их содержимому.

ВЫБОР LLM ДЛЯ ОСИНТ
#процессы

Выбор LLM для разведки - это всегда компромисс между точностью фактов, возможностью обрабатывать большие объёмы разнородных данных и доступными вычислительными ресурсами. Ниже я постарался собрать и поверхностно обозреть конкретные модели, которые прошли проверку на на тех задачах, которые я давал моделям в конкретных кейсах (когда было время на перепроверку) - от извлечения сущностей из утёкших баз до анализа видео с камер наблюдения. Безусловно, эта статья будет максимально субъективной и основываться только на личных впечатлениях, и если у вас есть свой опыт - с удовольствием обсудил бы это в комментариях.

От каких критериев мы будем отталкиваться в выборе:
🔻 Контекстное окно - не менее 32 000 токенов; для работы с много килобайтными логами или досье желательно 128 000.
🔻 Мультимодальность - нужна, если в материалах есть изображения, скриншоты, записи разговоров или видео.
🔻 Точность структурирования - способность выдавать строгий JSON или таблицы без лишних слов, критично для автоматизации.
🔻 Уровень галлюцинаций - в разведке неприемлемо, когда модель додумывает факты. Проверялось на контрольных выборках с ручной разметкой.
🔻 Железо - работа без интернета, на локальном сервере или ноутбуке аналитика.

📑 Начнем нашу подборку с универсальных и тяжелых моделей для глубокого анализа текста. Ибо, когда нужно просеять гигабайты переписки, извлечь все упоминания имён, телефонов, криптокошельков и представить результат в структурированном виде и логическими выводами, нет альтернативы моделям уровня 70 миллиардов параметров. И две из них выделяются на фоне остальных.

💻 Llama 3.1 70B Instruct  (128К контекст, только текст).
На корпусе из 10 000 строк слитого чата модель извлекла 99% телефонных номеров и 97% уникальных имён, не сгенерировав ни одного несуществующего контакта. Встроенный function calling позволяет сразу передавать результаты в системы учета инцидентов. Минус — слабая поддержка языков, кроме английского. Для русского, арабского или китайского приходится настраивать постобработку. Работает быстро на двух RTX 3090/4090 в режиме квантования Q4_K_M (48 ГБ VRAM), либо на Mac Studio M2 Ultra со 192 ГБ объединённой памяти. 

💻 Qwen2.5 72B Instruct (128К контекст, только текст).
Если материалы содержат несколько языков одновременно, эта модель показывает лучшие результаты. На смешанных русско-украинско-английских досье точность извлечения фактов составила 96%, а галлюцинации — около 2%. Генерирует чистый JSON без обрамляющих фраз, что упрощает интеграцию с парсерами. Требует столько же памяти, что и Llama 3.1

🖼 Но в реальной работе мы же редко ограничиваемся только текстом. Скриншоты переписок, фото местности, кадры с камер - всё это требует нативного понимания визуальной информации.

💻 Llama 3.2 11B Vision Instruct (128К контекст, изображения).
Оптимальный баланс между качеством и требованиями к железу. На тестовой выборке скриншотов из мессенджеров правильно распознала 94% адресов, номеров карт и паролей. Работает на видеокартах уровня RTX 3060 с 8-12 ГБ VRAM (квант Q4_K_M). Основной недостаток - не умеет обрабатывать звук и видео, но для статичных изображений я бы назвал это одним из основных инструментов. 

💻 Qwen2-VL 7B Instruct  (128К контекст, изображения и видео до 20 минут).
Незаменима при анализе записей с камер наблюдения. Модель отслеживает временную динамику: фиксирует ключевые кадры, описывает последовательность событий, распознаёт номера машин и лица. В тесте на 10-минутном ролике митинга извлекла все лозунги с точностью 95%. Требует RTX 3060 12 ГБ. Из ограничений - на длинных роликах может пропускать мелкие детали. 

💻 MiniCPM-V 2.6 (8B)  (64К контекст, изображения и видео).
Когда задачи скромнее — например, нужно быстро рассортировать сотни фотографий по наличию определённых объектов или документов. Работает даже на 8 ГБ VRAM, при этом корректно вырезает таблицы и области с текстом. Глубокие логические выводы от неё ожидать не стоит, но для полевой сортировки улик - идеально. 

🎙 Продолжим анализом аудиоматериалов. Прямой обработки звука внутри LLM пока нет, но есть связка, которая может решить эту задачу.

💻 Whisper large-v3 
Не совсем языковая модель в привычном смысле, а система распознавания речи. На чистых записях даёт менее 5% ошибок по словам для русского языка. Транскрипция затем подаётся в текстовую LLM для извлечения смысла. Работает на RTX 3060 (8-12 ГБ), либо медленно на CPU. 

💻 Qwen-Audio-Chat (7B) 
Дополняет Whisper анализом интонаций, эмоций и звуков окружения. На русскоязычных звонках правильно определила угрожающий тон в 82% случаев. Ограничена длиной аудио до 30 секунд, поэтому для больших файлов используется каскад: сначала транскрипция, затем тональный анализ коротких фрагментов. Требует 12 ГБ VRAM. 

Ну и в конце этой подборки хочется отметить модель для полевой работы. У меня в качестве карманного компьютера вот уже несколько месяцев трясется в сумке микро ноутбук GPD microPC 2 на Intel i3-n300 с 16Гб оперативки. И несмотря на свои более чем скромные параметры llm-ка Phi-3.5-vision-instruct (4.2B)  (128К контекст, изображения) чувствует себя достаточно бодро. Запускается без дискретной видеокарты, используя OpenVINO на интегрированной графике Intel Iris. Качество OCR сопоставимо с 7B-моделями, но для сложных многоходовых рассуждений не годится, а вот в полевых условиях быстро прочитать документ или проверить фото - самое то.

Успехов в работе! :)

Друзья, осталось чуть больше месяца до одного из самых долгожданных и масштабных событий этой осени — десятой ежегодной конференции «MOSCOW FORENSICS DAY 2026».

А мы уже готовы представить вам полное расписание!

Ознакомиться с ним и информацией о мероприятии можно здесь: https://events.mko-systems.ru/mfd

Напоминаем, что одобрение заявки на участие дает доступ к обоим дням конференции. Доклады будут проходить два дня подряд и сформируют единую полноформатную программу.

📝 Мероприятие бесплатное, однако для участия необходимо заполнить регистрационную форму, чтобы гарантированно попасть в число гостей: https://events.mko-systems.ru/mfd

Если у вас есть вопросы — напишите нам: @chevalies

Timelines Studio

📚 Раздел: #АнализДанных

📄 Описание:
Приложение изначально спроектированное как универсальный генератор таймлайнов для изучения истории. Одно из особенностей -генерируемые таймлайны представляются в виде .md и .json файлов что открывает массу возможностей для импорта/экспорта данных.
- Встроенная поддержка карт и таблиц
- Поддержка эмоджи и графических миниатюр
- Объединение и разветвление временных отрезков
- Полностью локальная работа
- Поддержка тем оформления.

💻 Платформа: macOS / Win

💳 Стоимость: Бесплатно

Amele

📚 Раздел: #МобильнаяКриминалистика #КомпьютернаяКриминалистика

📄 Описание:
Инструмент для сбора криминалистических артефактов из образов диска, дампов памяти, образов устройств на Аndroid.

Функционал:
- Получение локальных дисков: создание необработанных образов дисков из локальных дисков или файлов образов.
- Удаленное получение дисков: сбор образов дисков с помощью агентов Linux и Windows.
- Захват локальной памяти: захват ОЗУ с помощью AVML в Linux и WinPMEM в Windows.
- Удаленный сбор данных из памяти: запуск, пауза, возобновление, остановка, отслеживание и загрузка дампов оперативной памяти с агентов.
- Инструменты для Android: проверка ADB, составление списка устройств, сбор логических данных, сбор данных файловой системы, захват временных данных и анализ результатов выполнения запросов Android.
- Управление обращениями: получение данных из магазина, заметки, хеши, результаты работы Android и отчеты по выбранным обращениям.
- Хэширование и проверка: вычисление MD5, SHA1, SHA256 и SHA512; генерация хэшей sidecar для полученных данных.
- Просмотр изображений: смонтируйте поддерживаемые изображения в режиме только для чтения для проверки.
- Отчеты: создание отчетов по кейсам на основе собранных данных и заметок.

💻 Платформа: Linux / Win

💳 Стоимость: Бесплатно

ДАЙДЖЕСТ - ПОДБОРКА СПЕЦИАЛИЗИРОВАННЫХ LLM ДЛЯ РАССЛЕДОВАНИЙ И РАЗВЕДКИ.

CyberPal 2.0-20B

🎯 Для чего подходит лучше всего:
Анализ киберугроз, работа SOC/IR, обработка CTI-отчётов, сопоставление CVE и CWE, определение MITRE ATT&CK TTP, подготовка рекомендаций по обнаружению и нейтрализации угроз.

⚙️ Особенности и ограничения:
Модель на 20–21 млрд параметров, основанная на gpt-oss-20b. Контекст — 8 192 токена. Формат весов — Safetensors/BF16, полный размер около 42 ГБ. Английский язык. Лицензия Apache 2.0. Работа в качестве автономного агента и использование внешних инструментов разработчиками пока не проверены. Требуется человеческая верификация выводов.

📊 Проверенные результаты:
В техническом отчёте модель получила средний результат 80,33% на девяти кибербенчмарках:
CTIBench MCQ — 75,71%;
CTIBench RCM — 87,40%;
CyberMetric — 89,05%;
CISSP — 86,87%;
Advanced CTI — 84,93%;
определение связей между CTI-сущностями — 87,66%;
извлечение TTP из реальных отчётов — 79,5%;
переоценка CVE — нормализованный результат 0,83.

💬 Это наиболее сильная доступная модель рейтинга для широкого локального CTI/SOC-контура.


Foundation-Sec-8B-Reasoning

🎯 Для чего подходит лучше всего:
Локальный аналитический помощник для SOC, триаж инцидентов, построение заметок по расследованию, сопоставление TTP, классификация уязвимостей, анализ конфигураций и логическое рассуждение по данным безопасности.

⚙️ Особенности и ограничения:
Модель на 8 млрд параметров на базе Llama 3.1. Поддерживает явные цепочки рассуждения. Полные BF16-веса занимают около 16 ГБ; доступны сторонние квантованные версии. Работает на английском языке. Может разворачиваться локально через Transformers, vLLM или SGLang. Лицензионные условия определены отдельным файлом NOTICE и требуют проверки перед коммерческим применением. Данные обучения ограничены апрелем 2025 года.

📊 Проверенные результаты:
В техническом отчёте приведены средние результаты пяти прогонов:
CTIBench MCQA — 69,1%;
CTIBench RCM — 75,3%;
Vulnerability Severity Prediction — 85,6%;
CTI-Reasoning — 41,1%;
Automated Threat Extraction — 49,1% micro-F1;
прогнозирование CWE на новых данных — 70,4%;
MMLU-Security — 78,2%;
CyberMetric — 84,3%;
SecEval — 84,8%.

💬 Модель превзошла Foundation-Sec-8B-Instruct в восьми из десяти профильных испытаний. Лучший вариант рейтинга при ограниченных вычислительных ресурсах.


Foundation-Sec-8B-Instruct

🎯 Для чего подходит лучше всего:
Диалоговый SOC/CTI-ассистент, суммаризация отчётов, извлечение индикаторов и сущностей, подготовка карточек инцидентов, объяснение терминов и формирование черновиков аналитических документов.

⚙️ Особенности и ограничения:
Модель на 8 млрд параметров на базе Llama 3.1. Контекст обучения — 4 096 токенов. Английский язык. Поддерживает локальное развёртывание через Transformers и vLLM. Проще и предсказуемее Reasoning-версии, но слабее в многошаговом анализе. Лицензия обозначена как other и регулируется файлом NOTICE.

📊 Проверенные результаты
CTIBench MCQA — 65,0%;
CTIBench RCM — 70,4%;
Vulnerability Severity Prediction — 84,0%;
CTI-Reasoning — 36,4%;
Automated Threat Extraction — 35,8% micro-F1;
прогнозирование CWE на новых данных — 61,6%;
SecEval — 82,9%.

💬 В опубликованной разработчиками safety-оценке модель прошла 91,98% проверок, а вместе с внешним LlamaGuard — 99,25%. Подходит для задач, где важнее контролируемый диалог и извлечение информации, чем сложное рассуждение.


Llama-Primus-Merged 8B

🎯 Для чего подходит лучше всего:
Экономичный локальный помощник для анализа CTI, ответов на вопросы по кибербезопасности, суммаризации, классификации угроз и дальнейшего дообучения под собственные данные.

⚙️ Особенности и ограничения:
Модель на 8 млрд параметров на базе Llama 3.1-8B-Instruct. Обучалась на специализированном корпусе объёмом 2,77 млрд токенов и примерно тысяче отобранных CTI-инструкций. Полные веса занимают около 16 ГБ. Заявлены английский и японский языки. Лицензия репозитория — MIT, но необходимо учитывать условия базовой Llama 3.1. Качество существенно зависит от типа задачи.

📊 Проверенные результаты:
По независимому AthenaBench:
совокупный результат — 43,7;
базовая Llama 3.1-8B — 38,8;
Llama 3.3-70B — 46,5;
GPT-5 — 66,1;
Threat Actor Attribution — 17%;
Automated Threat Extraction — 33,8%;
CTIBench RCM — 56,6%;
Vulnerability Severity Prediction — 71,9%;
Risk Mitigation — 6,6 F1.

💬 Primus заметно улучшает базовую Llama 3.1-8B, но не заменяет крупную универсальную модель в сложной атрибуции и выработке мер противодействия. Версию Primus-Reasoning нежелательно оценивать по CTIBench из-за пересечения части обучающих и тестовых данных.


SEVENLLM-Qwen1.5-7B

🎯 Для чего подходит лучше всего:
Обработка англо- и китайскоязычных CTI-материалов: извлечение IoC, вредоносного ПО, инструментов атаки, уязвимостей, временных маркеров, участников, событий и отношений между сущностями.

⚙️ Особенности и ограничения:
Доступная версия содержит около 7,72 млрд параметров и основана на Qwen1.5. Веса опубликованы в Safetensors, лицензия репозитория — MIT. Модель обучалась на 28 задачах: 13 задачах понимания и 15 задачах генерации. Русский язык не оценивался. Карточка опубликованной модели практически не документирована, а независимых современных испытаний немного.

📊 Проверенные результаты:
Согласно публикации SEvenLLM:
обучающий набор содержит около 90 тысяч примеров;
тестовый набор — 1 300 примеров;
исходный корпус включает 6 706 англоязычных и 1 779 китайскоязычных CTI-отчётов;
модели SEvenLLM превзошли соответствующие базовые Llama 2 и Qwen 1.5 в авторских тестах Rouge-L, semantic similarity, MCQ и оценке ответов с помощью GPT-4;
увеличение обучающего корпуса примерно до 70 тысяч примеров продолжало улучшать качество;
экспертная проверка обнаружила ошибки в 17% первоначально сгенерированного тестового материала, после чего набор был вручную исправлен.

💬 Модель подходит прежде всего для исследовательского применения и структурирования двуязычной CTI, но не имеет достаточной доказательной базы для автономного расследования.

🔻ВАЖНО ПОМНИТЬ!
Ни одна из моделей не должна самостоятельно формировать доказательственные выводы. Результаты необходимо подтверждать журналами, оригинальными артефактами, детерминированными инструментами и независимой экспертной проверкой.