Investigation & Forensic TOOLS

ДАЙДЖЕСТ - ПОДБОРКА СПЕЦИАЛИЗИРОВАННЫХ LLM ДЛЯ РАССЛЕДОВАНИЙ И РАЗВЕДКИ. CyberPal 2.0-20B 🎯 Для чего подходит лучше всего: Анализ киберугроз, работа SOC/IR, обработка CTI-отчётов, сопоставление CVE и CWE, определение MITRE ATT&CK TTP, подготовка рекомендаций по обнаружению и нейтрализации угроз. ⚙️ Особенности и ограничения: Модель на 20–21 млрд параметров, основанная на gpt-oss-20b. Контекст — 8 192 токена. Формат весов — Safetensors/BF16, полный размер около 42 ГБ. Английский язык. Лицензия Apache 2.0. Работа в качестве автономного агента и использование внешних инструментов разработчиками пока не проверены. Требуется человеческая верификация выводов. 📊 Проверенные результаты: В техническом отчёте модель получила средний результат 80,33% на девяти кибербенчмарках: CTIBench MCQ — 75,71%; CTIBench RCM — 87,40%; CyberMetric — 89,05%; CISSP — 86,87%; Advanced CTI — 84,93%; определение связей между CTI-сущностями — 87,66%; извлечение TTP из реальных отчётов — 79,5%; переоценка CVE — нормализованный результат 0,83. 💬 Это наиболее сильная доступная модель рейтинга для широкого локального CTI/SOC-контура. Foundation-Sec-8B-Reasoning 🎯 Для чего подходит лучше всего: Локальный аналитический помощник для SOC, триаж инцидентов, построение заметок по расследованию, сопоставление TTP, классификация уязвимостей, анализ конфигураций и логическое рассуждение по данным безопасности. ⚙️ Особенности и ограничения: Модель на 8 млрд параметров на базе Llama 3.1. Поддерживает явные цепочки рассуждения. Полные BF16-веса занимают около 16 ГБ; доступны сторонние квантованные версии. Работает на английском языке. Может разворачиваться локально через Transformers, vLLM или SGLang. Лицензионные условия определены отдельным файлом NOTICE и требуют проверки перед коммерческим применением. Данные обучения ограничены апрелем 2025 года. 📊 Проверенные результаты: В техническом отчёте приведены средние результаты пяти прогонов: CTIBench MCQA — 69,1%; CTIBench RCM — 75,3%; Vulnerability Severity Prediction — 85,6%; CTI-Reasoning — 41,1%; Automated Threat Extraction — 49,1% micro-F1; прогнозирование CWE на новых данных — 70,4%; MMLU-Security — 78,2%; CyberMetric — 84,3%; SecEval — 84,8%. 💬 Модель превзошла Foundation-Sec-8B-Instruct в восьми из десяти профильных испытаний. Лучший вариант рейтинга при ограниченных вычислительных ресурсах. Foundation-Sec-8B-Instruct 🎯 Для чего подходит лучше всего: Диалоговый SOC/CTI-ассистент, суммаризация отчётов, извлечение индикаторов и сущностей, подготовка карточек инцидентов, объяснение терминов и формирование черновиков аналитических документов. ⚙️ Особенности и ограничения: Модель на 8 млрд параметров на базе Llama 3.1. Контекст обучения — 4 096 токенов. Английский язык. Поддерживает локальное развёртывание через Transformers и vLLM. Проще и предсказуемее Reasoning-версии, но слабее в многошаговом анализе. Лицензия обозначена как other и регулируется файлом NOTICE. 📊 Проверенные результаты CTIBench MCQA — 65,0%; CTIBench RCM — 70,4%; Vulnerability Severity Prediction — 84,0%; CTI-Reasoning — 36,4%; Automated Threat Extraction — 35,8% micro-F1; прогнозирование CWE на новых данных — 61,6%; SecEval — 82,9%. 💬 В опубликованной разработчиками safety-оценке модель прошла 91,98% проверок, а вместе с внешним LlamaGuard — 99,25%. Подходит для задач, где важнее контролируемый диалог и извлечение информации, чем сложное рассуждение. Llama-Primus-Merged 8B 🎯 Для чего подходит лучше всего: Экономичный локальный помощник для анализа CTI, ответов на вопросы по кибербезопасности, суммаризации, классификации угроз и дальнейшего дообучения под собственные данные. ⚙️ Особенности и ограничения: Модель на 8 млрд параметров на базе Llama 3.1-8B-Instruct. Обучалась на специализированном корпусе объёмом 2,77 млрд токенов и примерно тысяче отобранных CTI-инструкций. Полные веса занимают около 16 ГБ. Заявлены английский и японский языки. Лицензия репозитория — MIT, но необходимо учитывать условия базовой Llama 3.1. Качество существенно зависит от типа задачи. 📊 Проверенные результаты: По независимому AthenaBench: совокупный результат — 43,7; базовая Llama 3.1-8B — 38,8; Llama 3.3-70B — 46,5; GPT-5 — 66,1; Threat Actor Attribution — 17%; Automated Threat Extraction — 33,8%; CTIBench RCM — 56,6%; Vulnerability Severity Prediction — 71,9%; Risk Mitigation — 6,6 F1. 💬 Primus заметно улучшает базовую Llama 3.1-8B, но не заменяет крупную универсальную модель в сложной атрибуции и выработке мер противодействия. Версию Primus-Reasoning нежелательно оценивать по CTIBench из-за пересечения части обучающих и тестовых данных. SEVENLLM-Qwen1.5-7B 🎯 Для чего подходит лучше всего: Обработка англо- и китайскоязычных CTI-материалов: извлечение IoC, вредоносного ПО, инструментов атаки, уязвимостей, временных маркеров, участников, событий и отношений между сущностями. ⚙️ Особенности и ограничения: Доступная версия содержит около 7,72 млрд параметров и основана на Qwen1.5. Веса опубликованы в Safetensors, лицензия репозитория — MIT. Модель обучалась на 28 задачах: 13 задачах понимания и 15 задачах генерации. Русский язык не оценивался. Карточка опубликованной модели практически не документирована, а независимых современных испытаний немного. 📊 Проверенные результаты: Согласно публикации SEvenLLM: обучающий набор содержит около 90 тысяч примеров; тестовый набор — 1 300 примеров; исходный корпус включает 6 706 англоязычных и 1 779 китайскоязычных CTI-отчётов; модели SEvenLLM превзошли соответствующие базовые Llama 2 и Qwen 1.5 в авторских тестах Rouge-L, semantic similarity, MCQ и оценке ответов с помощью GPT-4; увеличение обучающего корпуса примерно до 70 тысяч примеров продолжало улучшать качество; экспертная проверка обнаружила ошибки в 17% первоначально сгенерированного тестового материала, после чего набор был вручную исправлен. 💬 Модель подходит прежде всего для исследовательского применения и структурирования двуязычной CTI, но не имеет достаточной доказательной базы для автономного расследования. 🔻ВАЖНО ПОМНИТЬ! Ни одна из моделей не должна самостоятельно формировать доказательственные выводы. Результаты необходимо подтверждать журналами, оригинальными артефактами, детерминированными инструментами и независимой экспертной проверкой.

Amele 📚 Раздел: #МобильнаяКриминалистика #КомпьютернаяКриминалистика 📄 Описание: Инструмент для сбора криминалистических артефактов из образов диска, дампов памяти, образов устройств на Аndroid. Функционал: - Получение локальных дисков: создание необработанных образов дисков из локальных дисков или файлов образов. - Удаленное получение дисков: сбор образов дисков с помощью агентов Linux и Windows. - Захват локальной памяти: захват ОЗУ с помощью AVML в Linux и WinPMEM в Windows. - Удаленный сбор данных из памяти: запуск, пауза, возобновление, остановка, отслеживание и загрузка дампов оперативной памяти с агентов. - Инструменты для Android: проверка ADB, составление списка устройств, сбор логических данных, сбор данных файловой системы, захват временных данных и анализ результатов выполнения запросов Android. - Управление обращениями: получение данных из магазина, заметки, хеши, результаты работы Android и отчеты по выбранным обращениям. - Хэширование и проверка: вычисление MD5, SHA1, SHA256 и SHA512; генерация хэшей sidecar для полученных данных. - Просмотр изображений: смонтируйте поддерживаемые изображения в режиме только для чтения для проверки. - Отчеты: создание отчетов по кейсам на основе собранных данных и заметок. 💻 Платформа: Linux / Win 💳 Стоимость: Бесплатно

Timelines Studio 📚 Раздел: #АнализДанных 📄 Описание: Приложение изначально спроектированное как универсальный генератор таймлайнов для изучения истории. Одно из особенностей -генерируемые таймлайны представляются в виде .md и .json файлов что открывает массу возможностей для импорта/экспорта данных. - Встроенная поддержка карт и таблиц - Поддержка эмоджи и графических миниатюр - Объединение и разветвление временных отрезков - Полностью локальная работа - Поддержка тем оформления. 💻 Платформа: macOS / Win 💳 Стоимость: Бесплатно

Друзья, осталось чуть больше месяца до одного из самых долгожданных и масштабных событий этой осени — десятой ежегодной конференции «MOSCOW FORENSICS DAY 2026». А мы уже готовы представить вам полное расписание! Ознакомиться с ним и информацией о мероприятии можно здесь: https://events.mko-systems.ru/mfd Напоминаем, что одобрение заявки на участие дает доступ к обоим дням конференции. Доклады будут проходить два дня подряд и сформируют единую полноформатную программу. 📝 Мероприятие бесплатное, однако для участия необходимо заполнить регистрационную форму, чтобы гарантированно попасть в число гостей: https://events.mko-systems.ru/mfd Если у вас есть вопросы — напишите нам: @chevalies

ВЫБОР LLM ДЛЯ ОСИНТ #процессы Выбор LLM для разведки - это всегда компромисс между точностью фактов, возможностью обрабатывать большие объёмы разнородных данных и доступными вычислительными ресурсами. Ниже я постарался собрать и поверхностно обозреть конкретные модели, которые прошли проверку на на тех задачах, которые я давал моделям в конкретных кейсах (когда было время на перепроверку) - от извлечения сущностей из утёкших баз до анализа видео с камер наблюдения. Безусловно, эта статья будет максимально субъективной и основываться только на личных впечатлениях, и если у вас есть свой опыт - с удовольствием обсудил бы это в комментариях. От каких критериев мы будем отталкиваться в выборе: 🔻 Контекстное окно - не менее 32 000 токенов; для работы с много килобайтными логами или досье желательно 128 000. 🔻 Мультимодальность - нужна, если в материалах есть изображения, скриншоты, записи разговоров или видео. 🔻 Точность структурирования - способность выдавать строгий JSON или таблицы без лишних слов, критично для автоматизации. 🔻 Уровень галлюцинаций - в разведке неприемлемо, когда модель додумывает факты. Проверялось на контрольных выборках с ручной разметкой. 🔻 Железо - работа без интернета, на локальном сервере или ноутбуке аналитика. 📑 Начнем нашу подборку с универсальных и тяжелых моделей для глубокого анализа текста. Ибо, когда нужно просеять гигабайты переписки, извлечь все упоминания имён, телефонов, криптокошельков и представить результат в структурированном виде и логическими выводами, нет альтернативы моделям уровня 70 миллиардов параметров. И две из них выделяются на фоне остальных. 💻 Llama 3.1 70B Instruct  (128К контекст, только текст). На корпусе из 10 000 строк слитого чата модель извлекла 99% телефонных номеров и 97% уникальных имён, не сгенерировав ни одного несуществующего контакта. Встроенный function calling позволяет сразу передавать результаты в системы учета инцидентов. Минус — слабая поддержка языков, кроме английского. Для русского, арабского или китайского приходится настраивать постобработку. Работает быстро на двух RTX 3090/4090 в режиме квантования Q4_K_M (48 ГБ VRAM), либо на Mac Studio M2 Ultra со 192 ГБ объединённой памяти.  💻 Qwen2.5 72B Instruct (128К контекст, только текст). Если материалы содержат несколько языков одновременно, эта модель показывает лучшие результаты. На смешанных русско-украинско-английских досье точность извлечения фактов составила 96%, а галлюцинации — около 2%. Генерирует чистый JSON без обрамляющих фраз, что упрощает интеграцию с парсерами. Требует столько же памяти, что и Llama 3.1 🖼 Но в реальной работе мы же редко ограничиваемся только текстом. Скриншоты переписок, фото местности, кадры с камер - всё это требует нативного понимания визуальной информации. 💻 Llama 3.2 11B Vision Instruct (128К контекст, изображения). Оптимальный баланс между качеством и требованиями к железу. На тестовой выборке скриншотов из мессенджеров правильно распознала 94% адресов, номеров карт и паролей. Работает на видеокартах уровня RTX 3060 с 8-12 ГБ VRAM (квант Q4_K_M). Основной недостаток - не умеет обрабатывать звук и видео, но для статичных изображений я бы назвал это одним из основных инструментов.  💻 Qwen2-VL 7B Instruct  (128К контекст, изображения и видео до 20 минут). Незаменима при анализе записей с камер наблюдения. Модель отслеживает временную динамику: фиксирует ключевые кадры, описывает последовательность событий, распознаёт номера машин и лица. В тесте на 10-минутном ролике митинга извлекла все лозунги с точностью 95%. Требует RTX 3060 12 ГБ. Из ограничений - на длинных роликах может пропускать мелкие детали.  💻 MiniCPM-V 2.6 (8B)  (64К контекст, изображения и видео). Когда задачи скромнее — например, нужно быстро рассортировать сотни фотографий по наличию определённых объектов или документов. Работает даже на 8 ГБ VRAM, при этом корректно вырезает таблицы и области с текстом. Глубокие логические выводы от неё ожидать не стоит, но для полевой сортировки улик - идеально.  🎙 Продолжим анализом аудиоматериалов. Прямой обработки звука внутри LLM пока нет, но есть связка, которая может решить эту задачу. 💻 Whisper large-v3  Не совсем языковая модель в привычном смысле, а система распознавания речи. На чистых записях даёт менее 5% ошибок по словам для русского языка. Транскрипция затем подаётся в текстовую LLM для извлечения смысла. Работает на RTX 3060 (8-12 ГБ), либо медленно на CPU.  💻 Qwen-Audio-Chat (7B)  Дополняет Whisper анализом интонаций, эмоций и звуков окружения. На русскоязычных звонках правильно определила угрожающий тон в 82% случаев. Ограничена длиной аудио до 30 секунд, поэтому для больших файлов используется каскад: сначала транскрипция, затем тональный анализ коротких фрагментов. Требует 12 ГБ VRAM.  Ну и в конце этой подборки хочется отметить модель для полевой работы. У меня в качестве карманного компьютера вот уже несколько месяцев трясется в сумке микро ноутбук GPD microPC 2 на Intel i3-n300 с 16Гб оперативки. И несмотря на свои более чем скромные параметры llm-ка Phi-3.5-vision-instruct (4.2B)  (128К контекст, изображения) чувствует себя достаточно бодро. Запускается без дискретной видеокарты, используя OpenVINO на интегрированной графике Intel Iris. Качество OCR сопоставимо с 7B-моделями, но для сложных многоходовых рассуждений не годится, а вот в полевых условиях быстро прочитать документ или проверить фото - самое то. Успехов в работе! :)

Digger Solo 📚 Раздел: #АгрегацияДанных 📄 Описание: Файловый менеджер с искусственным интеллектом. Позволяет проводить семантический поиск по содержимому файлов (включая текст, изображения, фото, аудио и видео), визуализирует взаимосвязь файлов по содержимому, включая видео и аудиозаписи. Ищет дубликаты. Работает полностью автономно. 💻 Платформа: macOS / Linux / Win 💳 Стоимость: Бесплатно (13 дней) / Платно - 5 EUR месяц или 39 EUR единовременно 💬 Комментарий: Очень интересный концептуальный проект, ломающий привычную организацию файлов относительно имени и типа и организовывающий файлы по их содержимому.

GeoPulse 📚 Раздел: #АнализДанных 📄 Описание: Платформа для визуализации хронологии местоположений, созданная как открытая и бесплатная альтернатива Google Timeline. Преобразует GPS‑данные из таких источников, как OwnTracks, Overland, Dawarich, GPSLogger, Home Assistant, Traccar, Colota, в удобную для поиска временную шкалу с автоматическим разделением на остановки, поездки и периоды. Среди ключевых возможностей: - Умное детектирование. Автоматическое преобразование точек GPS в осмысленные события (поездки, визиты, пропуски). - Глубокая аналитика. Статистика по дистанциям, частоте посещений и паттернам перемещений. - Интеграция с Immich. Фотографии из вашей библиотеки отображаются прямо на карте хронологии. - Поддержка множества источников. OwnTracks (HTTP/MQTT), Overland, GPSLogger, Home Assistant, Traccar, Dawarich, Colota, а также массовый импорт из Google Timeline, GPX, GeoJSON, OwnTracks и CSV. - Гибкие настройки приватности: система друзей, гостевые ссылки с паролем, много пользователей с ролями, OIDC/SSO. - Полный контроль над данными: экспорт в стандартных форматах, удаление аккаунтов, отсутствие телеметрии и сторонних трекеров. - Возможность подключить собственный OpenAI‑совместимый ключ для интеллектуальных подсказок. 💻 Платформа: Docker 💳 Стоимость: Бесплатно

Методология формирование промт- запросов для OSINT исследований.

Legassy iOS Kit 📚 Раздел: #МобильнаяКриминалистика 📄 Описание: Фреймворк для работы с устаревшими i-устройствами. Функционал: Отвязанный и привязанный откат без сертификатов Сохранение SHSH сертификатов Джейлбрейк всех 32-битных и некоторых 64-битных девайсов Сайдлоадинг IPA Хактивация iPhone 2G/3G(S)/4 Создание различных дампов (Cydia, IPA, прошивок, содержимого памяти) Установка TrollStore на iOS 14/15 Перевод девайса в kDFU/pwnDFU режим Чистка NVRAM Установка IPA на джейлбрейкнутых девайсах Создание резервных копий Просмотр информации о батарее Перевод в Recovery, управление питанием Полный сброс 💻 Платформа: macOS / Linux 💳 Стоимость: Бесплатно 💬 Комментарий: Отличный простой инструмент для создания дампа памяти, даже если устройство полностью заблокировано, для дальнейшего подбора пароля.

BLE Radar 📚 Раздел: #SIGINT 📄 Описание: Приложение предназначенное для анализа присутствия BLE устройств вокруг вас. Отслеживает наличие устройств, силу сигнала, метаданные, время присутствия в поле зрения. Поддерживает создание режимов для отслеживания при различных условиях. Идеально для поиска BLE трекеров перемещающихся вместе с вами. 💻 Платформа: Android 💳 Стоимость: Бесплатно 💬 Комментарий: Инструкция по использованию приложения для отслеживания трекеров тут Инструментарий | Консалтинг

SunnyCapturer 📚 Раздел: #WEBINT 📄 Описание: Мультиплатформенный инструмент для создания скриншотов с возможностью извлечения текста из изображения и его перевода. 💻 Платформа: Win/Linux/macOS 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

YouStealID 📚 Раздел: #WEBINT 📄 Описание: Инструмент для мониторинга и автоматической загрузки видео, плейлистов, каналов и прямых трансляций с YouTube. 💻 Платформа: Win 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

NZYME 📚 Раздел: #SIGINT 📄 Описание: Проект предназначенный для контроля и защиты беспроводных сетей. Используя доступные wifi адаптеры в режиме мониторинга, Nzyme сканирует все частоты используемые для wifi соединения на предмет подозрительной активности, и сбора отпечатков окружающих систем использующих беспроводной канал связи, а после анализа- сохранять все данные в Graylog для дальнейшего расследования инцидента, восстановив все что произошло, обозначив цель атаки и факта успешного проведения. 💻 Платформа: Linux 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

ArtiFast Lite 📚 Раздел: #КомпьютернаяКриминалистика 📄 Описание: Бесплатная версия криминалистического анализатора логов Windows - Artifast. Поддерживает анализ логов в Lite версии по следующим направлениям: - OneDrive - Windows Event Logs (EVT, EVTX) - Shellbags - ShimCache - Skype - Chrome - USB Forensics - User Information 💻 Платформа: Win 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

Open notebook 📚 Раздел: #АнализДанных 📄 Описание: Открытый и бесплатный аналог NotebookLM. Функционал: - Поддержка более 16 различных локальных языковых моделей - Мульти модальность (ссылки, фото, видео, pdf, презентации, таблицы, текстовые файлы, аудио записи) - Создание майнд-карт - Аналитика 💻 Платформа: Docker 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

Viseron 📚 Раздел: #CCTV 📄 Описание: Программный сетевой видеорегистратор с ИИ. В функционале: - обнаружение и идентификация объектов объектов - детектор движения - распознавание лиц - распознавание автомобильных номеров 💻 Платформа: Docker 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

Evidence Collector 📚 Раздел: #WEBINT 📄 Описание: Инструмент для сбора и фиксации доказательств в браузере. Функционал: - Сбора метаданных (дата, время, информация о браузере) - Неизменяемая временная метка - Фиксация просмотра (запись видео или генерация pdf-файла с вашими манипуляциями в браузере) 💻 Платформа: Chrome/Firefox 💳 Стоимость: Бесплатно Инструментарий | Консалтинг

Instant Data Scraper 📚 Раздел: #WEBINT 📄 Описание: Aвтоматизированный инструмент для извлечения данных с любого веб-сайта. Он использует искусственный интеллект для прогнозирования наиболее релевантных данных на HTML-странице и позволяет сохранять их в файлы Excel или CSV (XLS, XLSX, CSV). 💻 Платформа: Chrome 💳 Стоимость: Бесплатно Инструментарий | Консалтинг