Чого не вистачає сучасним осінтерам і чому любителі червоних стрілочок програють конвеєру: від Dolphin{anty} і MTProto doc_id до фірм-клонів ВПК РФ
Анатомія чотирьох системних сліпих зон класичного моніторингу: чому пошук «шафи з SIM-картками» та дашборди за ключовими словами не бачать хмарних ботоферм подвійного призначення, бінарного транзиту файлів doc_id за 27 хвилин до ТАСС, перевзутих числових UID-маячків, прокладок SendAsPeer та свіжих заводів-клонів у ЄГРЮЛ 2024–2026 років.
1. Ілюзія «червоної стрілочки» проти промислового конвеєра
У масовій уяві — і, на жаль, у значної частини медійної OSINT-спільноти — розслідування досі виглядає як ремесло ілюстратора: взяти готовий супутниковий знімок уже спаленого вчора складу, намалювати у графічному редакторі товсту червону стрілочку до чорної плями сажі й написати тред на двадцять скріншотів. Або взяти вивантаження з комерційного дашборду медіамоніторингу (Brand24, YouScan, SemanticForce), побудувати красивий круговий графік за ключовим словом і відзвітувати про «виявлений наратив».
Проблема в тому, що у 2026 році війна в інформаційному та військово-промисловому контурах працює як високочастотний автоматизований конвеєр. Поки любителі червоних стрілочок малюють інфографіку за минулий місяць, противник за три хвилини міняє домени, перефарбовує нікнейми, жене бінарні медіаоб’єкти через закриті шлюзи й реєструє чисті юрособи-клони для оборонних заводів.
Коли нас запитують, чому класичні державні моніторинги та редакції роками «знають загалом», але пропускають конкретну живу інфраструктуру ворога, відповідь криється у п’яти технічних сліпих зонах.
2. Сліпа зона №1: «Залізна SIM-шафа» проти хмарних профілів Dolphin{anty} та бірж подвійного призначення
Класична оперативна реалізація правоохоронців заточена під фізичний обшук зразка 2022 року (як у гучній справі серпня 2022-го по фермі Віктора Майстренка на 1 млн акаунтів): знайти орендовану квартиру, де гудуть апаратні GSM-шлюзи (GoIP) і лежать 10 000 пластикових SIM-карт, вилучити залізо й сфотографувати кабелі.
Але сучасна павутина промислових ботів (100033..., .XXXXXX, .2025, 6158...) не має фізичної шафи в Україні:
- Хмарна архітектура: акаунти купуються оптом на даркнет-маркетплейсах (
AccsMarket,DarkStore,Deer.io) як готові JSON-файлиcookies+ токени авторизації, зламані або згенеровані реєстраторами з Індії, Палестини, Бангладеш, Філіппін та РФ. Тисячами таких анкет керують з одного ноутбука через антидетект-браузери (Dolphin{anty},AdsPower,Multilogin,Octo Browser) на резидентських мобільних проксі. Фізично «вилучити» таку ферму на обшуку неможливо — у неї немає складу з залізом. - Комерційний SaaS-підряд подвійного призначення: сіра SMM-інфраструктура працює як найманець за прайсом. О 10:00 ранку власник панелі в
Dolphin{anty}бере гроші від столичних медіа-підрядників на відбілювання комунальних провалів (де CSV-ботUID 100011388163548із назвою колонки «Вища освіта Київ» проходить через латинський омогліф-обфускаторludmila.bondarenko.45557— *«Koлu Biталiй Kлuчкo opганiзовyвaв тepoбopoнy Kuєвa»*), а о 15:00 у сусідній вкладці того ж браузера та сама сітка відпрацьовує замовлення кураторів із 72-го ЦІПсО ГРУ (в/ч 54777) по зриву мобілізації, СЗЧ і тезі «нема чим платити пенсії». - Параліч парсерів і бар’єр MLAT: стандартні дашборди сліпі до слів, розбитих латинськими омогліфами (
Kлuчкo,Патрiоти,Украiни), і не парсять вкладкиFollowing. А коли псевдо-бізнес сторінка серії6158...(на кшталтid=61585982231409із фейковим поштовим індексом219293із генератораFakeAddressGenerator.com) не купує рекламу в Meta Ad Library (0оголошень — не світить банківську картку), офіційний запит MLAT через Мін’юст США на розкриття IP-адрес іде від 6 до 18 місяців. Конвеєр можна переграти лише прямим мікро-форензіком графа підписок і CSV-артефактів у реальному часі.
3. Сліпа зона №2: Побітова криптографія MTProto (doc_id) і «відео-холодильник» ГРУ за 27 хвилин до ТАСС
Більшість оглядачів у Telegram читають очима текст поста. Інженерний OSINT читає бінарні заголовки протоколу MTProto та метадані контейнерів ffprobe.
Показовий приклад із нашого перехоплення від 04.11.2026 під час локальної 15-годинної аварії світла в Києві:
- О
18:21:58 UTCпідсанкційна «Страна.ua» пакує медіаальбом@stranaua/253840..253842із маніпулятивним накидом про «5 діб без світла». - Рівно через 27 хвилин 03 секунди (
18:49:01 UTC) Z-ресурс «Военкоры Русской Весны» (@RVvoenkor/126470..126472) викочує залп про «енергетичний бунт у Києві». Як довести, що це не просто переказ новини, а прямий технічний міст? Дивимося у поляMessageMediaDocument: у пості російських воєнкорів лежать побітово ті самі серверні об’єкти Telegram без перекодування —doc_id=5429119394091411064(664 658байт) таdoc_id=5429119394091411065(4 854 348байт). А о20:49:01 UTCдержавне агентство РФ ТАСС (@tass_agency/404001) офіційно легалізує вкид у федеральному зведенні, закриваючи цикл BDA-дорозвідки для Генштабу РФ за 58 хвилин. - Того ж дня о
08:41:33 UTCофіцери 85-го ГЦСС ГРУ (в/ч 26165, сітка@rezident_ua/@legitimniy) дістають зі свого «відео-холодильника» старий криворізький ролик від02.11.2026(doc_id=5424673918256460497,73 211 137байт), який пролежав у запасі рівно 41 годину 30 хвилин, переганяють його черезffmpegна робочій станції (стискаючи до39 767 082байт, новийdoc_id=5429401745241450945) і за 18 секунд заливають у@rezident_ua/30983як «свіжий вуличний опір» під основну ІПСО-операцію проти повернення бійців із СЗЧ.
Жоден парсер ключових слів не бачить doc_id та штампів перекодування ffmpeg. А для MTProto-трасера це відбиток пальця, залишений прямо на місці злочину.
4. Сліпа зона №3: Числові UID-маячки при перевзуванні нікнеймів та прокладки SendAsPeer
Коли провокатора або сітку підпалювачів у міських чатах Києва, Харкова чи Одеси ловлять за руку, оператор застосовує стандартну процедуру замітання слідів: за 5 секунд видаляє старий @username, міняє аватарку, а в поле імені ставить одну літеру або крапку.
Для класичного гуманітарного моніторингу такий акаунт «зникає з радарів». Але в архітектурі Telegram змінити числовий 64-бітний user_id або channel_id неможливо фізично:
- Коли київська прокладка після нічних закликів до перекриття доріг панічно зносить свій нікнейм екс-
@kyivskiydvishі перейменовується на однолітерну вивіску «л», для нашого трекера вона залишається тим самим незмінним об’єктомchannel_id=3913826799. - Так само розкривається механіка
SendAsPeer(PeerChannel): коли оператор ГРУ чи ФСБ боїться світити в коментарях під міським пабліком свій особистий акаунт і пише від імені порожнього каналу-прокладки з гучною назвою. Звичайний читач бачить у гілці «громадську ініціативу», а MTProto-дамп миттєво витягуєchannel_idпрокладки, будує матрицю всіх її входів у коментарі по країні за хвилинами й кладе на стіл повну топологію мережі разом із одноразовими нульовками діапазонівUID 66... / 7... / 8...(на кшталтuid=8895205236).
5. Сліпа зона №4: Фірми-клони заводів ВПК РФ у ЄГРЮЛ (2024–2026 рр.)
Найбільш кричуща сліпа зона західних санкційних комітетів і кабінетних аналітиків полягає у тому, що вони воюють зі старими вивісками. Складається красивий санкційний список, туди вписують історичну назву російського оборонного заводу з Вікіпедії за 2021 рік, преса пише переможні релізи — і всі йдуть пити каву.
Тим часом російський ВПК у 2024–2026 роках масово застосував простий реєстровий прийом: реєстрацію в ЄГРЮЛ ФНС РФ свіжих юридичних осіб-клонів (часто з тією самою назвою або за тією самою фізичною адресою проммайданчика, але з новим ІПН та ОГРН), через які йдуть контракти, закупівлі верстатів, енергопостачання ГПП-110 кВ та відвантаження продукції:
АО «Анозит»(Куйбишев, Новосибірська обл.): стратегічний монополіст із виробництва перхлорату амонію — окислювача твердого ракетного палива для БРПЧ «Іскандер-М», МБР «Ярс» і ЗУР С-400. Поки західні бюрократи дивилися на старий запис ФКП,03.08.2026у реєстрі РФ було тихо створено нову юрособу-клона з ІПН5402092000та ОГРН1265400018432, яка станом на осінь 2026 року спокійно працює поза санкціями Заходу.АО «Завод Эластик»(Рязанська обл., вибухові речовини й спорядження боєприпасів): свіжий клон від23.08.2024з ІПН6200007300—0західних санкцій.АО «Зала Аэро»(Москва, контур виробництва баражуючих боєприпасів «Ланцет» та розвідників ZALA): нова юрособа 2024 року з ІПН9715478507—0західних санкцій.
Висновок для цеху простий: справжній OSINT у 2026 році починається там, де закінчуються червоні стрілочки в Paint і починається автоматизоване перехресне тралення живих державних реєстрів (ЄГРЮЛ, ЄДР, митних декларацій, судових ухвал) та сирих бінарних протоколів.
