Corvidint
Umów briefing

Zobacz podziemie, zachowaj dowody.

Wymaga uwagi w Przeglądzie: alerty krytyczne i wysokie wraz z incydentami, do których należą, każdy z właścicielem i wiekiem.

Monitoruj fora, zamknięte społeczności, usługi onion i serwisy wyciekowe ransomware. Wykrywaj wycieki danych, ujawnione poświadczenia i stojących za nimi aktorów, każdy powiązany z zapieczętowanym przechwyceniem.

Umów briefing
Ekran przeglądu: alerty wymagające uwagi, otwarte incydenty, stan źródeł i aktywność przeszukiwania.

Ekran produktu z danymi fikcyjnymi

Monitoring dark webu tam, gdzie narzędzia nie sięgają.

Ciągły monitoring dark webu: fora, zamknięte społeczności, źródła deep webu i usługi onion, w wielu językach, także w cyrylicy.

Ekrany produktu z danymi fikcyjnymi

  • Fora publiczne

    Nowe wątki, odpowiedzi i edycje wychwytywane według harmonogramu.

    Sprawdzane według harmonogramu

    Wątek z forum publicznego na ekranie Wątki, z odpowiedziami, ostatnim postem i dopasowaniem do listy obserwacyjnej.

  • Zamknięte społeczności

    Stan sesji jest sprawdzany, a problemy z dostępem sygnalizowane, w ramach dostępu, do którego Państwa organizacja jest uprawniona.

    Zgłoszony problem z dostępem

    Wątek z zamkniętego rynku. Czytnik sygnalizuje, że captcha blokuje sesję, więc nowe odpowiedzi czekają, aż ktoś się zaloguje.

  • Źródła deep webu

    Strony ukryte za ważną sesją, przechwycone wraz z czasem ich pobrania.

    Sesja obecna, nigdy niepokazywana

    Pochodzenie wątku: przebieg zakończył się powodzeniem, widać czas przeszukania oraz obecną sesję, której sekrety nigdy nie są pokazywane.

  • Usługi onion

    Fora onion autoryzowane do badań CTI, czytane przez Tor w języku, w którym powstały.

    Czytane przez Tor, po rosyjsku

    Wątek z forum onion, napisany po rosyjsku, na ekranie Wątki.

  • Serwisy wyciekowe ransomware

    Karty ofiar śledzone od odliczania do usunięcia.

    Każda karta ofiary

    Zobacz monitoring serwisów wyciekowych
    Widok ransomware w Źródłach: starsze karty ofiar, opublikowane, wyciekłe lub usunięte.

  • Historia

    Uzupełnij przeszłość źródła w dniu jego dodania. Edycje są zachowywane, więc widać, co post mówił wcześniej.

    Edytowano, wcześniejsza wersja zachowana

    Rewizje posta: wiersz kontaktowy, który autor dodał po pierwszym przechwyceniu, zachowany obok wcześniejszej wersji.

Wykrywanie wycieków danych, póki sprzedaż wciąż trwa.

Posty są klasyfikowane według intencji, poszkodowanej organizacji, regionu, typów danych, liczby rekordów i ceny, a próbki są oznaczane.

Najedź kursorem lub aktywuj pole, aby znaleźć je w przechwyconym wątku.Otwórz pole, aby zobaczyć je w przechwyconym wątku.

Czytnik wątków w Corvidint na całą szerokość: post oferujący dostęp do regionalnego banku z UE, z jego faktami, dopasowaniem do listy obserwacyjnej, treścią posta i załącznikiem

Ekran produktu z danymi fikcyjnymi

Pochodzenie

  1. ŹródłoForum, na którym opublikowano
  2. Przebieg zbieraniaZaplanowany przebieg, który go odczytał
  3. Zapieczętowane przechwycenieStrona taka, jak przechwycona, z odciskiem
  4. PostTekst, z którego pochodzi każda wartość
  5. UstalenieTo, co czyta analityk, z oznaczeniem
  6. Lista obserwacyjnaReguła, która je wykryła

Śledzenie aktorów zagrożeń przez wszystkie aliasy.

Nicki, portfele i kontakty są łączone między źródłami, więc sprzedawca zmieniający nazwy pozostaje jednym aktorem, a Państwa listy obserwacyjne za nim podążają.

Źródło A, forum onion412 postów tego aktora

Źródło B, zamknięty rynek96 postów tego aktora

Źródło C, forum publiczne31 postów tego aktora

Przykład syntetyczny. Ten sam nick w Źródle A i Źródle C, portfel użyty ponownie w Źródle A i Źródle B oraz kontakt wspólny dla Źródła B i Źródła C prowadzą do jednego śledzonego aktora.

Zapisane o tym aktorze

  • Aktorzy3
  • Aliasy3
  • Wspólne identyfikatory3
  • Posty6
  • Wątki3
  • Wskaźniki2
  • Organizacje2
  • Kraje2
  • Klucze1
  • Karty wycieków1
  • Listy obserwacyjne2
  • Alerty2
  • Incydenty1

Najedź kursorem lub aktywuj węzeł, aby zobaczyć jego powiązania.

Dane syntetyczne

Wszystko, co powiązano z tym aktorem

  • h4rvestopublikowałDostęp, regionalny bank z UE
  • 198[.]51[.]100[.]23wyodrębniono zDostęp, regionalny bank z UE
  • Dostęp, regionalny bank z UEatakujeBank regionalny, UE
  • Nowe ogłoszenieatakujeBiura rachunkowe
  • Biura rachunkowez siedzibą wHolandia
  • Biura rachunkowez siedzibą wBelgia
  • kr0nos_svcopublikowałAktualizacja zasad escrow
  • kr0nos_svcprowadzik3vq7nz2…[.]onion
  • k3vq7nz2…[.]onionwymieniony wAktualizacja zasad escrow
  • dust_roomodpowiedział naDostęp, regionalny bank z UE
  • dust_roomzapłaciłh4rvest
  • 41F7 0D9Bużywany przezh4rvest
  • Firma logistyczna, DEwspominaWspólny kontakt
  • Banki UE, sprzedaż dostępówdopasowano doDostęp, regionalny bank z UE
  • Banki UE, sprzedaż dostępówwywołałal_9f21
  • Śledzeni aktorzydopasowano doharvest_ops
  • Śledzeni aktorzywywołałal_9f28
  • al_9f28zgrupowany winc_204
Profil aktora w konsoli: aliasy, pierwsze i ostatnie wykrycie, aktywność i podsumowanie pochodne, na danych fikcyjnych
Fora aktora w konsoli, z rangą, datą dołączenia i postami na każdym forum, na danych fikcyjnych
Nowe ogłoszenie tego samego aktora na innym forum, w czytniku wątków, na danych fikcyjnych
Menu działań tego ogłoszenia, otwarte na wywołanym alercie, na danych fikcyjnych
Profil aktora w konsoli: aliasy, pierwsze i ostatnie wykrycie, aktywność i podsumowanie pochodne, na danych fikcyjnych
Menu działań tego ogłoszenia, otwarte na wywołanym alercie, na danych fikcyjnych

Ekran produktu z danymi fikcyjnymi

Kim jest

Nicki według źródeł
ŹródłoNickRangaDołączyłPosty
Źródło Ah4rvestSprzedawcakwi 2023412
Źródło Bharvest_opsCzłoneksty 202496
Źródło Ch4rvestBrak rangicze 202431
Identyfikatory
Portfel użyty ponownie w 14 postach na 2 źródłach@proton[.]exampleKontakt wspólny dla 2 źródeł, 9 wzmianekh4rvestTen sam nick w 2 źródłach41F7 0D9BKlucz PGP wymieniony w 3 postach
Godziny publikowania, UTC
Języki
Angielski i rosyjski, wykrywane dla każdego posta
Widziany
Od 11 kwi 2023 do 2 paź 2026
Aktywność
539 postów, 70 w ostatnich 30 dniach, 2 założone wątki

Co atakuje i z kim współpracuje

Tematy
Dostęp początkowy, konta VPN i domenowe, listy combo
Sektory
Banki, procesory płatności, biura rachunkowe
Kraje
Holandia and Belgia oraz banki z UE bez wskazanego kraju
Podawane ceny
Od 5 do 6 BTC w 3 ogłoszeniach, wyłącznie przez escrow
Powiązane wątki
[Access] EU regional bank, VPN + domain userŹródło A, forum onion, 41 odpowiedziSelling RDP to accounting firms, NL/BEŹródło D, forum onion, 4 odpowiedzi
Alerty i incydenty
KrytycznyZaoferowano dostęp początkowy do monitorowanego bankual_9f21WysokiDostęp RDP do biur rachunkowych w NL/BEal_9f28Incydent: sprzedaż dostępów do regionalnych banków z UE, 4 alertyinc_204
Współpracuje z
dust_roomPytał o ofertę, 5 interakcjikr0nos_svcEscrow i poręczenia, 3 interakcjemiragePytał o partnera płatniczego, 1 interakcja

Dane syntetyczne

Wyodrębnione i zdefangowane, w produkcie

Ekran produktu z danymi fikcyjnymi

Ekstrakcja IOC, zdefangowane i gotowe do polowania.

E-maile, domeny, adresy URL, adresy onion, IP, hashe, CVE i portfele kryptowalutowe są wyodrębniane z każdego posta i defangowane, żeby nic nie otworzyło się przypadkiem.

  • Domena

    nordhafen-support[.]example

    Każda kropka w nawiasach, by nigdy się nie rozwiązywała.

  • URL

    hxxps://files[.]example[.]net/s/7Qm2Lx

    Schemat rozbrojony do hxxps, kropki hosta w nawiasach.

  • Adres onion

    hxxp://k3vq7nz2…6wpx3yha[.]onion/escrow

    Pokazany jako adres zdefangowany, nigdy jako link.

  • CVE

    CVE-2026-21847

    Dopasowywane w każdym poście, który je wymienia.

  • Portfel krypto

    Bitcoin
    bc1q9h7g…0pz3ve7c
    Ethereum
    0x7f3a91c4…d02be91c

    Skrócony pośrodku i powiązany między aktorami.

  • Hash pliku

    MD5
    3c62e6a0960af0138dd8363e24e3f899
    SHA-1
    b20b68ec0b291b99ea5d4d9e6bb66a11dd037b31
    SHA-256
    1b8e0c7dab474a027ed90be3f00e397a07fe8b96c9c2ba52f77036e9b7d9e2f4

    Zachowany bez zmian: hasha nie da się otworzyć.

  • Adres IP

    IPv4
    198[.]51[.]100[.]23
    IPv6
    2001[:]db8[:]4f1a[:][:]17

    Kropki i dwukropki w nawiasach, w IPv4 i IPv6.

Dane syntetyczne

Analiza AI, która nigdy nie nadpisuje faktów.

Fakty ze źródła pozostają dokładnie takie, jak przechwycono. Wzbogacenie przez AI trafia do osobnego bloku, opatrzonego modelem, wersją promptu i pewnością, i nigdy ich nie nadpisuje.

Te same odpowiedzi z wybranym tłumaczeniem: każda pokazuje swój tekst po angielsku w bloku oznaczonym Pochodne, Tłumaczenie maszynowe, z modelem nllb-ru-en v3.1 i pewnością 0.93, oznaczone jako Tłumaczenie maszynowe, nie dowód
Czytnik wątków w produkcie z wybranym oryginałem: odpowiedzi po rosyjsku, oznaczone jako Jak przechwycono, dowód
Te same odpowiedzi z wybranym tłumaczeniem: każda pokazuje swój tekst po angielsku w bloku oznaczonym Pochodne, Tłumaczenie maszynowe, z modelem nllb-ru-en v3.1 i pewnością 0.93, oznaczone jako Tłumaczenie maszynowe, nie dowód
Czytnik wątków w produkcie z wybranym oryginałem: odpowiedzi po rosyjsku, oznaczone jako Jak przechwycono, dowód

Ekran produktu z danymi fikcyjnymi

  • Podsumowania postów i całych wątków.
  • Opcjonalne tłumaczenie, zawsze oznaczone.
  • Działa na modelach lokalnych lub hostowanych samodzielnie, gdy dane muszą zostać w środku.
Analiza pochodna w produkcie: podsumowanie i klasyfikacja wątku, każde oznaczone jako Pochodne i opatrzone modelem, wersją oraz pewnością
  1. Etykieta: Pochodne
  2. Model i wersja
  3. Pewność

Ekran produktu z danymi fikcyjnymi

Alerty z dark webu dzięki listom obserwacyjnym, które stale czuwają.

Wyszukiwanie pełnotekstowe i semantyczne w całości zebranych danych. Zamień to, na czym Państwu zależy, w listy obserwacyjne, odtwórz je na historii i kieruj alerty do swoich narzędzi.

Menu poleceń otwarte nad przeglądem, do przechodzenia do dowolnego widoku lub wyszukiwania wątków, aktorów, podmiotów i źródeł
Ctrl K natychmiast otwiera menu poleceń z dowolnego ekranu.
Wyniki wyszukiwania frazy regional bank: 49 wyników w 212 ms z podświetleniem każdego trafienia oraz wybrany post z jego zdefangowanymi wskaźnikami
Przeszukuj wszystko, co zebrano, z podświetleniem każdego trafienia.
Skrzynka alertów, od najpoważniejszych, z dopasowaniami list obserwacyjnych, właścicielami, licznikami i stanami
Dopasowania list obserwacyjnych trafiają jako alerty, gotowe do przypisania i zamknięcia.
Karta list obserwacyjnych, z każdą listą oraz jej terminami, źródłami, ważnością i dopasowaniami z ostatnich 24 godzin
Każda lista obserwacyjna przechowuje swoje terminy, źródła i dopasowania.

Ekran produktu z danymi fikcyjnymi

  • Zaprojektowane, by odpowiadać w mniej niż 100 ms.

    Wyszukiwanie i filtry w całości zebranych danych.

  • Domyślnie zdefangowane.

    Linki i adresy nigdy nie otwierają się przypadkiem.

  • Rozmyte do czasu odsłonięcia.

    Wrażliwe wartości pozostają ukryte, dopóki analityk ich nie odsłoni.

Przechwytywanie dowodów cyfrowych, których można bronić.

Każda strona jest przechwytywana w całości, zapieczętowana odciskiem SHA-256 i powiązana z każdym ustaleniem, które wspiera. Edycje są zachowywane, nigdy nadpisywane.

Widok rozstrzelony jednego zapieczętowanego przechwycenia: przechwycony post, przechwycenia jego stron, pliki i odcisk SHA-256.

Ekran produktu: przechwycona odpowiedź, jej obraz zewnętrzny niezaładowany, a host obrazu zdefangowany.
Ekran produktu: przechwycona odpowiedź, jej obraz zewnętrzny niezaładowany, a host obrazu zdefangowany.

Przechwycony post

Post w takiej postaci, w jakiej udostępniło go forum. Jego obraz zewnętrzny nigdy nie jest ładowany, a każdy adres jest zdefangowany.

Ekran produktu: przechwycenia stron wątku, każde z hashem SHA-256 i datą.

Przechwycenia stron

Każda strona wątku jest przechwytywana w całości, z własnym hashem SHA-256 i datą.

Ekran produktu: pliki wątku wymienione przez forum i nigdy nieotwierane w przeglądarce.

Pliki

Załączniki są rejestrowane z nazwą, rozmiarem i hashem, a w przeglądarce nigdy nie są otwierane.

Odcisk

Odcisk SHA-256 obliczony z całego przechwycenia. Zmiana choćby jednego bajtu sprawia, że przestaje się zgadzać.

Zapieczętowane SHA-256

Każde ustalenie odsyła do tego przechwycenia, jego źródła, przebiegu zbierania i posta oraz do listy obserwacyjnej, która je wykryła.

  1. ŹródłoCorvid
  2. Przebieg zbieraniarun_6b19d4e0
  3. Zapieczętowane przechwyceniesha256 91c4ab22…
  4. Post#5
  5. Ustaleniethr_4471
  6. Lista obserwacyjnaEU banks

Ekran produktu z danymi fikcyjnymi

Pusta strona nie oznacza zera nowych postów.

Każdy przebieg zbierania kończy się nazwanym wynikiem, a stan każdego źródła jest widoczny, więc cisza nigdy nie ukrywa awarii.

Ekran Źródła w Corvidint: stan wszystkich źródeł według statusu oraz każde źródło ze swoim stanem, ostatnim przeszukaniem, częstotliwością i postami z ostatnich 24 godzin
Wątek w Corvidint ze źródła z limitem zapytań: czytnik ostrzega, że nowe odpowiedzi mogą dotrzeć z opóźnieniem, a zapisane posty są kompletne do ostatniego przebiegu
Brak nowych treści
Źródło odczytano w całości i nie opublikowano niczego nowego.
Uwierzytelnianie nieudane
Sesja została odrzucona, a problem z dostępem jest sygnalizowany, zanim zamieni się w lukę.
Wyświetlono wyzwanie
Serwis odpowiedział stroną z wyzwaniem zamiast swoją treścią.
Źródła w Corvidint: jedno niedziałające po zmianie serwisu, jedno zablokowane przez captcha, jedno z limitem zapytań, każde opisane słowami
Zmiana układu
Struktura strony się zmieniła, więc posty nie dają się już odczytać jak wcześniej.
Błąd odczytu
Strona dotarła, ale nie udało się z niej odczytać postów.
Błąd sieci
Nie udało się połączyć ze źródłem w trakcie przebiegu.
Częściowe wczytanie
Wczytała się tylko część strony, więc przebieg nie jest liczony jako kompletny.
Nietypowo niski wolumen
Znacznie mniej postów, niż to źródło zwykle daje w jednym przebiegu.
Uszkodzone przechwycenie
Przechwycenie strony wróciło uszkodzone, a przebieg to zgłasza.
Magazyn dowodów niedostępny
Nie udało się zapisać przechwyceń, więc przebieg zgłasza lukę zamiast uchodzić za poprawny.
Opóźnione indeksowanie
Posty zebrano, ale nie można ich jeszcze wyszukiwać.

Gdy źródło jest opóźnione lub zablokowane, informuje o tym każdy jego wątek, a zapisane już posty pozostają czytelne.

Gdy serwis zmienia układ, proponowana jest naprawa, którą zatwierdza człowiek.

Czytnik w Corvidint ostrzegający, że źródło ogranicza zbieranie, więc nowe odpowiedzi mogą dotrzeć z opóźnieniem
Ekran Źródła w Corvidint: stan wszystkich źródeł według statusu oraz każde źródło ze swoim stanem, ostatnim przeszukaniem, częstotliwością i postami z ostatnich 24 godzin
Wątek w Corvidint ze źródła z limitem zapytań: czytnik ostrzega, że nowe odpowiedzi mogą dotrzeć z opóźnieniem, a zapisane posty są kompletne do ostatniego przebiegu

Ekran produktu z danymi fikcyjnymi

Sprawdź to na własnych źródłach.

Prosimy opisać potrzeby. Pokażemy przechwycenie na żywo, od posta po zapieczętowany rekord.

Umów briefing

Wolą Państwo e-mail? Prosimy pisać na [email protected].