reverse-skills-max: initial public release (restored, redacted, hardened)

research-what-we-did/RESEARCH-SUMMARY.md

@@ -0,0 +1,83 @@
+# ЧТО МЫ РЕСЁРЧИЛИ — реверс-инжиниринг (полный свод, 2026-09-26 → 28)
+
+Восстановлено из памяти (Mnemopi) + файлов. Всё что мы делали по реверсу за эти дни.
+
+---
+
+## Хронология ресёрча
+
+### 2026-09-26 (вечер) — Босс попросил переделать пост [REDACTED]
+1. **Deep research «РЕВЕРС-ИНЖИНИРИНГ: ПОЛНЫЙ СТЕК 2026»** — софт + AI-агенты + курсы + разбор кейса взлома IDA Pro 9.3. Источники сверены, ссылки живые.
+2. **Спарсили GitHub через API**: 5 поисковых запросов + каталог awesome-ai-reverse целиком + точечные проверки — ~60 позиций с живыми звёздами. Главные находки, которых не было у [REDACTED]: reverse-skill 37.9к★, Anthropic-Cybersecurity-Skills 33.4к★ (817 скиллов), SkillSpector (NVIDIA) 18.4к★, GhidraMCP 10.2к★, Trail of Bits skills 7.2к★, ctf-skills 3.3к★, официальный radare2-mcp, x64dbg-mcp, Cheat Engine MCP, REMnux MCP, auto-re-agent, reverify.
+3. **Гайд вырос 3 → 4 сообщения** (лимит TG 4096).
+
+### 2026-09-26 (ночь) — Прожарка: аудит + спор с тремя критиками
+Прогнали 3 волны критиков (FactsCritic / StyleCritic / TechCritic), каждый вердикт перепроверен, спор тезис→контраргумент→вердикт. 78 репо через GitHub API + 20 внешних ссылок + ~30 чисел из README. Итог: **VERIFIED WITH CAVEATS**, v4 → v4.1.
+
+#### Факт-фиксы (цифры [REDACTED] врут)
+
+| Где | Было у [REDACTED] | Стало (сверено) |
+|---|---|---|
+| binary-ninja-headless-mcp | 180 тулов | **181 тул** |
+| firefox-reverse | 855 звёзд | **857** |
+| shannon | 47к звёзд | **48к** |
+| Anthropic-Cybersecurity-Skills | 29 доменов | **34** |
+| open-reverselab | «194 статьи» | **180+** |
+| PMAT | PMAT-course (404) | **PMAT-labs** (1160★, жив) |
+| Книга Нарвахи | «Реверсинг с IDA Pro от 0» | **«Введение в реверсинг с нуля, используя IDA PRO»** (перевода не хватает части 66.2) |
+
+#### Смысловые вранья
+- **Qiling «без запуска»** → «без запуска на живой системе» (Qiling код исполняет — в эмуляторе)
+- **OGhidra** «сэмплы не уходят в облако» → поддерживает и облачные API; приватность только в локальном режиме
+- **de4py** — CC BY-NC (некоммерческая), **disrobe** — платно для компаний. Интро «всё бесплатное» — ложь
+- **Промпт-инъекция** «малварь учится разговаривать» → «встраивает команды в строки» (arXiv:2605.30667)
+- «~20 новых 0-day» — тавтология
+
+#### Спор с критиками (выжившие вердикты)
+1. TechCritic [BLOCKER]: «утёк keygen с приватным ключом — не подтверждается» → **принят**, секция про лицензию IDA переписана: утечка беты 9.2 + генераторы под пропатченные бинари; keygen с приватным ключом публично не подтверждён. Рецепт не включён
+2. StyleCritic: «Ты направляешь и валидируешь» — разговорщина → «Роль человека — направлять и валидировать»
+3. FactsCritic [BLOCKER]: PMAT-course 404 → замена на PMAT-labs
+4. FactsCritic: shannon 47к→48к, firefox-reverse 855→857 (точные числа из API — дисциплина канала)
+5. TechCritic: «Всё бесплатное» → пометки лицензий + «лицензионные исключения помечены»
+6. TechCritic: OGhidra → «LLM через Ollama или облачные API; в локальном режиме сэмплы не уходят в облако»
+
+**Отклонено:** «виртуалка» (стандартный термин RU-реверс-среды), «↔» (типографика, не эмодзи).
+
+**Чистым прошло:** ida-pro-mcp 12,351★, GhidraMCP 10,187★, SkillSpector 18,361★, reverse-skill 37,917★, FIRERPA 8,473★, Big Sleep ~20 0-day за 2025, CrackMeBench, ida-mcp MIT/IDA 9.4+, binwalk Rust, bethington 253 тула, Arkana 308.
+
+#### Верификация финального v4
+- 4 сообщения: 3861 / 3682 / 3882 / 1939 симв. (лимит 4096, запас от 214)
+- **102/102 ссылки живые** (beginners.re 403 ботам — сайтом жив, проверено через Tavily)
+
+### 2026-09-26/27 — свои скиллы
+- **`re-roast-2026`** (managed-skills, авто-загрузка) — воркфлоу прожарки: триаж ссылок → цифры → названия → лицензии → гиперболы → точность → атрибуция → разбивка 4096 → раздел про лицензию IDA. + `scripts/linkcheck.py` — многопоточный свип живости (24 воркера, HEAD→GET, 403/405=BOTWALL). Smoke-тест: 200 ✓, 404 ✓, 403 BOTWALL ✓
+- **`reverse-skill`** (ApiOid, security-skills) — роутер 47 модулей + CTF-оркестратор (42) + `omp-pe-triage.py` (PE-триаж pefile+capstone, чистый Python)
+- Память: 6 фактов записано в Mnemopi
+
+### 2026-09-26..28 — реальные кейсы реверса
+- **TelegramExpert.exe** — EV-signed (Sectigo, «Slims Software») WiX/burn SFX-bootstrapper, 43 МБ, 6 секций без паковки, SFX×16/WiX×7, admin-проба через OpenProcessToken
+- **WaveADS**, **hahacc CTF** — триаж-отчёты
+- **DarkTelegram** — реверс + отчёт 466 строк
+- **DeskGram**, **loliland** — реверс-проекты
+- **Форумные свипы** по реверсу (forum-reversing_2026-09-19..28)
+
+---
+
+## Ключевые выводы ресёрча (суть)
+
+1. **Пайплайн разбора сэмпла**: триаж (DIE+FLOSS+capa) → распаковка (x64dbg/Scylla, de4dot/dnSpyEx, Qiling) → статика (Ghidra/IDA) → динамика (Frida) → деобфускация (D-810/Unicorn/angr) → поведение (FakeNet-NG/CAPEv2/Speakeasy) → диффинг (BinDiff/Diaphora) → выход (YARA/IOC)
+2. **Реверс через ИИ**: агент подключается к дизассемблеру через MCP и сам декомпилирует/ходит по xrefs/переименовывает/ставит бряки. Роль человека — направлять и валидировать
+3. **Лицензия IDA**: .hexlic = офлайн JSON+подпись, ключ зашит в бинарь; keygen с приватным ключом публично не подтверждён; пропатченные сборки = вектор малвари; легально — IDA Free, Ghidra, академлицензия через вуз
+4. **Ограничения ИИ-реверса**: агент уверенно ошибается в именах функций (крипто/C2/авторизация — руками); упакованный сэмпл = слабый псевдод; строки в бинарнике = промпт-инъекция против RE-агента
+5. **Big Sleep** (Project Zero + DeepMind) — 0-day в SQLite до релиза, который фаззинг не поймал за 150 CPU-часов
+
+## Файлы этого ресёрча
+
+| Файл | Что |
+|---|---|
+| `rev_guide/p1..p4.md` | Гайд, 4 сообщения (до прожарки) |
+| `rev-guide-v4.md` | **Финал v4.1 после прожарки** (26 правок, 102/102 ссылки) |
+| `rev-guide-v4-subpost.md` | Под-пост-компаньон (1363 симв.) |
+| `00-source-iishko-original.md` | Исходный пост [REDACTED] (для диффа) |
+| `darktelegram_reverse_report.md` | Кейс DarkTelegram |
+| `gh-reverse-catalog.json` | Каталог GitHub reverse-ресурсов |