ЧТО МЫ РЕСЁРЧИЛИ — реверс-инжиниринг (полный свод, 2026-09-26 → 28)

Восстановлено из памяти (Mnemopi) + файлов. Всё что мы делали по реверсу за эти дни.

Хронология ресёрча

2026-09-26 (вечер) — Босс попросил переделать пост [REDACTED]

Deep research «РЕВЕРС-ИНЖИНИРИНГ: ПОЛНЫЙ СТЕК 2026» — софт + AI-агенты + курсы + разбор кейса взлома IDA Pro 9.3. Источники сверены, ссылки живые.
Спарсили GitHub через API: 5 поисковых запросов + каталог awesome-ai-reverse целиком + точечные проверки — ~60 позиций с живыми звёздами. Главные находки, которых не было у [REDACTED]: reverse-skill 37.9к★, Anthropic-Cybersecurity-Skills 33.4к★ (817 скиллов), SkillSpector (NVIDIA) 18.4к★, GhidraMCP 10.2к★, Trail of Bits skills 7.2к★, ctf-skills 3.3к★, официальный radare2-mcp, x64dbg-mcp, Cheat Engine MCP, REMnux MCP, auto-re-agent, reverify.
Гайд вырос 3 → 4 сообщения (лимит TG 4096).

2026-09-26 (ночь) — Прожарка: аудит + спор с тремя критиками

Прогнали 3 волны критиков (FactsCritic / StyleCritic / TechCritic), каждый вердикт перепроверен, спор тезис→контраргумент→вердикт. 78 репо через GitHub API + 20 внешних ссылок + ~30 чисел из README. Итог: VERIFIED WITH CAVEATS, v4 → v4.1.

Факт-фиксы (цифры [REDACTED] врут)

Где	Было у [REDACTED]	Стало (сверено)
binary-ninja-headless-mcp	180 тулов	181 тул
firefox-reverse	855 звёзд	857
shannon	47к звёзд	48к
Anthropic-Cybersecurity-Skills	29 доменов	34
open-reverselab	«194 статьи»	180+
PMAT	PMAT-course (404)	PMAT-labs (1160★, жив)
Книга Нарвахи	«Реверсинг с IDA Pro от 0»	«Введение в реверсинг с нуля, используя IDA PRO» (перевода не хватает части 66.2)

Смысловые вранья

Qiling «без запуска» → «без запуска на живой системе» (Qiling код исполняет — в эмуляторе)
OGhidra «сэмплы не уходят в облако» → поддерживает и облачные API; приватность только в локальном режиме
de4py — CC BY-NC (некоммерческая), disrobe — платно для компаний. Интро «всё бесплатное» — ложь
Промпт-инъекция «малварь учится разговаривать» → «встраивает команды в строки» (arXiv:2605.30667)
«~20 новых 0-day» — тавтология

Спор с критиками (выжившие вердикты)

TechCritic [BLOCKER]: «утёк keygen с приватным ключом — не подтверждается» → принят, секция про лицензию IDA переписана: утечка беты 9.2 + генераторы под пропатченные бинари; keygen с приватным ключом публично не подтверждён. Рецепт не включён
StyleCritic: «Ты направляешь и валидируешь» — разговорщина → «Роль человека — направлять и валидировать»
FactsCritic [BLOCKER]: PMAT-course 404 → замена на PMAT-labs
FactsCritic: shannon 47к→48к, firefox-reverse 855→857 (точные числа из API — дисциплина канала)
TechCritic: «Всё бесплатное» → пометки лицензий + «лицензионные исключения помечены»
TechCritic: OGhidra → «LLM через Ollama или облачные API; в локальном режиме сэмплы не уходят в облако»

Отклонено: «виртуалка» (стандартный термин RU-реверс-среды), «↔» (типографика, не эмодзи).

Чистым прошло: ida-pro-mcp 12,351★, GhidraMCP 10,187★, SkillSpector 18,361★, reverse-skill 37,917★, FIRERPA 8,473★, Big Sleep ~20 0-day за 2025, CrackMeBench, ida-mcp MIT/IDA 9.4+, binwalk Rust, bethington 253 тула, Arkana 308.

Верификация финального v4

4 сообщения: 3861 / 3682 / 3882 / 1939 симв. (лимит 4096, запас от 214)
102/102 ссылки живые (beginners.re 403 ботам — сайтом жив, проверено через Tavily)

2026-09-26/27 — свои скиллы

re-roast-2026 (managed-skills, авто-загрузка) — воркфлоу прожарки: триаж ссылок → цифры → названия → лицензии → гиперболы → точность → атрибуция → разбивка 4096 → раздел про лицензию IDA. + scripts/linkcheck.py — многопоточный свип живости (24 воркера, HEAD→GET, 403/405=BOTWALL). Smoke-тест: 200 ✓, 404 ✓, 403 BOTWALL ✓
reverse-skill (ApiOid, security-skills) — роутер 47 модулей + CTF-оркестратор (42) + omp-pe-triage.py (PE-триаж pefile+capstone, чистый Python)
Память: 6 фактов записано в Mnemopi

2026-09-26..28 — реальные кейсы реверса

TelegramExpert.exe — EV-signed (Sectigo, «Slims Software») WiX/burn SFX-bootstrapper, 43 МБ, 6 секций без паковки, SFX×16/WiX×7, admin-проба через OpenProcessToken
WaveADS, hahacc CTF — триаж-отчёты
DarkTelegram — реверс + отчёт 466 строк
DeskGram, loliland — реверс-проекты
Форумные свипы по реверсу (forum-reversing_2026-09-19..28)

Ключевые выводы ресёрча (суть)

Пайплайн разбора сэмпла: триаж (DIE+FLOSS+capa) → распаковка (x64dbg/Scylla, de4dot/dnSpyEx, Qiling) → статика (Ghidra/IDA) → динамика (Frida) → деобфускация (D-810/Unicorn/angr) → поведение (FakeNet-NG/CAPEv2/Speakeasy) → диффинг (BinDiff/Diaphora) → выход (YARA/IOC)
Реверс через ИИ: агент подключается к дизассемблеру через MCP и сам декомпилирует/ходит по xrefs/переименовывает/ставит бряки. Роль человека — направлять и валидировать
Лицензия IDA: .hexlic = офлайн JSON+подпись, ключ зашит в бинарь; keygen с приватным ключом публично не подтверждён; пропатченные сборки = вектор малвари; легально — IDA Free, Ghidra, академлицензия через вуз
Ограничения ИИ-реверса: агент уверенно ошибается в именах функций (крипто/C2/авторизация — руками); упакованный сэмпл = слабый псевдод; строки в бинарнике = промпт-инъекция против RE-агента
Big Sleep (Project Zero + DeepMind) — 0-day в SQLite до релиза, который фаззинг не поймал за 150 CPU-часов

Файлы этого ресёрча

Файл	Что
`rev_guide/p1..p4.md`	Гайд, 4 сообщения (до прожарки)
`rev-guide-v4.md`	Финал v4.1 после прожарки (26 правок, 102/102 ссылки)
`rev-guide-v4-subpost.md`	Под-пост-компаньон (1363 симв.)
`00-source-iishko-original.md`	Исходный пост [REDACTED] (для диффа)
`darktelegram_reverse_report.md`	Кейс DarkTelegram
`gh-reverse-catalog.json`	Каталог GitHub reverse-ресурсов

8.5 KiB Raw Blame History Unescape Escape