Dokumentacja / 09

Przeprowadzanie dochodzeń we wszystkich czatach

Przeprowadź całą sprawę, obejmującą różne kanały, grupy, czaty prywatne i boty: gromadź, łącz, odtwarzaj i przekazuj dowody.

Niniejszy przewodnik przedstawia przebieg jednego fikcyjnego zdarzenia na podstawie kompletnego zapisu. Wykorzystuje on rzeczywiste funkcje gromadzenia danych, wyszukiwania, tworzenia profili osób oraz eksportu. Mapa sprawy stanowi przykład dokumentacji; Państwa wnioski oraz rejestr spraw są przechowywane poza aplikacją.

Aby uzyskać informacje na temat wczytywania historii, opcjonalnej weryfikacji źródeł przez sztuczną inteligencję, MCP, OCR oraz wychodzących webhooków, zobacz sekcję „Praca z archiwum”.

1. Zapewnienie pełnego zakresu monitorowania całego konta

1. Proszę podłączyć konto służące do gromadzenia danych w oddzielnym obszarze roboczym. Proszę odnotować numer referencyjny sprawy, identyfikator konta, nazwę obszaru roboczego oraz odcisk palca klucza podpisu w notatkach dotyczących sprawy.
2. Źródła otwarte → Zakres obserwacji → Tryb dochodzeniowy. Przejrzyj całe konto, wszystkie cztery typy źródeł oraz własne działania. To ustawienie wstępne umożliwia zapisanie profilu nowego źródła oraz jego ostatnich 200 widocznych wiadomości. Proszę nacisnąć przycisk „Zapisz zakres” i potwierdzić wybrany zakres.
3. Naciśnij przycisk „Załaduj czaty”. Porównaj źródła z listą rozmów na koncie i sprawdź wykluczenia. W sekcji „Parametry” → „Czaty odczytywane z listy konta” dostosuj w razie potrzeby początkowy limit listy: domyślnie wynosi on 1 000 rozmów, można go skonfigurować do 20 000. Czatów wykraczających poza ten limit nie wykrywa się, dopóki nie staną się aktywne.
4. W ustawieniach rejestrowania należy wybrać opcję „Wszystkie widoczne działania” i zapisać ją. Należy sprawdzić typy załączników, limity rozmiaru oraz ilość wolnego miejsca na dysku. Przed rozpoczęciem korzystania z konfiguracji należy uruchomić monitorowanie oraz zweryfikować, czy narzędzie poprawnie rejestruje kontrolowaną wiadomość, jej edycję oraz usunięcie.

Opcja „Całe konto” obejmuje czaty, do których konto to ma dostęp, wraz ze skonfigurowanymi typami źródeł i wykluczeniami. Czaty tajne są niedostępne. Nowe okna dialogowe są dodawane w miarę pojawiania się aktualizacji; włączenie tego trybu nie powoduje automatycznego pobrania pełnej historii wszystkich istniejących czatów.

2. Pozyskiwanie historii i archiwizacja plików

Proszę utworzyć rejestr źródeł dla całego dochodzenia. Każdej rozmowie należy przyporządkować wiersz zawierający jej identyfikator numeryczny, tytuł, konto, uprawnienia/rolę, datę rozpoczęcia monitorowania na żywo, datę pozyskania historii, wyniki dotyczące multimediów oraz znane luki. Źródło należy oznaczyć jako pozyskane dopiero po sprawdzeniu odpowiednich wyników.

Pełny eksport czatu stanowi oddzielną migawkę; nie powoduje on zaimportowania całej historii do dziennika ani profili użytkowników. Aby przeszukiwać materiały historyczne w TgWitness, należy skorzystać z opcji „Załaduj pełną historię ze wszystkich włączonych źródeł” lub z ograniczonych migawek dziennika. Przed rozpoczęciem operacji należy sprawdzić listę źródeł.

W analizowanym przypadku należy pozyskać kanał ogłoszeniowy, grupę operacyjną, rozmowę z botem oraz prywatną korespondencję uzupełniającą. Należy zachować bajty i skrót pliku załączonego do wiadomości. Dostępna obecnie historia nie pozwala na odtworzenie wiadomości usuniętej przed jej przechwyceniem ani pośredniej edycji, której Telegram już nie udostępnia.

3. Proszę śledzić rozwój rozmowy oraz swoje własne działania

Proszę kontynuować monitorowanie w miarę rozwoju sprawy. Proszę oznaczyć aktywne czaty związane ze sprawą jako źródła priorytetowe; skonfigurować ponowne sprawdzanie źródeł priorytetowych i innych w sekcji Ustawienia rejestrowania → Ponowne sprawdzanie. Proszę weryfikować wyniki recheck.completed, dalsze uzupełnianie danych, FloodWait oraz wyniki dotyczące multimediów w miarę postępów prac.

Proszę skorzystać z opcji „Czat” → „Profil” → „Zapisz profil teraz”, aby zachować aktualne opisy źródeł, polecenia bota oraz inne metadane zwracane przez Telegram. Ten profil źródła jest odrębny od profili osób tworzonych na podstawie wiadomości z dziennika.

4. Śledzenie osób, linków i plików w różnych czatach

1. Otwórz dziennik, pozostaw filtr źródeł ustawiony na „Wszystkie źródła” i wyszukaj charakterystyczną frazę, domenę, nazwę użytkownika lub zapisany identyfikator. Otwórz każdy pasujący wpis i zanotuj nazwę czatu, identyfikator wiadomości oraz numer sekwencyjny w dzienniku.
2. Aby przejść do odpowiedniej rozmowy, proszę otworzyć sekcję „Rozmowy” → „Osoby” → „Włącz profile”, a następnie wybrać daną osobę. Proszę przejrzeć historię nazwisk/nazw użytkowników, relacje odpowiedzi, aktywność, a także sekcję „Również w…” zawierającą inne obserwowane rozmowy oraz wyodrębnione linki, portfele lub numery telefonów. Proszę otworzyć cytowane wpisy w dzienniku.
3. Proszę śledzić ten sam numeryczny identyfikator użytkownika Telegrama w innych czatach w tej przestrzeni roboczej. Proszę traktować pasującą nazwę, wzmiankę o portfelu lub podobny awatar jako wskazówkę do sprawdzenia. Wzmianka o adresie nie potwierdza własności; podobny awatar nie oznacza, że chodzi o tę samą osobę.
4. Porównaj wartości SHA-256 zachowanych załączników w poszczególnych wpisach. Identyczne skróty potwierdzają zgodność bajtową zapisanych plików. Przed wyciągnięciem wniosków dotyczących tego, kto je udostępnił, należy sprawdzić powiązane wpisy wiadomości i nadawców.

Profile użytkowników obejmują autorów, których wiadomości zostały zapisane w danym czacie, i powiązują ich z innymi czatami w tym samym dzienniku obszaru roboczego. Nie stanowią one kompletnego wykazu członków. Skróty awatarów pochodzą z oddzielnej lokalnej pamięci podręcznej; liczba cytowań w profilach podlega konfiguracji w sekcji Parametry → Liczba cytowanych wpisów na fakt.

5. Odtworzyć sekwencję i zaznaczyć luki

W sekcji „Czat” proszę przejrzeć zapisane wersje oraz linki do wpisów w dzienniku o numerach #… W sekcji „Dziennik” proszę skorzystać z opcji „Wszystkie źródła” oraz „Edycje”, „Usunięcia” i „Zakres”. Proszę stworzyć oś czasu sprawy, uwzględniając zarówno datę podaną przez Telegram, jak i czas obserwacji określony przez osobę gromadzącą dane.

1. 09:00 · #101Zrzut wpisu z kanału

   Zachowano pierwotny adres docelowy.

2. 09:12 · #146 / #151Grupa udostępnia inny link

   Użytkownik 71001 publikuje wpis; pobieranie załącznika zostaje zakończone.

3. 09:16 · #173Bot wskazuje ten sam adres docelowy

   Link znajduje się w zapisanych metadanych z klawiatury.

4. 09:20 · #188Zmiany w ogłoszeniach na kanale

   Zachowane zostają zarówno oryginalne, jak i edytowane obserwacje.

5. 09:24 · #205 / #209Prywatna wiadomość uzupełniająca powtarza to

   Zapisany załącznik posiada ten sam pełny skrót SHA-256 co #151.

6. 09:28 · #231Pojawia się powiadomienie o usunięciu grupy

   Wcześniejsza uwaga pozostaje aktualna: nie podano ani osoby, która dokonała usunięcia, ani dokładnego czasu usunięcia.

Przykładowe czasy obserwacji i odniesienia. Pomiędzy tymi wpisami znajdują się inne zapisy dziennika.

Kolejność wpisów w dzienniku odpowiada kolejności ich otrzymania, a niekoniecznie pierwotnym działaniom w aplikacji Telegram. Starsza migawka historii może pojawić się po nowszej wiadomości na żywo. Należy wyraźnie rozróżniać obserwacje na żywo, migawki, odzyskane wiadomości, powiadomienia o usunięciu oraz przypadki „braku przy ponownej weryfikacji”. W miejscach, gdzie w zakresie pokrycia występuje luka, należy wyraźnie zaznaczyć nieznany przedział czasowy; późniejsza migawka nie usuwa tej luki.

6. Rozszerzenie zakresu na inne konta służące do gromadzenia danych

Należy utworzyć osobny obszar roboczy dla każdego odrębnego konta i powtórzyć proces określenia zakresu oraz sporządzenia wykazu historii. Należy odnotować przynależność/rolę oraz odcisk klucza podpisującego dla każdego z nich. Identyfikatory należy kwalifikować według obszaru roboczego i czatu: ten sam numer wiadomości nie stanowi globalnego identyfikatora obejmującego wszystkie konta.

Porównaj istotne spostrzeżenia w notatkach dotyczących sprawy lub narzędziach analitycznych, zachowując odniesienie do konta i dziennika dla każdego wiersza. TgWitness nie oferuje obecnie jednej globalnej wyszukiwarki, połączonej osi czasu, wykresu kontaktów ani archiwum spraw obejmującego wszystkie obszary robocze. Pełny eksport jednego kanału lub supergrupy z wielu kont stanowi odrębną funkcję; nie jest to połączenie dzienników wszystkich kont.

W przypadku dłuższych działań należy zaangażować niezależnego świadka w celu zachowania wcześniej ustalonych granic. Proszę skorzystać z pilotażowego programu kontrolowanej dostawy, aby zweryfikować ścieżki przechwytywania kont oraz ich widoczność.

7. Dostarczenie kompletnego, weryfikowalnego pakietu dowodowego

Z każdego obszaru roboczego można wyeksportować plik ZIP zawierający podpisany dziennik. Zawiera on pełną treść zarejestrowanego dziennika, niezależnie od filtrów wyszukiwania zastosowanych w panelu. Istnieje możliwość oddzielnego eksportowania profili odpowiednich osób, zachowania pełnych zestawów historii czatów oraz kompletnych dowodów w postaci załączników.

CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files

Proszę przechowywać zaufane odciski palców w oddzielnym kanale. Z poziomu zaufanej instalacji należy zweryfikować każdy artefakt pod kątem jego tożsamości w ramach własnego obszaru roboczego:

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

Proszę sprawdzić rzeczywiste wyniki weryfikacji, zachować oryginały oraz przechować raport z zakresu analizy, informacje o nieudanych operacjach pozyskiwania danych oraz rejestr transferów wraz z Państwa ustaleniami. Folder nadrzędny sprawy oraz wnioski analityków są tworzone zewnętrznie; poszczególne artefakty TgWitness posiadają własne podpisy.

Proszę stosować tę samą metodę w przypadku innych dochodzeń