Open Source Signal #012 / Сигнал відкритих джерел

Editorial frame

What this is: A bilingual editorial filter for public-interest OSINT. Each item explains what happened, why it matters, how a reader can use the insight, and where the method or evidence has limits.

What this is not: Doxxing, live targeting, stolen-data workflows, private-person deanonymization, credential hunting, revenge calls, unsafe operational guidance or unverified accusations against private people.

Rubric map

📡 Signal One

🤖 AI Verification

🛡️ Investigator OPSEC

🛰️ Surveillance Watch

🌐 Infrastructure Signals

📡Signal OneГоловний сигнал

#01

Russia’s declared Kyiv strike campaign should be preserved as target-intent evidence

Source: Reuters · 25 May 2026

What happened

Reuters reported that Russian Foreign Minister Sergei Lavrov told U.S. Secretary of State Marco Rubio that Moscow had decided to launch strikes on sites in Kyiv it describes as linked to the Ukrainian military. The Russian Foreign Ministry framed the planned campaign as a response to Ukrainian attacks on Russian territory and said Russian forces would start systematic strikes on facilities used by Ukraine’s armed forces and decision-making centres.

Why it matters

For accountability OSINT, a public pre-strike or near-strike justification can become part of the evidence record. It helps investigators compare declared target logic with later damage patterns, civilian harm, weapon effects, timing, and later denials or admissions. The key is not to accept the Russian target label, but to preserve it as a claim that can be tested against independent evidence.

How to use it

Track the statement alongside later air alerts, strike locations, emergency-service reports, verified imagery, casualty updates, satellite or fire data and Russian follow-up messaging. Build a timeline that separates declared intent, observed impact, civilian harm and independently verifiable military relevance. This is a small archive job with a large legal tail, like a clerk with a halberd and an alarming hat.

Limits

Do not publish live defensive patterns, target guesses, air-defense locations or tactical routes. Russian official language is a claim, not proof of lawful targeting or actual military use of a site.

Російську заяву про удари по Києву треба зберігати як доказовий сигнал про заявлену логіку цілей

Джерело: Reuters · 25 травня 2026

Що сталося

Reuters повідомило, що міністр закордонних справ РФ Сергій Лавров сказав держсекретарю США Марко Рубіо про рішення Москви завдавати ударів по об’єктах у Києві, які Росія називає пов’язаними з українськими військовими. МЗС РФ подало це як відповідь на українські атаки по російській території й заявило про початок систематичних ударів по об’єктах, які нібито використовують ЗСУ, та по центрах ухвалення рішень.

Чому це важливо

Для accountability OSINT публічне обґрунтування до або навколо ударів може бути частиною доказового масиву. Воно дає змогу порівнювати заявлену логіку цілей із фактичними місцями пошкоджень, цивільною шкодою, типами озброєння, таймінгом і подальшими запереченнями чи визнаннями. Важливо не приймати російське маркування цілей на віру, а зберігати його як заяву, яку треба перевіряти.

Як це застосувати

Ведіть окремий таймлайн: заява РФ, повітряні тривоги, місця ударів, повідомлення служб реагування, верифіковані фото й відео, оновлення щодо постраждалих, супутникові або fire-дані та пізніші російські пояснення. Розділяйте заявлений намір, фактичний ефект, цивільну шкоду й незалежно підтверджену військову релевантність об’єкта.

Обмеження

Не публікуйте live-патерни оборони, припущення про цілі, місця роботи ППО або тактичні маршрути. Російська офіційна мова — це заява, а не доказ законності удару чи реального військового використання об’єкта.

strike-verificationkyivcivilian-harmtargeting-claimsaccountability-osint

🤖AI VerificationШІ та верифікація

#02

Ukraine warns that Russian malware is beginning to use AI inside the operation, not just around it

Source: The Record · 19 May 2026

What happened

The Record reported Ukrainian government warnings that Russia’s use of AI in cyber operations has moved beyond propaganda and fake content. Ukrainian officials said Moscow is embedding AI directly into malware to generate malicious commands dynamically, and the report also pointed to AI-assisted phishing, voice deepfakes and recruitment automation.

Why it matters

For investigators and civil-society teams, this changes the risk model around hostile files, lures, scripts and compromised infrastructure. AI-generated or AI-assisted activity may produce more adaptive behaviour, faster variation and messier attribution signals. AI verification is no longer only about images and deepfakes; it is also about cyber evidence, malware behaviour and incident timelines.

How to use it

Treat suspicious attachments, scripts, Telegram files and “helpful” technical tools as potentially adaptive threats, especially when they arrive through war-related lures. Preserve hashes, delivery path, timestamps, filenames, sender context, sandbox notes and security alerts. For public writeups, describe the behaviour and evidence chain without publishing executable details or malware instructions.

Limits

Government warnings and media summaries are not full technical reports. Avoid overstating capability without indicators, samples or independent analysis, and do not publish operational malware details that would help attackers.

Україна попереджає: російське malware починає використовувати ШІ всередині операції, а не лише навколо неї

Джерело: The Record · 19 травня 2026

Що сталося

The Record повідомив про попередження українських урядових структур: використання ШІ Росією в кіберопераціях виходить за межі пропаганди й фейкового контенту. За словами українських посадовців, Москва вбудовує ШІ безпосередньо в malware, щоб генерувати шкідливі команди динамічно; також ідеться про AI-assisted phishing, голосові deepfakes і автоматизацію вербування.

Чому це важливо

Для розслідувачів і громадських команд це змінює модель ризику щодо підозрілих файлів, приманок, скриптів і скомпрометованої інфраструктури. AI-assisted активність може давати більш адаптивну поведінку, швидші варіації й складніші сигнали для атрибуції. «ШІ та верифікація» тепер стосується не лише зображень і deepfake, а й кібердоказів, поведінки malware та таймлайнів інцидентів.

Як це застосувати

Підозрілі вкладення, скрипти, файли з Telegram і «корисні» технічні інструменти варто розглядати як потенційно адаптивну загрозу, особливо якщо вони приходять через воєнні приманки. Зберігайте hashes, шлях доставки, timestamps, назви файлів, контекст відправника, sandbox-нотатки й security alerts. У публічних матеріалах описуйте поведінку та доказовий ланцюг без виконуваних деталей і malware-інструкцій.

Обмеження

Урядові попередження й медійні перекази не є повним технічним звітом. Не перебільшуйте можливості без індикаторів, зразків або незалежного аналізу й не публікуйте операційні деталі malware, які можуть допомогти нападникам.

ai-malwarecyber-osintinvestigator-opsecukrainethreat-intelligence

🛡️Investigator OPSECБезпека дослідника

#03

A poisoned VS Code extension is a clean reminder that investigator tooling is an attack surface

Source: GitHub Blog · 20 May 2026

What happened

GitHub said it detected and contained a compromise of an employee device involving a poisoned third-party VS Code extension. The company reported that the activity involved exfiltration of GitHub-internal repositories, removed the malicious extension version, isolated the endpoint and rotated high-impact secrets during its incident response.

Why it matters

OSINT and investigative teams often live inside browsers, editors, plugins, scraping helpers and small utilities. A compromised extension can turn a research workstation into a collection point for tokens, notes, repositories, source lists and unpublished evidence. The lesson is brutally simple: your tools are not furniture; they are doors with opinions.

How to use it

Audit browser and editor extensions used for investigations. Keep separate profiles for sensitive work, remove unused extensions, prefer well-maintained tools, check publisher history, pin trusted workflows and avoid installing plugins during active investigations. For teams, record extension inventories and treat new extensions like new sources: useful, but not automatically trusted.

Limits

This incident does not mean every VS Code extension is unsafe or that GitHub’s public services were broadly compromised. Apply the lesson as a tooling-risk control, not as panic seasoning.

Отруєне розширення VS Code нагадує: інструменти дослідника теж є поверхнею атаки

Джерело: GitHub Blog · 20 травня 2026

Що сталося

GitHub повідомив, що виявив і локалізував компрометацію пристрою співробітника, пов’язану з отруєним стороннім розширенням для VS Code. Компанія заявила, що активність стосувалася витоку внутрішніх репозиторіїв GitHub, видалила шкідливу версію розширення, ізолювала endpoint і під час incident response ротувала критичні secrets.

Чому це важливо

OSINT-команди й розслідувачі часто працюють у браузерах, редакторах, плагінах, scraper-утилітах і маленьких допоміжних інструментах. Скомпрометоване розширення може перетворити робочу машину на пункт збору токенів, нотаток, репозиторіїв, списків джерел і неопублікованих доказів. Інструменти — це не меблі, а двері, які іноді самі вирішують, кого впустити.

Як це застосувати

Проведіть аудит browser/editor extensions, які використовуються для розслідувань. Тримайте окремі профілі для чутливої роботи, видаляйте зайві розширення, віддавайте перевагу підтримуваним інструментам, перевіряйте історію publisher, фіксуйте довірені workflow й не встановлюйте нові плагіни під час активних розслідувань. Для команд варто вести інвентар розширень і ставитися до нового інструмента як до нового джерела: корисно, але не автоматично надійно.

Обмеження

Цей інцидент не означає, що всі розширення VS Code небезпечні або що публічні сервіси GitHub були масово скомпрометовані. Урок тут про контроль ризику інструментів, а не про паніку в перуці єпископа.

opsecsupply-chainresearch-toolsvscodeincident-response

🛰️Surveillance WatchІнфраструктура стеження

#04

Citizen Lab maps telecom exploitation as a long-running surveillance layer

Source: Citizen Lab · 23 April 2026

What happened

Citizen Lab published an investigation into covert surveillance actors exploiting the global telecom interconnect ecosystem. The report links real-world attack traffic to mobile-operator signalling infrastructure and describes location-tracking operations that can persist for years, with suspected commercial surveillance vendors abusing telecom trust relationships.

Why it matters

For Ukrainian journalists, investigators, human-rights lawyers and accountability teams, surveillance risk is not limited to spyware links or infected phones. Telecom-level exploitation can expose movement, contact patterns and sensitive source relationships without the obvious signs of a compromised device. This matters especially for work with prisoners’ families, occupied-territory sources or witnesses.

How to use it

Treat phone numbers as sensitive infrastructure, not just contact details. Separate public, work and sensitive-source communications; minimize unnecessary roaming exposure; use secure messengers with cautious account-recovery settings; and avoid publishing phone-linked identities. When documenting surveillance risk, distinguish device compromise, account compromise, telecom metadata exposure and location tracking.

Limits

The report is global and does not make every country or operator equally implicated. Do not infer that a specific Ukrainian source, journalist or witness was targeted unless there is case-specific forensic evidence.

Citizen Lab показує telecom exploitation як довготривалий шар стеження

Джерело: Citizen Lab · 23 квітня 2026

Що сталося

Citizen Lab опублікувала розслідування про covert surveillance actors, які експлуатують глобальну telecom interconnect ecosystem. Звіт пов’язує реальний attack traffic із signalling-інфраструктурою мобільних операторів і описує операції location tracking, здатні тривати роками, з імовірною участю commercial surveillance vendors.

Чому це важливо

Для українських журналістів, розслідувачів, правозахисних юристів і accountability-команд ризик стеження не обмежується spyware-посиланнями або зараженими телефонами. Telecom-level exploitation може розкривати переміщення, контактні патерни й чутливі зв’язки з джерелами без очевидних ознак компрометації пристрою. Це особливо важливо для роботи з родинами полонених, джерелами на окупованих територіях і свідками.

Як це застосувати

Ставтеся до номерів телефонів як до чутливої інфраструктури, а не просто контактів. Розділяйте публічні, робочі й чутливі канали; мінімізуйте зайвий roaming exposure; використовуйте захищені месенджери з обережними recovery settings; не публікуйте ідентичності, прив’язані до номерів. У risk notes розділяйте компрометацію пристрою, компрометацію акаунта, exposure telecom metadata й location tracking.

Обмеження

Звіт глобальний і не означає однакову причетність усіх країн чи операторів. Не можна робити висновок, що конкретне українське джерело, журналіст або свідок були ціллю без case-specific forensic evidence.

surveillancetelecomsource-protectionlocation-trackingcivil-society-security

🌐Infrastructure SignalsІнфраструктурні сигнали

#05

Cloudflare’s Q1 disruption review ties Ukrainian outages to energy-strike evidence

Source: Cloudflare Blog · 28 April 2026

What happened

Cloudflare’s Q1 2026 disruption review included Ukraine among conflict-related internet outage cases. The company reported that Russian attacks on energy infrastructure on January 7–8 caused connectivity disruptions in Dnipropetrovsk and nearby regions, with traffic falling nearly 50% below prior-week levels at one point; it also noted a January 26 Kharkiv disruption after an attack on energy infrastructure.

Why it matters

Internet traffic drops can help document the civilian infrastructure effects of strikes, especially when paired with power-grid reporting, local alerts, satellite data and repair timelines. For war-crimes and civilian-harm documentation, network disruption is not just a tech metric; it can be a proxy for blackout, service collapse and emergency-access problems.

How to use it

Pair outage data with strike timelines, power-company statements, emergency-service posts, local government updates, satellite night-lights, FIRMS fire detections and telecom restoration notes. Use it to support impact analysis, not as standalone proof of cause. Archive screenshots or export data with timestamps because dashboards change.

Limits

Traffic drops can be caused by many factors: power loss, routing changes, local network damage, provider issues or measurement limits. Do not infer strike responsibility from connectivity data alone.

Огляд Cloudflare за Q1 прив’язує українські інтернет-збої до доказів ударів по енергетиці

Джерело: Cloudflare Blog · 28 квітня 2026

Що сталося

У Q1 2026 disruption review Cloudflare включила Україну до кейсів інтернет-збоїв, пов’язаних із війною. Компанія повідомила, що російські удари по енергетичній інфраструктурі 7–8 січня спричинили перебої connectivity у Дніпропетровській та сусідніх областях, а трафік у певний момент падав майже на 50% нижче рівня попереднього тижня; також згадано збій у Харкові 26 січня після атаки на енергетику.

Чому це важливо

Падіння інтернет-трафіку може допомагати документувати цивільний інфраструктурний ефект ударів, особливо в парі з повідомленнями енергетиків, місцевими alerts, супутниковими даними й таймлайнами ремонту. Для документування воєнних злочинів і civilian harm мережевий збій — це не лише технічна метрика, а можливий індикатор blackout, service collapse і проблем з екстреним доступом.

Як це застосувати

Поєднуйте outage data з таймлайнами ударів, заявами енергокомпаній, постами служб реагування, оновленнями місцевої влади, satellite night-lights, FIRMS fire detections і повідомленнями операторів про відновлення. Використовуйте це для impact analysis, а не як самостійний доказ причини. Архівуйте screenshots або exports із timestamps, бо dashboards змінюються.

Обмеження

Падіння трафіку може мати різні причини: втрата живлення, routing changes, локальне пошкодження мережі, проблеми провайдера або обмеження вимірювання. Не встановлюйте відповідальність за удар лише за connectivity data.

internet-disruptioninfrastructurecloudflare-radarenergy-strikescivilian-harm