#ja4 — Public Fediverse posts

#HAProxy vs The LLM Bot army

Because it’s holidays I am off thinking of crazy hacking ideas..

What about combining #JA4+ TLS fingerprinting with HAProxy to try to drop residential bot swarms?

https://github.com/FoxIO-LLC/ja4

The idea is that a bot lies about its identity - the TLS library and the user agent header don’t match up. They say they’re latest chrome browser but it’s actually some weird python library.

So if you compute the used TLS fields, you can see if that matches the user agent or not.

Read https://tracio.ai/blog/tls-fingerprinting-ja4 for a longer explanation.

It turns out others have already made great progress on this:

- https://github.com/FriendlyCaptcha/ja4-haproxy
- https://github.com/O-X-L/haproxy-ja4-fingerprint
- https://blog.miloslavhomer.cz/deploying-ja4/
- ofc HAPEE already does this https://www.haproxy.com/blog/how-to-reliably-block-ai-crawlers-using-haproxy-enterprise | https://www.haproxy.com/solutions/bot-management

Some other interesting alternatives:

⁃ https://dgl.cx/2025/04/using-haproxy-to-stop-scrapers | https://github.com/dgl/haphash
⁃ https://github.com/hadi-sameer/HAProxy-Lua-Challenge-Bot-Protection

And of course we must mention
⁃ Anubis https://anubis.techaro.lol/
⁃ Iocaine https://iocaine.madhouse-project.org/

По обе стороны антибота: как я имитирую Chrome при скрейпинге и ловлю ботов по тем же сигналам

Я собираю афишу города в одну карту из пяти источников. Два из них — Яндекс.Афиша и afisha.ru — собирать себя не хотят. И режут не так, как ждешь: ни логина, ни капчи на входе, ни «подтвердите, что вы не робот». Мой requests.get(...) ловит 403 — даже когда заголовки скопированы из Chrome один в один . Первая мысль была дурацкая: где-то не хватает куки или очередного sec-ch-ua . Оказалось — проблема раньше. К тому моменту, когда сервер читает мой браузерный User-Agent , он уже успел посмотреть, как именно клиент открыл защищенное соединение . Питоновский клиент палится ровно тем, как он здоровается.

https://habr.com/ru/articles/1063180/

#TLS_fingerprint #JA3 #JA4 #curl_cffi #антибот #парсинг #BoringSSL #fraud_score #bot_detection #http2

IP, браузер, TLS: три слоя, на которых палится парсер

С чего все началось Хотел простую вещь: отслеживать цену на пару товаров, которые ждал со скидкой. Чтобы не заходить руками каждый день, а получить уведомление, когда подешевело. Думал, это вечер работы. requests.get() , выдрать цену, сравнить, отправить в телегу (упрощенно, конечно). Оказалось, парсинг цен на маркетплейсах — это не про HTTP‑запрос. Это про репутацию IP‑адресов, про то, как браузер выдает себя поведением, и — на финале — про пост‑квантовую криптографию в TLS‑рукопожатии. Три площадки (Ozon, WB, Яндекс.Маркет) дали мне три совершенно разных уровня защиты, и на каждом я застревал по‑своему.

https://habr.com/ru/articles/1054270/

#парсинг #антибот #TLSфингерпринтинг #JA3 #JA4 #headlessбраузер #ClientHello #Go #прокси #криптография

Заморозка по fingerprint: как ТСПУ в июне 2026 ломает соединения по поведению, а не по протоколу

Полгода назад я написал здесь разбор «почему VLESS работает» — он собрал 169 тысяч просмотров и под тысячу закладок. Я тогда уверенно заявил: REALITY не отличить от обычного HTTPS, поэтому он держится там, где всё остальное давно отвалилось. Прошло полгода — и оказалось, что я был прав ровно наполовину. В феврале ТСПУ перешёл на поведенческий анализ, а в июне — на то, что в чатах называют «заморозкой по fingerprint». И тут разом перестали подключаться мои собственные конфиги — и конфиги тысяч других людей. Приложение бодро рапортует «connected», а трафика нет. А привычный совет «обнови клиент» вдруг превратился в пустой звук. Вот я и вернулся — посмотреть, что осталось от моих же выводов. Это разбор со стороны клиентского устройства — угла, который обычно недозанят. Что на самом деле творится в телефоне, когда «всё зелёное, а интернета нет». Как устроена новая детекция. И как измерить её самому, чтобы не потерять доступ к легальным сервисам, которые попали под ложные срабатывания. Пара слов о том, чему верить. Тема скользкая, источников мало, и я не хочу делать вид, что у меня на руках спецификация системы. Поэтому дальше честно помечаю, где у меня твёрдый пруф, а где — реконструкция по одному источнику. Самое важное сразу: ядро всей новой схемы (разделы 2–4) собрано по одному структурированному первоисточнику — посту в Obsidian/Zapret, где автор разбирает поведение через инструмент dpi-ch. Это не выписка из документа РКН и не консенсус исследователей ТСПУ. Академические работы (ensafi/IMC 2022, gfw.report ) такой схемы вообще не описывают — как и кодового имени, под которым она ходит в обсуждениях. Так что всё про конкретные пороги — «>3 хендшейка», «350–400 мс», «120/600 с» — это инженерная реконструкция чёрного ящика по одному наблюдению, а не доказанное устройство системы. Числа читайте как рабочие гипотезы.

https://habr.com/ru/articles/1047442/

#ТСПУ #DPI #VLESS #TLS_fingerprint #JA3 #JA4 #Reality #VPN #Роскомнадзор #заморозка_соединений

I’m still completely lost with logic of JA4+ patent licensing and actual incompatibility with the copyleft-license. So it seems to be a patent-based license and really risky to implement if you want to keep your actual software open source.

Did someone explore alternatives to avoid this? and especially other format which are open source friendly?

#ja4 #ja3 #jarm #cti #opensource #patent #cti
#threatintel #cybersecurity

🔗 https://github.com/FoxIO-LLC/ja4/blob/main/License%20FAQ.md

We planned one report on Keitaro abuse, but we ran out of pages before we ran out of cases.
So here’s Part 2 of 3, a medley of threats that go well beyond AI‑investment scams.

Threat actors abuse Keitaro’s traffic distribution, cloaking, and rule engine to hide malicious landing pages behind geo and device-based filters. They stack bulletproof hosting and reverse proxies to add layers of indirection, making takedown and analysis harder. In this post, we share how we overcame this using multi‑protocol, multi‑vantage telemetry. We leveraged JA4+ web server fingerprints, DNS analytics, and Confiant’s visibility into advertising supply chain data to uncover Keitaro abuse and the delivery of malware downloaders, infostealers, weaponized RMMs, wallet drainer campaigns, scams, and email spam and advertising attack vectors.

If you hunt threats distributed via adtech, these indicators can be useful pivots. https://www.infoblox.com/blog/threat-intelligence/no-reach-no-risk-the-keitaro-abuse-in-modern-cybercrime-distribution/

#dns #threatintel #threatintelligence #cybercrime #cybersecurity #infosec #infoblox #infobloxthreatintel #scam #ai #keitaro #adtech #tds #trafficdistributionsystem #cloaker #cloaking #landscape #malvertising #infostealer #rmm #remotemonitoringmanagement #downloader #malware #spam #airdrop #cryptocurrency #ja4 #ja4_fingerprinting

Анатомия DPI анализа: что происходит с твоим пакетом за первые 16 КБ

Пошаговый разбор того, как ТСПУ анализирует трафик — от первого SYN до поведенческого ML. С конкретными числами, реальными алгоритмами и объяснением почему одни протоколы умирают на первом байте, а другие живут месяцами Большинство объяснений про DPI звучат так: «система смотрит на пакеты и блокирует плохие». Это примерно как объяснить работу компилятора словами «берёт код и делает программу». Давай пройдём по тому, что реально происходит с пакетом от момента выхода с твоего устройства до момента когда ТСПУ принимает решение. Пошагово, с числами, без абстракций.

https://habr.com/ru/articles/1009560/

#DPI #ТСПУ #TLS #JA3 #JA4 #packet_inspection #Xray #обход_блокировок #TCP #fingerprint

Как ТСПУ ловит VLESS в 2026 и почему XHTTP — следующий шаг

Разбор методов детекции, которые работают прямо сейчас. JA3/JA4-отпечатки, поведенческий анализ, академическая работа СПбПУ по детекции Reality — и архитектура XHTTP, которая закрывает именно эти дыры Если твой VLESS+Reality сервер лёг в последние месяцы — ты не один. В сообществах фиксируют волны блокировок, которые раньше не достигали хорошо настроенных Reality-серверов. Что конкретно изменилось, как это устроено на уровне алгоритмов — и почему XHTTP сейчас выглядит как правильный следующий шаг.

https://habr.com/ru/articles/1009542/

#VLESS #XHTTP #ТСПУ #DPI #Xraycore #Reality #JA3 #JA4 #обход_блокировок #TLS_fingerprint

RE: https://infosec.exchange/@geraldcombs/116133603929246605

#Wireshark 4.6.4 resolves 3 denial of service vulnerabilities in the following protocol dissectors:

• USB HID CVE-2026-3201
• NTS-KE CVE-2026-3202
• RF4CE Profile CVE-2026-3203

The new release also includes a bug fix for #JA4 fingerprints of TLS handshakes with odd ALPN values as well as an important update of the #SOCKS parser, which now enables more reliable extraction of data from within SOCKS tunnels.

Masz VPN, zmieniony user-agent, prywatną przeglądarkę – a mimo to serwer wie, kim jesteś?
Bo dziś identyfikacja to coś więcej niż ciasteczka. W grze są JA3, JA4, PeetPrint, fingerprinting HTTP/2 od Akamai, kolejność nagłówków, ALPN, WebGL, fonty, język systemu…
Prywatność nie kończy się na adresie IP.
#Fingerprinting #PrivacyMatters #JA3 #JA4 #PeetPrint #Akamai #CyberSecurity #DigitalIdentity #VPN #Infosec

PolarProxy 1.0.1 Released
🆔 More #JA4
🔂 Fail-open on #TLS errors
⏩ Better performance
https://netresec.com/?b=2523c96

實作更多功能的 curl-impersonate fork

從「Curl-Impersonate (github.com/lexiforest)」這邊看到的消息。

前情提要可以在「修正 Curl 的 TLS handshake，避開 bot 偵測機制」這邊看到，當時介紹了 curl-impersonate 這個專案，可以修改 TLS 的行為 (尤其是 handshake 階段)，讓

https://blog.gslin.org/archives/2024/12/31/12168/%e5%af%a6%e4%bd%9c%e6%9b%b4%e5%a4%9a%e5%8a%9f%e8%83%bd%e7%9a%84-curl-impersonate-fork/

#Browser #Computer #GoogleChrome #Murmuring #Network #Privacy #Security #Software #WWW #curl #fingerprint #fork #impersonate #ja3 #ja4 #tls

Erik and @jonasl’s Network Fingerprinting talk is now online. It covers #JA4 and #JARM by John Althouse, @lcamtuf’s #p0f and Eric Kollmann’s Satori.
https://www.youtube.com/watch?v=1_VbYp4Zyno&t=19s

VirusTotal adds JA4 support!

https://blog.virustotal.com/2024/10/unveiling-hidden-connections-ja4-client.html
#VirusTotal #JA4

CloudFront 宣布支援 JA4 (更多的 fingerprint)

在「Amazon CloudFront launches support for JA4 fingerprinting」這邊看到的，Amazon CloudFront 宣佈支援 JA4。

JA3 是一套取得 TLS client fingerprint 的方式，

https://blog.gslin.org/archives/2024/10/13/12025/cloudfront-%e5%ae%a3%e5%b8%83%e6%94%af%e6%8f%b4-ja4-%e6%9b%b4%e5%a4%9a%e7%9a%84-fingerprint/

#AWS #CDN #Cloud #Computer #Murmuring #Network #Privacy #Security #Service #amazon #aws #cdn #cloud #cloudfront #fingerprint #ja4 #network #service #ssl #tls

FWIW the #ja4 ja4t is 8192_2-1-3-1-1-4_1260_2 from past IP's:

183.134.104.146
183.134.104.147
183.134.104.173
202.107.226.4
218.75.38.210
218.75.38.211
60.190.226.186
60.190.226.187

NetworkMiner 2.9 Released!

• @mikrotik #TZSP support
• #StealC extractor
• Improved #Modbus parser
• #JA4 support
• #GTP decapsulation

https://netresec.com/?b=245092b

JA4T and JA4TS are the latest additions to the suite of JA4+ network fingerprints.

JA4T can identify intermediary proxies, VPNs, load balancers, tunneling, and fingerprint client/server OS, devices, applications and hosting/provider characteristics. When paired with additional JA4 hashes, this allows WAF tuning to focus on a set of hashes to limit false positives versus a constantly changing list of IPs. This will make a great addition to infrastructure hunting and DDoS attribution.
https://medium.com/foxio/ja4t-tcp-fingerprinting-12fb7ce9cb5a

#DDos #WAF #JA4 #Greynoise #Infosec

CapLoader has been updated to version 1.9.6.1 to fix a bug in the #JA4 fingerprint generator. The “Select similar flows” has also been improved to support UDP flows and services, which helps users to identify clusters of proprietary protocols even when CapLoader doesn’t recognize the application layer protocol.
https://www.netresec.com/?page=CapLoader

CapLoader 1.9.6 Released!
👾 More malware protocols detected
🔎 #JA4 fingerprints
🦊 Submit to @abuse_ch's ThreatFox
⚠️ Better alerts
https://netresec.com/?b=23B6bcd