Чекист 42

в канале написано много постов, и возможно они немного полезны

но гораздо полезнее опыт который я получил перед написание этих постов

например, не может человек с первого раза красиво отобразить расшифрованные пакеты mtproto,
перед этим следует копание с библиотекой, фиксы ошибок в ней, затем решение проблем с wireshark.

а ведь я еще не писал о том что смотрел расшифрованные пакеты ayugram, exteragram. что этот метод не сработал на nekogram. посмотрю я на то что ayugram не отправляет пакеты по mtproto, или что exteragram получает настройки из двух публичных каналов, для себя учту это, но в канал же не станешь писать о каждом не найденном случае, читать совсем невозможно станет

например все векторы атаки/деанонимизации, зачастую они не приходят из ниоткуда, перед этим я думаю о других вариантах, отбрасываю нерабочие. или просто изучаю какую-то область и приходит идея которую необходимо проверить

возможно вам покажется интересным задуматься о том, как я пришел к написанию того или иного поста, а не только об их содержании

интересный факт - в macos нету рандомизации портов подключений.

проверить это можно легко переключившись между несколькими сетями и выполнив команду несколько раз:

python3 -c "
import socket
s = socket.socket()
s.connect(('google.com', 443))
print('Порт:', s.getsockname()[1])
input('Нажмите Enter для закрытия...')
s.close()
"

таким образом теоретически можно отслеживать ваше соединение между сетями на коротком (или не очень) промежутке.

Telegram для Android не удаляет изображения которыми вы делились в секретные и облачные чаты и хранит их по пути который может быть доступен другим приложениям.

предположим, вы делитесь изображением в секретный чат телеграм, затем удаляете исходное изображение и сообщение с изображением в секретном чате.

но оно остается у вас на телефоне.

самый распространенный и практичный пример - скриншоты.
попробуйте сделать скриншот, и поделиться им в секретный чат. теперь удалите скриншот из галереи и скриншот из самого секретного чата.

однако он все равно остался по пути /sdcard/Android/media/org.telegram.messenger.web/Telegram/Telegram Images

скинули вам фотку в один секретный чат с автоудалением, а вы поделились в другой секретный чат с автоудалением. спустя время фотография и там и там пропадет, но так как вы ей делились она останется по пути который я показал раньше.

это работает также на облачных чатах.

как минимум самая последняя версия для андроид подвержена (12.10.3)

интересный вектор деанонимизации:

компрометация домашнего роутера и настройка captive portal который будет собирать фингерпринт.

на ios видимо не сработает, у них сильная песочница, а на android должно. впрочем информация про песочницу и выполнение js получена от ИИ, так что это не гарантия.

например вы на grapheneos постоянно используете tor vpn и через vanadium совершаете что-то незаконное, при этом сайты собирают ваш отпечаток.

возможно получив отпечаток через captive portal получится вас связать с этой активностью не распутывая цепочки подключений.

автозагрузка для рекламы принудительно включена...
хотите экономить трафик? покупайте премиум 👍

UPD: 20 мегабайт может быть максимум размер видео

несколько раз видел что людям не нравится загрузочный экран GrapheneOS

что им надо, чтобы он выглядел как в обычной прошивке чтобы не вызывать подозрений.

перед этим экраном на GrapheneOS у вас появляется желтый значок, которого в оригинальной прошивке с закрытым загрузчиком нет.

это происходит потому что ключи гугла зашитые в чип на аппаратном уровне не совпадают с ключами подписи GrapheneOS

без создания собственного процессора Tensor со своими ключами или утечки ключей Google убрать это предупреждение НЕВОЗМОЖНО

и я бы на месте недоброжелателей смотрел на него в самую первую очередь, это самый яркий редфлаг причем не только для пикселей

642 просмотра и 10 сообщений в боте из которых 0 ссылок. наглядный пример почему обратная связь от аудитории не нужна)

друзья, нужна ваша помощь!
все наверняка знают что с персональными данными большие проблемы, но я хочу увидеть масштаб беды и написать об этом пост.

я создал бота для обратной связи, он не отвечает, но хранит у себя в ящике сообщения которые я потом выгружу:
(тут был бот)

поделитесь туда пожалуйста ссылками на отчеты. только ссылками.

я открою каждый отчет по отдельности через Tor (перед открытием каждого отчета сделаю new identity), а затем постараюсь собрать максимум информации и написать красиво в одном посте.

важно: учитывайте что наверняка каждый из проектов ведет подробные логи, так что теоретически я бы мог выйти на ваш аккаунт и увидеть остальные ваши запросы. а еще открытие старого отчета через Tor может поставить вас под подозрение (админы увидев этот пост могут попытаться найти все аккаунты которые открывали старые отчеты через Tor (useragent macOS) с определенным разрешением экрана и забанить их).

также я не знаю как телеграм отреагирует на отправку ссылок, но наверное нормально, ведь это не бот отправляет. сообщения обещаю никуда не пересылать и никак не сохранять отправителя.

в конце работы постараюсь удалить все сообщения из бота и включу белый список (а со временем возможно удалю и самого бота).

google также раскрывает в выписке банкам названия разработчиков у которых был приобретен товар.

https://support.google.com/googlepay/answer/7644142

таким образом если предположить что google не передает автоматически информацию о платежах регуляторным органам или не позволяет делать массовый запрос по временным меткам, то с банками ситация думаю похуже

signal добавил (в закрытую бету) регистрацию без номера телефона за 3$

пока что оплата в приложении (google play/app store). и еще они говорят что транзакция не будет связана с аккаунтом.

все это конечно неплохо, однако уточню момент:

у google/apple будет сам факт оплаты регистрации signal с временной меткой

а для фбр (а может и не только) signal выдает как минимум дату регистрации аккаунта

таким образом фбр сможет теоретически связать аккаунт даже без номера телефона

увы, сомневаюсь что для оплаты регистрации они добавят monero, но посмотрим

UPD:

а в случае оплаты за криптовалюту с открытыми блокчейнами можно будет легко связать подозреваемых с транзакциями.

точно не знаю когда ставится метка регистрации, возможно именно в секунду совершения оплаты.

не могу поверить что они это исправили сразу же в следующей версии:

https://github.com/DrKLO/Telegram/blob/62b56a07ca7e30e39f7fd00a6728d6bbd716ca1c/TMessagesProj/jni/exports.map

создал @telega_censorship

пока что всего 5 постов и читать их не очень удобно

не хочу собирать обратную связь, так что потихоньку буду пытаться вести сам, искать и фильтровать новости с помощью ИИ

для начала соберу все по максимуму из новостей - чему была придана огласка

Telegram канал https://t.me/illuminatstudio был заблокирован в Казахстане (для казахских номеров тг)

видимо за статью 174 - "умышленные действия, направленные на возбуждение религиозной розни или оскорбление религиозных чувств граждан"

интересных примеров уже немало, может быть дойдут руки собрать по максимуму их для ознакомления (например блокировка бота умного голосования для граждан россии, про блокировку подсанкционного канала vpn сервиса fiestvpnservice из-за которого снесли домен t.me уже писал)

конкретно этот случай похоже что отличается от запросов Apple и Google

дополнительный пример:

вы на глазах недоброжелателей разблокируете телефон - прислоняете отпечаток и демонстративно открываете браузер, в общем показываете что устройство разблокировано. у вас его выхватывают и устройство блокируется shakelock (таким образом MFA отключается).

теперь вы отказываетесь разблокировать телефон, ну как минимум потому что основной пин можете не знать, а тот что вы вводили ранее приведет к сбросу данных.

высока ли вероятность что запомнив пин который вы вводили его попробуют ввести самостоятельно и уничтожат все данные? я думаю да.

GrapheneOS надо бы добавить защиту от дурака связанную с MFA

чтобы при вводе MFA пина в поле от основого происходило уничтожение данных.

то есть если какой-то чудик подсмотрит как вы разблокируете свой телефон и вводите пин, он, не зная о графенос просто попытается разблокировать телефон тем что увидел, как минимум потому что в остальных смартфонах разблокировка происходит либо по пину либо по отпечатку, не вместе. и удалит ваши данные.

можно поставить как основной метод разблокировки пин и настроить MFA, в таком случае оба экрана будут практически одинаковыми за исключением надписи.

еще было бы неплохо добавить сброс разблокировки по отпечатку после одного (или нескольких) сканирований или неверных вводов пароля (чтобы можно было указать в настройках).

эксперт по GrapheneOS сказал что сейчас можно поставить одинаковый пин на duress и mfa, и в таком случае на экране mfa произойдет разблокировка, а на основном сброс. и он даже это специально проверил (но для меня все равно контринтуитивно почему на mfa не произойдет сброс, так что рисковать бы не стал)

также по словам эксперта планируется фича перезагрузки телефона несколькими нажатиями кнопки питания.

если еще добавят полнодисковое шифрование (что тоже запланировано), никакие полезные данные из BFU будет не извлечь даже при наличии эксплоитов.

вот демонстрация что это более чем реально за 30 секунд.
учтите:
1. плохой интернет (как скорость так и задержка - в боте видно)
2. не сделал автоматизацию входа - кликнул сам по ссылке в браузере
3. не закрыл вкладки, но как видите времени между отправкой ссылки и удалением сообщения о входе достаточно.

вы дали свое устройство с открытым telegram и отвернулись на полминуты? возможно ваш архив сообщений и список контактов выкачали..

если вы нажмете на ссылку web.telegram.org будет произведен автоматически вход в ваш аккаунт. без кодов, без паролей, моментально. потому что приложение подставляет токен входа в эту ссылку.

так вот, можем настроить бизнес бота или юзербота который будет по этому токену входить в аккаунт когда нам придет сообщение с подобной ссылкой в лс.

теперь просим друга написать сообщение маме в телеграм (ну или что-то поубедительнее). скидываем себе в лс ссылку web.telegram.org, переходим по ней, включаем режим полета пока она не загрузилась, и копируем из адресной строки браузера, закрываем вкладку, выключаем режим полета и отправляем нам в лс.
теперь бот автоматически получает сессию и выгружает нужные сообщения. а мы можем удалить сообщение об успешном входе с устройства друга.

если у него телега только на телефоне, он даже не узнает скорее всего. ну, а если нет, можно в списке сессий друга завершить сессию компа) узнает что вылетела когда вернется домой, бывает же такое!
и он даже не узнает что его архив сообщений мог быть выгружен, дал вам телефон всего на 30 секунд

короче говоря очень странно что telegram не сверяет локацию входа. хотя как по мне логично что если человек нажимает ссылку, то ip сессии с которой был сгенерирован токен входа должен совпадать с ip новосозданной сессии

а вы если бы дали телефон кому-то на 30 секунд, побежали бы смотреть список сессий телеграм? (хотя человек мог уже выйти например если выкачал что хотел и сессии видно не будет)

не хотите раскрывать свой imei оператору?

будьте готовы что apple вас достанет уведомлением о том что у вас включен режим полета.
оно будет появляться каждый раз когда вы будете открывать приложения которые будут стучаться в интернет, отключить это уведомление нету возможности (даже с supervised mode).

по imei человека отследить элементарно, ведь вы не меняете телефоны постоянно. пара-тройка точек где вы были, пересечение imei - и ваш телефон даже без симки становится надежным способом отслеживания вас.

чтобы получить серийный номер и imei заблокированного iphone:
выключите его
зажмите кнопку увеличения и уменьшения громкости
подключите к зарядке
откроется режим дигностики где будет видно эти идентификаторы.

к тому же раз AFU атаки есть, то явно можно достать imei со спец оборудованием даже без выключения.

в дарке точно была услуга для получения номеров телефонов через несколько геоточек и временные интервалы - называлась зонтик. стоила конечно недешево.

https://t.me/ejdailyru/418514

в такие моменты я думаю - а как нашли эти аккаунты?

им спустили текста и они стали их искать среди сгенерированного контента?

интересно, когда появится подобная услуга на рынке.

чтобы заплатив скажем 6000$ можно было по фрагментам генерации найти email, ip и фингерпринт аккаунта с которого она была произведена, + связанные аккаунты по фингерпринту. с facebook услуга связи аккаунтов по отпечаткам уже есть в продаже вроде бы

а вот и инструмент для этого сделали:

https://t.me/soxoj_insides/257

upd: оказывается он давно есть, не знал)