TGViewer
Channel Public Channel
Чекист 42

Чекист 42

@chekist42

Open in Telegram
Subscribers
3.45K
Photos
118
Videos
5
Links
184

Showing posts older than #477 · Back to latest

Older Posts 20 shown
Post #476 2.48K
кстати интересный способ отмывать деньги. на грязные деньги покупаются токены для нейросети, которая скажем ищет уязвимости.

уязвимости превращаются в легитимные багбаунти репорты за которые выплачивают кристально чистые деньги.

если нейросеть не хранит запросы, что, человеку придется доказывать креативность?

ну в целом труд нейросетей сейчас на околочерном рынке. если раньше было непонятно где как и кто собирали литий для аккумуляторов, то теперь непонятно за какие деньги был сделан "умственный" труд

и если раньше как-то можно было провести расследование и собрать доказательства, то сейчас - будет у человека захосчена LLM, будет он давать к ней доступ через анонимные сети, а в качестве оплаты принимать анонимную крипту, логи хранить не будет. и в жизни ничего не докажешь.

а это еще если не учитывать что некоторые компании не раскрывают информацию об уязвимостях (тем более о репортах)

ну масштабировать не очень понятно как. хотя перепродажа самих токенов и есть тот самый отмыв, на этом все еще можно оставить очень много следов.

не судите строго, я не знаю других схем отмыва, но мне кажется что 100000 мелких пожертвований на рак будет очень подозрительным и оставит много следов. да и в целом как будто "а мне анонимный спонсор присылает 1000 монеро в месяц" будет звучать гораздо подозрительнее и хуже чем "я просто очень умный"
Post #475 2.37K
Чекист 42 "this is working as intended" - security@telegram.org вам достаточно один раз открыть топик форума, например @GrapheneOS чтобы за вашим аккаунтом сохранилось состояние прочтения сообщений в нем (именно серверное). за каналами и чатами я такого не заметил.…
- откройте какой-нибудь "запрещенный" канал, не подписывайтесь
- откройте комментарии к посту,
- выйдите из аккаунта

теперь зайдите снова в аккаунт. когда напишут новый комментарий к посту, вы увидите на клиенте андроид точку под самим постом. это значит, что ранее вы читали комментарии и появился новый

практическое применение - ну например, при желании можно проверить смотрели ли вы оппозиционные каналы (точнее комментарии к их постам).

на границе вы можете выйти из аккаунта, а с самого аккаунта не оставлять реакций, не подписываться ни на какие каналы, не оставлять комментариев. но если вы читали комментарии у постов канала, при проверке это станет ясно.

нужно просто открыть популярные запрещенные каналы и полистать последние (или провокационные) посты, точка в комментариях - "красный флаг"
Post #474 2.88K
Чекист 42 Telegram для Android после выхода без интернета хранит auth_key (который позволяет получить полный доступ к аккаунту) как извлечь auth_key после выхода: берем файл /data/data/org.telegram.messenger.web/files/tgnet.dat для расшифровки я использовал https:…
кстати, если много ивентов прилетает и человек выходит, ивент выхода не уходит и auth_key соответственно не обнуляется...

иными словами если вам напишут много сообщений в телеграм, а потом вы выйдете, совершенно не факт что ваша сессия завершится.

наверняка не знаю, но даже если платные сообщения у вас будут включены кучу ивентов с ботофермой можно сгенерировать (например добавляя вас в контакты)

а по поводу восстановления данных удаленного приложения - я тыкал эмулятор андроид студио, но там ext4, и эмуляторов f2fs на мак я не нашел.
в целом алгоритм весь claude воспроизвел и после удаления файлов с тестового образа получилось их восстановить (правда без какой-то специальной чистящей операции, которая затирает все нулями и на реальном андроиде должна быть не так часто). в ближайшем будущем посмотрю как именно работает android чтобы воспроизвести это в песочнице.

дело в том что у меня есть android для тестов, но там диск 256 гигабайт. + насколько я понял ключи шифрования от этого диска достать не так просто, возможно пересборка ядра поможет, но это не точно. очень много ньюансов.
просто у всяких cellebrite с xry есть эксплоиты под это дело. но теперь понятно что само по себе получение root не гарантирует получение образа диска для восстановления удаленных файлов. нужна куда более глубокая эксплоитация.
Post #473 2.55K
вы когда-нибудь застревали в лифтах? я вот недавно так попал, и понял что это идеальный способ "принять" человека.

во-первых во многих жк в лифтах есть камеры. если неожиданно там она станет с очень хорошим качеством, вы и не заметите скорее всего.

вам просто некуда бежать, и вас запирают в большинстве случае в клетке фарадея - мобильного интернета во многих случаях в лифтах нету, на улице увидев подозрительных людей / машины можно попробовать убежать и выиграть время, тут - нет. дверь в квартиру тоже могут долго ломать и можно успеть что-то сделать.

однако вы наверняка разблокируете свой телефон, если у вас пароль, экран которого может попасть на камеры лифта. ну или попадет что вы делаете на нем, как пытаетесь открыть телеграм и так далее.

например я всегда старался брать макбук с собой - но есть ситуации по типу "забрать доставку" или "вынести мусор" - в них вы можете выйти налегке и можно изолировать вас, а затем, допустим проникнуть в помещение, снять дамп диска который должен был быть всегда при вас.

ну и да, ваш компьютер если вы вышли за доставкой может быть разблокирован, как минимум ключи могут быть в озу (TorZireael вроде говорил что легко снять дамп с работающей машины)

я даже не уверен какие сигналы могут пробивать стены лифта до вашей квартиры. если вы живете на 16 этаже и застряли на 8 кажется будет довольно сложно пробить кучу бетонных стен.

впрочем возможно вы занимаетесь чем-то не тем если для вас есть риск отслеживания по камерам лифта и вы не живете в отдельном доме...
Post #472 2.69K
утилита bioutil в macos.
через нее можно настроить разблокировку по отпечатку пальца,
например, вот команда для выключения разблокировки через touch id:
sudo bioutil -w -s -u 0

единица в конце включит обратно, но на заблокированном экране после этого придется ввести пароль.

проверил следующую схему - при отключении от bluetooth выполняется эта команда (утилита предварительно была прописана в sudoers для моего пользователя)

заблокировал экран, можно было разблокировать по отпечатку пальца.
выключил bluetooth на телефоне - эта возможность пропала.
Post #471 5.15K
новая функция Telegram ephemeral messages - будьте осторожны

есть бот с ее поддержкой - @RichChessBot. когда он присылает сообщение в группу с шахматной доской, оно публично для всех, но затем вы можете начать игру и оно будет изменятся только для вас.
проблема в том, что пометку visible only for you вы не увидите, ведь сообщение изначально было видимым для всех.

конкретнее: предположим бот отправляет сообщение, а затем меняет его для каждого человека особым образом чтобы закодировать туда его id.

теперь каждый видит что бот просто отправил сообщение в группу, и им необходимо нажать на него чтобы узнать является ли сообщение видимым только для них.

если вы сделаете скриншот чата, вы можете непроизвольно раскрыть информацию которую бот мог оставить о вас, не оставив при этом видимых пометок на сообщении. (вы замазали имя, и свою аватарку, ваших сообщений в чате нету, а по скриншоту все равно получится вас идентифицировать)

за это не дают баунти, как и за другие ux проблемы. что тут говорить, за то что из секретных чатов макос клиента пропала функция проверки mitm по изображению и я сообщил об этом мне тоже ничего не предложили.
Post #470 3.25K
Чекист 42 заметил что если телефон был подключен к скрытой сети при probe request-ах он броадкастит ее ssid. он будет в поле Wireless Management, Tagged parameters, SSID parameter set (wireshark). причем если несколько сетей, все несколько будут вещаться под одним…
вопросы, на которые я еще не могу найти ответ:

почему мак адрес моего пикселя с grapheneos не рандомизируется нормально? я включал, выключал wifi и probe-request идут с одним маком на протяжении более 5 минут!
(пробовал сбрысывать настройки сети, переключать параметры wifi троттлинга в настройках разработчика, менял автовыключение wifi, ничего не меняет картину)

почему значение Data rate равняется 5.5 Mb/s если на других смартфонах оно 1 Mb/s при probe request? (проверю конечно еще несколько брендов, и напишу сюда)

upd:
зашел в публичное очень людное место и в режиме монитора записал probe requests. затем командой tshark -r testfoodcourt.pcapng -Y 'wlan.fc.type_subtype == 0x0004' -T fields -e wlan.sa -e wlan_radio.data_rate | sort -u
стал смотреть на мак адреса. так вот, почти у всех у кого есть 5.5, выше есть 1. то есть с одним маком идет несколько запросов, и у них нету уникального значения 5.5. а с моего графенос телефона идет только 5.5 всегда, 1 вообще нету.

возможно это фишка модема гугл пикселя и в толпе был кто-то с ним, а графенос тут не влияет (если будет пиксель без графеноса - проверю).
Post #469 2.7K
это значение кстати можно уменьшить до 1 суток через клиент Telegram X (ну или через юзерботы - https://core.telegram.org/method/account.setAuthorizationTTL)

а статус был в сети недавно до был в сети на этой неделе обновляется после двух суток

ну это к слову
Post #468 2.54K
Чекист 42 вкратце - я не знал что сайты за cloudflare передают ключи шифрования самому cloudflare ну что в любом случае весь трафик виден cloudflare до сайтов за ним это полностью перевернуло мою картину 🤷‍♂🤷‍♂🤷‍♂
классное расширение кто-то навайбкодил
кидает предупреждение при открытии cloudflare сайта

https://chromewebstore.google.com/detail/anti-cloudflare/jdghooojfckmalkoihmeogephofchdfn

в версии 1.1.1 бэкдоров и сторонних запросов не нашел, но используйте на свой страх и риск
Google Anti CloudFlare - Chrome Web Store Warns you before visiting CloudFlare-protected sites. CloudFlare decrypts, reads and can manipulate all your encrypted traffic.
Post #467 2.46K
Чекист 42 Все устройства скомпрометированы через RootCerts (корневые сертификаты). Пост основан на лекции Павла Васильева из Positive technologies. Настоятельно рекомендую посмотреть, в видео изложены куда более подробные технически детали: https://youtu.be/EsaaEGoU4Ag…
кстати если отключать rootcerts - это серьезно повлияет на ваш уровень анонимности.

например злоумышенник владеет несколькими exit-нодами, и сможет связать ваш с высокой долей вероятностью между ними, ведь только у 0.01% или даже меньше будут отключены рутсерты (запрос к сайту идти будет, а вот сам контент не загрузится).

наглядный как мне кажется пример когда приватность противоречит анонимности.
Post #466 2.4K
кстати рандомный мак адрес прямо говорит что он рандомный

(насколько помню в некоторых публичных wifi сетях москвы нельзя использовать случайный mac адрес)

если 2 символ мака в списке 2,3,6,7,A,B,E,F, значит мак рандомный

а иначе реальный

скорее всего можно узнать связку мак-imei у производителя
Post #465 2.51K
заметил что если телефон был подключен к скрытой сети при probe request-ах он броадкастит ее ssid.
он будет в поле Wireless Management, Tagged parameters, SSID parameter set (wireshark).

причем если несколько сетей, все несколько будут вещаться под одним адресом (android, на ios разными)

так можно отслеживать устройство (в чем смысл рандомизации мака при probe неясно, если там будет один и тот же ssid отправляться)

да, в настройках андроида это написано, но я не читал. а на айфоне вообще не написано.

кстати, скрытую сеть в сохраненных wifi ни там ни там не видно, нету никакого маркера что она скрытая и будет отправляться постоянно.
Post #464 2.47K
Чекист 42 очередная проблема: прокси сервер может отправить специальный пакет, который будет постоянно крашить ваше устройство. работает как минимум на iOS. прикол в том что если включить режим полета, на главной странице не будет иконки прокси. придется копаться…
секретные чаты туда же
(кстати ситуация еще опаснее - они принимаются автоматически)
PoC не стал писать так как уже зарепортили, но в теории при разборе сообщения в фоне клиент упадет

почему так: нету серверной валидации сообщений, расшифровка и разбор происходят на клиенте, можно под шифрование запихнуть что угодно

варианты фикса:

1. использовать клиенты без секретных чатов (Telegram Desktop, Web)
2. отключить вручную секретные чаты в настройках сессий
3. включить платные сообщения - незнакомцы не смогут создать секретный чат
Post #463 3.32K
по кружкам телеграм можно определить платформу с которой они записывались:

1. разные имена файлов. в Android имени нету, в iOS это video.mp4, в Telegram Desktop это round_<date>.mp4
2. разные края. в Android и Desktop кружок видео дополнен логотипом и надписью телеграм до квадрата, но шрифт разный. в iOS такого дополнения нету.

ранее было известно что библиотеки сжатия фотографий на каждой платформе оставляют разные отпечатки по которым ее можно определить (например отправлено фото с iOS или Android). - https://t.me/chekist42/7
Telegram Чекист 42 Не самый очевидный (и не самый эффективный) способ деанонимизации Telegram. По умолчанию при отправке фотографий все клиенты Telegram их сжимают. Интересно, что это сжатие используют разные библиотеки (у Telegram Desktop - через Qt, у Telegram Android …
Post #462 6.29K
Telegram для Android - я восстановил сообщения из удаленных секретных чатов

клиент хранит все сообщения (секретные/не секретные) плейнтекстом в таблице messages_v2. чекпоинт БД происходит рандомно (я не увидел связи).

поэтому высока вероятность что получится увидеть как минимум недавние удаленные сообщения из секретных чатов. у меня это получилось, я использовал утилиту https://github.com/pawlaszczyk/fqlite для просмотра бд без .wal

также использовал https://github.com/dod-cyber-crime-center/sqlite-dissect чтобы прочитать данные из .wal файла (fqlite плохо с ним работает почему-то)

что я сделал: создал секретный чат, написал туда, удалил его, закрыл приложение.
открыл приложение, снова создал секретный чат, написал туда, и снова удалил, снова закрыл приложение.
затем достал cache4.db, cache4.db-wal из /data и использовал вышеупомянутые утилиты

итого восстановил все сообщения из этих двух удаленных секретных чатов...
GitHub GitHub - pawlaszczyk/fqlite: FQLite - SQLite Forensic Toolkit. FQLite is a tool to find and restore deleted records in SQlite databases.… FQLite - SQLite Forensic Toolkit. FQLite is a tool to find and restore deleted records in SQlite databases. It therefore examines the database for entries marked as deleted. - pawlaszczyk/fqlite
Post #461 2.37K

Forwarded from test

This post (sticker, poll or similar) has no web preview. Open in Telegram

Post #460 2.45K
очередная проблема:

прокси сервер может отправить специальный пакет, который будет постоянно крашить ваше устройство. работает как минимум на iOS.

прикол в том что если включить режим полета, на главной странице не будет иконки прокси. придется копаться в настройках что станут делать далеко не все пользователи.

не могу проверить как давно этот баг в приложении, но подозреваю что давно (github умер). однако, увы, я не первый кто сообщил им об этом.

в теории провайдер зная секрет прокси может подменять ответы от него и крашить клиенты (зачастую прокси публикуются в каналах).

видео с демонстрацией проблемы прикрепляю

UPD:
github ожил, проблема с самого начала (с 2020 года как минимум)
Post #459 2.49K
Tor Zireael Сколько Telegram платит за баги? Ну вот, допустим, вы нашли баг, который позволяет маскировать ссылку под внутреннюю, типа @nickname, но при нажатии на неё клиент будет на самом деле обращаться на внешний сервер, раскрывая таким образом IP клиента — 100$.…
Telegram Desktop не удаляет кеш после удаления сообщений/чатов.

отправляют вам фотку с конфиденциальными данными. когда вы ее скачиваете, в папке Telegram Desktop в загрузках откуда ее можно удалить она не появляется, потому что находится в кеше

если сообщение или диалог будут удалены - фотка из кеша не пропадет. а кеш можно расшифровать и достать оттуда фотку утилитой https://t.me/chekist42/340

ответ security@telegram.org:
все работает как и ожидается. десктоп работает как и браузер и не очищает кеш при удалении сообщений. кстати в настройках можно удалить весь кеш.

имейте в виду
Telegram Чекист 42 https://github.com/4ekist42/tdata-decrypt claude дописал поддержку дампа всех медиа из tdata. я также попросил его дать им временные метки и уникальный file_id из 19 цифр. основано на https://github.com/ntqbit/tdesktop-decrypter, есть поддержка пароля …
Post #458 2.24K
проблема:
- страница devtools большая, неудобно ее держать открытой
- если открыть devtools после загрузки сайта, прошедших сетевых запросов показано не будет

интересное расширение которое нашел от создателей uBlock - https://github.com/gorhill/uBO-Scope

позволяет по клику увидеть время загрузки сайта, сравнить с предыдущим результатом, увидеть полные url на которые шли и дошли/не дошли обращения с удобным раскрытием по доменам
Post #457 2.04K
ключ ssh обновляется по дефолту только при объеме трафика 1-4 ГБ и никогда по времени

это печально, поэтому советую перезапускать сессии почаще
(это не включает в себя PuTTY/WinSCP, у них обмен каждый час).

например у шифра chacha20-poly1305 лимит 1 гигабайт, значит, повторный обмен произойдет когда в одну из сторон придет гигабайт трафика. не суммарно.

предположим, сидит вася на удаленном сервере, смонтировал veracrypt контейнер, скачал что нужно, размонтировал, ключ из памяти удален, продолжает сидеть. хостер не делает дампы озу каждую минуту, но когда уже вася думал отключиться, а сидел он на хосте 6 часов, хостер таки сделал дамп озу.

итого он получил симметричный ключ ssh и расшифровал весь трафик, который включал в себя пароль от контейнера, pim, и так далее.
контейнер расшифрован, хотя на момент дампа озу ключ от него уже не был в памяти.

проверить статус rekey можно через дебаг флаг при подключении -v или введя на удаленном сервере ~I (тильта и большая i), однако это не покажет дефолтные значения.

настроенный rekey параметр может быть фингерпринтом, думаю что в дефолтных реализациях ssh его мало кто настраивает.
Older posts →
Threads Profile ViewerView any public Threads profile without an account.Open ThreadLook →Writing with AI? Make it sound human.Metric37 rewrites AI drafts so they read naturally. Free AI detector, 1,500 words free.Try Metric37 →