Новости из параллельной вселенной

— Дисклеймер —
Вся информация предоставлена в исследовательских и обучающих целях, автору все приснилось. Переходите в месенджер Max

Как планируется палить ваши VPN после 15 апреля на примере Месенджера с парковки:

• Обнаружение VPN-соединения. Выполняется проверка флага NetworkCapabilities.TRANSPORT_VPN через ConnectivityManager - стандартный Android API, не требует специальных разрешений. Возвращает логическое значение - VPN активен или нет. Поле VPN : 1 отправляется на api.oneme.ru внутри кастомного бинарного протокола (заголовок 10 байт + MessagePack payload, опционально - LZ4-сжатый)

• Дополнительный вектор проверки это сетевой стек Android, общий для всех приложений - при активном VPN-соединении в системе появляется интерфейс tun0, который виден любому процессу через запрос интерфейс /proc/net/if_inet6, /proc/net/fib_trie или используя метод NetworkInterface.getNetworkInterfaces(). Оба метода не требуют дополнительных разрешений от системы. Наличие tun0 является однозначным маркером активного VPN-туннеля для организации КВН

• Доступность заблокированных хостов. Host Reachability - карманный "Ревизор”. Модуль проверяет доступность хостов (main.telegram.org, mmg.whatsapp.net, gosuslugi.ru, gstatic.com, calls.okcdn.ru и др.)

конечно же как opensource метрики и для улучшения качества предоставляемых услуг

двумя методами: ICMP ping (`InetAddress.isReachable`) и TCP connect на :443 с таймаутом 3с. Результат кодируется следующим образом: 0 = оба fail, 1 = ping ok / tcp fail, 2 = ping fail / tcp ok, 3 = оба ok. Это прямая проверка работы ТСПУ - он не режет ICMP, но блокирует конкретные порты/протоколы

• Сбор IP и привязка к оператору IP. Запрашиваются данные у шести источников (yandex ipv4/ipv6, ifconfig.me, api.ipify.org, checkip.amazonaws.com, ip.mail.ru) - 50/50 российские/зарубежные, чтобы ловить раздельное туннелирование, когда RU-трафик идет напрямую. Параллельно собирается зона обслуживания мобильной сети (PLMN (MCC+MNC)) с помощью метода TelephonyManager.getNetworkOperator() - маркер нахождения в РФ без геолокации

• Уязвимость VLESS-клиентов. Все популярные клиенты (v2rayNG, Hiddify, NekoBox, V2BOX, Happ и др.) запускают локальный socks5 прокси без аутентификации. Схема:
• VpnService → tun2socks → xray socks5 → VPN server.
Spyware-модуль может напрямую подключиться к socks5 на localhost, минуя VpnService, и узнать выходной IP прокси

Приватные пространства (Knox, Shelter, Island) не имеют возможности изолировать loopback. Сканирование портов localhost доступно между профилями

👀@ever_secure | 💪 Мерч | 💳Поддержать