Думали, «национальный мессенджер» — это просто клон привычных нам приложух? Оказалось, это полноценный spyware под прикрытием, который палит ваши туннели, пингует конкурентов и светит личными файлами на весь интернет. Собрал для вас хронологию грандиозного провала ИБ в приложении MAX.
Хроника расследования на Хабре:
1. Месседжер MAX следит за пользователями VPN? Реверс инжиниринг говорит — да > https://habr.com/ru/articles/1006666/
Разработчики MAX встроили модуль проверки хостов, который пингует Telegram и WhatsApp, а также вычисляет использование VPN на уровне системы. Всё это управляется удалённо с сервера и позволяет точечно следить за конкретными аккаунтами.
2. Российский мессенджер MAX замечен в обращении к иностранным сервисам определения IP и серверам конкурентов > https://habr.com/ru/articles/1006394/
Первые звоночки с NTC-форума. Анализ трафика через PCAPdroid показал, что приложение постоянно дёргает зарубежные ресурсы (AWS и Cloudflare) для сверки внешнего IP-адреса. Цель — вычислить наличие раздельного туннелирования (split tunneling) и скомпрометировать адреса ваших личных прокси-серверов.
3. После заявления Max, что ссылки на фото нельзя подобрать или сгенерировать, в сети нашли контент из мессенджера > https://habr.com/ru/news/1007576/
Дырявая архитектура в стиле "нулевых". Все медиафайлы лежат в открытом доступе по прямым ссылкам без серверной проверки прав. Личный файл доступен даже после его "удаления" из чата. Пресс-служба заявляла, что подобрать ссылку нереально, но юзеры уже вовсю находят чужие документы и фотографии.
4. В Max пояснили Хабру: мессенджер не отправляет запросы на серверы WhatsApp и Telegram и не отслеживает использование VPN / Хабр > https://habr.com/ru/news/1006950/
Официальный ответ пресс-службы, заявившей, что приложение к VPN отношения не имеет и ничего не отслеживает. Однако практически сразу после этого они в тихом режиме выкатили патч (версия 26.7.1), отключающий отправку запросов к конкурентам, хотя сам шпионский класс в коде так и остался.
❗️❗️❗️ Нравится формат? Ставь 👍
👉 Рубрика: #News@LinuxSkill
#MAX #Security #Spyware #VPN #Privacy