На прошлой неделе на профильных форумах разгорелся скандал: пользователи выяснили, что мессенджер MAX тайно простукивает 6 разных IP-чекеров и проверяет доступность заблокированных в РФ ресурсов (Telegram и WhatsApp). Цель — выявить использование VPN и отследить так называемый «сплит-роутинг» (когда туннель покрывает только зарубежный трафик). Собранные данные уходили на трекеры VK и «Одноклассников». Пресс-служба мессенджера тогда категорически опровергла факт скрытых запросов, а новость разошлась в СМИ.
Однако команда VPN LIBERTY провела собственный анализ сетевых дампов приложения и нашла подтверждение не только слежке, но и наличию скрытого модуля удаленного управления, который активируется точечно.
Выяснилось, что алгоритм сбора данных запускается не у всех пользователей подряд. Ему предшествует скрытый обмен трафиком с непубличным доменом st.max.ru:
Сначала от приложения уходит крошечный запрос на 8 КБ. В ответ открываются 8 параллельных HTTPS-соединений, по которым MAX скачивает пакет данных объемом более 1 МБ. Для простой служебной команды это размер целой книги. Только получив этот массивный файл, мессенджер послушно запускает проверки IP и доступности "запрещенки", а затем сливает собранный JSON-отчет на внутреннюю api.oneme.ru, хитро замешивая его в легитимный трафик
По мнению экспертов, такая архитектура указывает на наличие классического управляемого бэкдора. Неизвестный сервер может в любой момент удаленно загрузить в смартфон пользователя полновесные скрипты и инструкции: в отношении кого проводить проверки, какие действия выполнять и куда отправлять отчетность.