Уязвимости популярных мессенджеров

Telegram
• Отсутствие end-to-end шифрования по умолчанию.
В Telegram все чаты хранятся на серверах в зашифрованном виде, но стандартные чаты не используют end-to-end шифрование, только секретные чаты. Многие пользователи не знают об этой разнице и ведут важные разговоры в обычных чатах.
• Облачное хранение данных.
Все сообщения и файлы, отправленные в обычных чатах, хранятся в облаке Telegram. Это даёт удобство, но создаёт потенциальную точку доступа для взломщиков или спецслужб.
• Метаданные.
Telegram собирает метаданные: кто с кем общался, когда и как часто. Даже без доступа к содержимому сообщений, анализ метаданных позволяет строить карты коммуникаций.

WhatsApp
• End-to-end шифрование включено по умолчанию.
Это плюс — сообщения шифруются от отправителя до получателя. Однако…
• Резервные копии в облаке.
Многие делают резервные копии чатов в Google Drive или iCloud, и там данные не всегда зашифрованы. Это уязвимость, о которой пользователи часто не задумываются.
• Уязвимости в клиентах и бэкдоры.
За последние годы в WhatsApp находили эксплойты, позволяющие удалённо запускать код на телефоне через звонки или сообщения. Хоть эти дыры быстро закрываются, риск остаётся.

Signal
• Полное end-to-end шифрование.
Все сообщения и звонки зашифрованы по умолчанию, серверы не хранят контент.
• Минимум метаданных.
Signal сохраняет минимум информации,только дату регистрации и последний вход. Это повышает приватность.
• Ограничения по функционалу.
Из-за высокой защиты Signal не хранит историю сообщений в облаке, нет поддержки больших групп и некоторых удобств, которые есть в Telegram и WhatsApp.
• Возможные риски компрометации устройства.
Сам мессенджер защищён, но если телефон заражён вредоносным ПО, то защита теряет смысл.

Голосовые сообщения.

Мало кто задумывается, но каждый voice message это закодированный бинарный файл. Когда ты его включаешь, клиент (Telegram, WhatsApp, Signal) расшифровывает аудио с помощью встроенного декодера. А вот тут и начинается самое интересное.

Если в кодеке (OPUS или AMR) есть уязвимость, её можно эксплуатировать через обычный голосовой.Ты нажал «воспроизвести», и пошло выполнение вредоносного кода. Иногда даже не нужно нажимать,некоторые клиенты автопроигрывают всё подряд.

Такие баги уже ловили CVE с remote code execution через голосовые были и в Telegram, и в WhatsApp, и в Discord.

Особенно уязвимы:
старые версии приложений;
кастомные прошивки Android;
устройства без актуальных патчей безопасности.

Что делать:
не слушать голосовые от рандомов;
не ставить модифицированные клиенты;
следить за обновлениями.

Face Embedding Leakage и корреляция биометрических векторов между платформами

Что это такое?

Когда вы загружаете своё фото в соцсеть, на сайте или в мессенджере, система чаще всего не просто хранит изображение, а извлекает из него вектор признаков - числовое представление вашего лица, называемое face embedding. Это и есть основа современных систем распознавания лиц.

Даже если у вас разные фото, стили, углы, платформы - embedding остаётся очень похожим. Его можно использовать как цифровой биометрический хеш, который уязвим для корреляции между платформами.

Что такое Face Embedding Leakage?

Это утечка информации о лице не через само фото, а через скомпрометированные или предобработанные векторные представления лица (embeddings), созданные такими нейросетями, как:
• Facenet
• Arcface
• Dlib Resnet
• Deepface
• Insightface

Эти векторы обычно размером 128–512 чисел и являются уникальным отпечатком черт лица.

Как происходит корреляция между сервисами?

1. Сравнение embeddings:
Допустим, embedding A (из Tiktok) ≈ embedding B (из telegram) по косинусной близости можно с большой вероятностью утверждать, что это одно и то же лицо.
2. Парсинг через публичные API и JS библиотеки:
Некоторые веб платформы используют встроенные модели (например, face api.js), и можно через подгрузку фото на форму получить embedding в браузере.
3. Перехват или слив векторов из внутренних логов/интеграций систем видеонаблюдения, CRM или распознавания клиентов.
4. Подмена модели на клиенте/сервере, если вы имеете доступ в результате embedding можно получать напрямую из сторонней платформы.

• Embedding - это персональный идентификатор, почти как отпечаток пальца.
• Его сложно подделать, но легко сопоставить между разными сервисами.
• Даже анонимизированные аккаунты можно привязать к реальной личности, если один из embedding’ов уже привязан к известному пользователю.

Практические примеры использования:
• Найдено лицо в утечке с камеры - строим embedding, прогоняем по базе (например, FindFace, Pimeyes, SelfieForensics).
• Имеем старую базу embedding’ов с утекшего сервиса - находим совпадения с пользователями Tiktok/VK/Youtube.
• Генерация embeddingов для сканирования тг аватарок в группах через opencv + deepface.

бот | политика | контакт | чат

Инструменты:
• Insightface (лучшее качество)
• Deepface (удобство)
• Dlib + face_recognition
• Pinecone, FAISS, Weaviate - для поиска по миллионам embeddingов
• Facefusion, Stylegan - для создания и подмены образа

бот | политика | контакт | чат

Angry IP Scanner - мощный инструмент для быстрой диагностики сетей

Angry IP Scanner - это компактный, инструмент для высокоскоростного сканирования IP адресов и портов. Его популярность среди системных администраторов, специалистов по безопасности и OSINT-аналитиков обусловлена простотой интерфейса при высокой эффективности работы.

Программа способна сканировать тысячи IP адресов за считаные секунды, собирая данные о доступности хостов, открытых портах, NetBIOS-именах, MAC-адресах и даже времени отклика. Кроме того, поддерживает плагины для расширения функциональности и может экспортировать результаты в различные форматы (TXT, CSV, XML).

Ключевые особенности:
• Асинхронная архитектура обеспечивает высокую скорость сканирования;
• Возможность тонкой настройки диапазонов IP, портов и задержек;
• Отсутствие необходимости в установке (есть portable-версия);
• Поддержка как IPv4, так и IPv6.

Что собирает приложение MAX о пользователях

1. Полные логи активности
• Точное время открытия приложения;
• Геолокация при каждом запуске;
• Устройство, модель телефона, версия ОС;
• Отправка push уведомлений на сервер с привязкой к ID.

2. Жесткая привязка к личности
• Привязка к номеру телефона обязательна;
• Требует доступ к контактам выгружаются на сервер;
• Считываются IMEI/ID устройства;
• Уникальный “отпечаток” устройства формируется и сохраняется.

3. Доступ к микрофону и камере
• Даже в фоновом режиме;
• Возможна активация без прямого взаимодействия (если разрешения даны).

4. Сбор технических и поведенческих данных
• Сколько времени пользователь проводит в приложении;
• На какие разделы нажимает;
• Какие чаты открывает и как долго в них находится;
• Поведение в каналах (что дочитывает, что пролистывает).

5. Метаданные сообщений
• Кто, кому, когда и сколько сообщений отправил;
• Даже если чат удалён, метаданные сохраняются;
• Прикреплённые медиа индексируются по хэшу.

6. Автоматическая аналитика голоса и текста
• Потенциально используется анализ голосовых сообщений;
• Сбор текстов сообщений для анализа интересов и профиля пользователя;
• Предустановленные AI алгоритмы категоризируют поведение.

7. Серверная инфраструктура
• Размещена в России данные доступны по запросу органов;
• Нет публичного аудита безопасности;
• Сквозное шифрование заявлено, но не доказано.

MAX - это не альтернатива Telegram, а инструмент полного контроля и сбора данных. Даже по сравнению с WhatsApp, уровень доступа к данным пользователей чрезмерен.

Приватность - это прозрачность кода, независимый аудит и контроль над тем, что приложение делает в фоновом режиме. В MAX всего этого нет.

Данный пост носит исключительно информационный характер. Представленные данные основаны на открытых источниках и не являются утверждением о нарушении законодательства или обвинением в адрес каких-либо лиц или организаций. Автор не призывает к каким-либо действиям и не выражает политическую позицию.

бот | политика | контакт | чат

Bitchat: альтернатива мессенджерам с mesh сетью и офлайн связью.

Bitchat - это не просто очередной мессенджер. Это проект, построенный на принципах mesh сетей и peer-to-peer взаимодействия, где нет единой точки отказа и централизованных серверов.

Что это даёт:
– Работа в условиях блокировок
– Возможность общения при отключённой сети (даже в полевых условиях)
– Минимизация сбора данных: сервера просто отсутствуют

Особенности:
– Не требует SIM-карты или учётной записи
– Каждый участник узел сети
– При большом скоплении людей (митинги, фестивали, катастрофы) mesh сеть расширяется и усиливается
– Шифрование данных встроено по умолчанию

Ограничения:
– Невозможно общаться, если рядом нет других устройств с Bitchat
– Нет глобального поиска, история ограничена локальной памятью
– Сильно зависит от плотности сети

Bitchat - инструмент не для повседневной болтовни, а для ситуаций, где нужна автономность, приватность и устойчивость к цензуре. Это полезный кейс для активистов, журналистов, участников митингов и всех, кто хочет независимости от централизованных платформ.

бот | политика | контакт | чат

Семантический анализ и построение связей в больших данных.

Что такое семантический анализ в OSINT?
• Это технология, которая позволяет компьютеру “понимать” смысл текста, а не просто искать ключевые слова.
• Например, распознавать, что “президент” и “глава государства” - это одно и то же, или что два упоминания относятся к одному событию, несмотря на разное описание.

Как строятся графы связей?
• Инструменты собирают данные о людях, организациях, событиях, а затем показывают их взаимосвязи в виде сетей.
• Это помогает выявлять ключевых фигур, скрытые группы и важные посреднические звенья.
• Часто применяется для расследований финансирования, криминальных структур, корпоративных махинаций.

Роль машинного обучения
• Модели обучаются распознавать подозрительные паттерны - например, фишинговые кампании или фейковые аккаунты.
• Автоматическое выделение важной информации среди огромных массивов текста.
• Классификация и приоритизация данных для аналитиков.

полезные ресурсы:
1. Maltego
2. Graphistry
3. Sentiment Analyzer (VADER, TextBlob)
4. Spacy + NeuralCoref
5. IBM Watson Natural Language Understanding
6. IntelTechniques OSINT Tools

бот | политика | контакт | чат

Как анонимные Tгк сливаются через ошибки.

1. Пересланные сообщения

Одна из самых частых ошибок.
Админ пересылает пост из своего второго канала или вообще личного чата. В пересланном сообщении может остаться:
• ID канала/пользователя
• username, даже если он потом удалён

2. Репосты из личного

Если админ случайно пересылает что-то из своего личного чата (себе же), ботам и инструментам
видно:

кто автор,
какой у него ID,
можно ли его найти в поиске Telegram.

И даже если сообщение быстро удалили, Telegram боты архивируют моментально (например, через ChainFeed, TLgrmMirror и др).

3. Биржи рекламы, кэш, старые профили

Регистрация канала на Telega.io, Epicstars, TGstat
Привязка к рекламной сети через личный Telegram
Указание контактного юзера для связи

Как проверить, утекли ли ваши данные, и убрать их из открытых источников.

Проверка утечек:
1. haveibeenpwned.com - проверка email и паролей на наличие в базах утечек.
2. dehashed.com - поиск по email, IP, телефону, имени пользователя в скомпрометированных базах.
3. intelx.io - поиск в дампах, Pastebin, утёкших документах.
4. scylla.so - поиск в частично платных базах с расширенной информацией.

Как удалять данные:
Связаться с администраторами сайтов, где опубликованы личные данные, с требованием об удалении.
Использовать сервисы типа joindeleteme.com или incogni.com для массового удаления из агрегаторов.
Проводить ручной OSINT своих данных и отправлять запросы на удаление.

Практические шаги:
1. Проверить все свои email и телефонные номера в HaveIBeenPwned и Dehashed.
2. Составить список утёкших паролей и немедленно сменить их, включая связанные аккаунты.
3. Провести поиск в Google/Yandex по номеру телефона и ФИО в кавычках.
4. Найденные сайты с личными данными зафиксировать скриншот, затем отправить запрос на удаление.
5. Настроить уведомления в HaveIBeenPwned для автоматического оповещения о новых утечках.

как правильно разделять почты для разных задач

1. Основные типы почт:
Личная - только для реальной жизни (банки, учёба, официальные сервисы).
Рабочая - для контента, проектов, соцсетей.
Burner (одноразовые/второстепенные) - для тестов, регистрации на сомнительных сайтах, временных аккаунтов.

2. Ошибки:
Использование одной и той же почты для личного и анонимного аккаунта.
Повторение одинаковых никнеймов и паролей в разных почтах.
Привязка всех аккаунтов к одному Gmail (Google хорошо связывает всё между собой).

3. Как правильно:
Для основных анонимных аккаунтов: Gmail/Outlook, созданные с отдельного устройства или виртуалки.
Для «сервисных задач»: ProtonMail, Tutanota, Mailfence.
Для массовых тестов: одноразовые сервисы (Guerrilla Mail, TempMail Pro).

4. Практика:
Никогда не использовать личную почту как «резервную» для анонимных аккаунтов.
Создавать отдельную почту под каждую крупную платформу.
Включать двухфакторку через приложение аутентификатор, а не SMS.
Вести таблицу (локально, без облака) с соответствием почт и аккаунтов, чтобы не потерять контроль.

Крутое сообщение, на которое все ставят реакции

Почему в 2025 году не стоит бояться докса

Когда-то слово «докс» звучало как приговор. Казалось, что если твой адрес или телефон попадёт в сеть, всё - конец. Но в 2025 году докс перестал быть реальной угрозой.

Адреса, номера, старые аккаунты - всё это уже давно в интернете. Базы сливались десятки раз, и твоя информация давно смешана с миллионами других. Для доксера это уже не «уникальный компромат», а просто очередная строка в списке.

Эффект от докса сильно упал. Люди перестали реагировать так, как раньше. Сегодня даже публикация полного пакета данных не вызывает того шока, который был раньше. Максимум - кратковременный интерес, который быстро исчезает.

На практике большинство «угроз» от докса сводится к спам-звонкам или доставке нежелательных заказов. Серьёзного воздействия это не даёт: симку можно сменить, звонки заблокировать, доставку отменить. Дальше этого дело почти никогда не заходит.

К тому же, в последние годы законы стали куда строже. В 2025-м доксинг в ряде стран уже приравнивается к уголовному преступлению. То есть реальный риск больше для доксера, чем для того, кого он пытается «слить».

Главный момент - в реакции. Докс держится только на страхе. Если человек не даёт эмоций и не паникует, у доксера нет инструмента давления. Публикация данных без отклика просто пустая трата усилий.

В итоге докс в 2025 году это скорее бесполезная попытка напугать, чем реальная опасность. Бояться этого нет смысла.

Опасности мессенджера MAX

1. Зарегистрирован на «дропа»

Есть информация, что приложение зарегистрировано не напрямую на официальную прозрачную компанию, а на так называемого «дропа» подставное юрлицо. Это стандартная схема, когда хотят скрыть настоящих владельцев и ответственность. Такой подход уже сам по себе настораживает, так как делает почти невозможным выяснить, кто реально контролирует сервис.

2. Подозрение на бэкдоры
Внутри MAX находили подозрительные элементы кода (например, .jar-файлы и сторонние библиотеки), которые могут давать приложению системный доступ глубже, чем у обычного мессенджера.
Это выглядит как бэкдоры скрытые механизмы, через которые можно собирать данные или управлять устройством.
Иногда такие механизмы даже ловят антивирусы, что подтверждает, что внутри есть не только «безопасный чат».

3. Массовый сбор данных
MAX запрашивает и сохраняет слишком много информации:
• геолокацию,
• IP-адреса,
• список контактов,
• файлы и медиа,
• переписку.

Эти данные могут уходить на государственные серверы, что превращает приложение в инструмент слежки.

4. Риски для пользователей
Отсутствие приватности: твои данные не остаются только на твоём устройстве.
Фишинг и мошенничество: были случаи, когда через MAX мошенники выдавали себя за «поддержку» и вытягивали у людей SMS-коды для входа в Госуслуги.
Уязвимости: интеграция с сомнительными библиотеками (например, uCrop) создаёт риск утечек за границу.