Неочевидный способ деанонимизации в Telegram: клиент сам пережимает фото в JPEG, и делает это разными библиотеками, Desktop берёт Qt, Android - Skia, iOS - Apple ImageIO. Дефолтные настройки у всех разные, поэтому в первых байтах файла остаётся отпечаток.

В форке materialgram есть функция OverlayWidget::updateHeader() в Telegram/SourceFiles/media/view/media_view_overlay_widget.cpp, она сравнивает сырые байты скачанного фото с таблицей префиксов JPEG. Совпало - платформа добавляется в заголовок окна.

Это не EXIF, Telegram его и так вырезает, а отпечаток настроек кодировщика: структура JFIF-заголовка (APP0, версия, единицы плотности), ICC-профиль (APP2), и, где есть, первые байты таблицы квантования (DQT). По этим признакам видно семейство, iOS, Android или Desktop, и его ОС, но не конкретную модель телефона.

Примеры префиксов:
FFD8FFE000104A46494600010100000100010000FFDB004300090607 → iOS

FFD8FFE000104A46494600010101004800480000FFE201D8... → Android

FFD8FFE000104A464946000101010078 → Desktop Windows

FFD8FFE000104A4649460001010101 → Desktop macOS

FFD8FFE000104A46494600010100000100010000FFDB004300090606 → macOS (нативное)

Нативное macOS-приложение, написанное на Swift, отличается от Desktop на Qt всего одним байтом в таблице квантования: у iOS ...0607, у нативного macOS ...0606. А у Desktop через Qt единицы плотности и ICC-профиль совсем другие, потому что кодировщик десктопный, не мобильный. Android при этом узнаётся надёжнее всех: по APP2 и хвосту от Skia.

Таблица проверяется по порядку, и побеждает первое совпадение, значит возможны ложные срабатывания в общих корзинах. Поэтому смотреть стоит исходники, а не подпись в самом клиенте.

import binascii

TABLE = [
    ("FFD8FFE000104A46494600010100000100010000FFDB004300090607", "iOS"),
    ("FFD8FFE000104A46494600010101004800480000FFE201D8", "Android"),
    ("FFD8FFE000104A464946000101010078", "Desktop Windows"),
    ("FFD8FFE000104A4649460001010101", "Desktop macOS"),
    ("FFD8FFE000104A46494600010100000100010000FFDB004300090606", "macOS, native"),
]

def detect_platform(photo_bytes: bytes) -> str | None:
    for hex_prefix, name in TABLE:
        if photo_bytes.startswith(binascii.unhexlify(hex_prefix)):
            return name
    return None

Нужны байты именно оригинала, полноразмерного фото, а не превью из Bot API. Оригинал скачивается через MTProto-клиент вроде telethon или pyrogram. Для аудита собственного канала метод работает, а вот на одного конкретного пользователя не масштабируется, слишком много ложных совпадений.

IMEI все примерно знают как "номер, который спрашивают, если телефон угнали". На деле это довольно интересно устроенная штука, и для форензики в ней есть кое-что полезное.

По стандарту 3GPP TS 23.003 в IMEI 15 цифр. Первые восемь TAC, Type Allocation Code, и по ним видно не просто производителя, а конкретную модель и вариант устройства. До 2004 года это было раздельно: 6 цифр TAC и 2 цифры FAC, код завода, потом всё объединили в один восьмизначный TAC. Дальше 6 цифр серийного номера конкретного экземпляра внутри TAC, а последняя цифра контрольная сумма по алгоритму лухн.

Официальный реестр TAC ведёт GSMA, но доступ туда платный и закрытый, дают операторам и по коммерческой подписке. Поэтому и жив github.com/MoazEb/tac-database энтузиасты насобирали из открытых источников, утечек и API производителей примерно 255 000 записей, где TAC сопоставлен с производителем и моделью.

Зачем это вообще нужно в доксбенчике? Если у следствия есть только IMEI, а до самого телефона не добраться, TAC сразу выдаёт точную модель, вопрос лишь в том, откуда IMEI вообще мог всплыть без физического доступа к устройству. attach и paging в GSM, UMTS, LTE.

Такие ловушки давно не только у спецслужб. На GitHub лежит рабочий пример, Oros42/IMSI-catcher: скрипт слушает paging-канал GSM через обычный SDR, HackRF, USRP или BladeRF, вместе с gr-gsm, и вытаскивает IMSI телефонов поблизости. Работает это потому, что в GSM телефон аутентифицирует сеть, а не наоборот, и до включения шифрования идентификаторы просто передаются открыто, взламывать тут нечего. Дальше вопрос уже не в технике, а в законе: такая радиодеятельность почти везде лицензируется, а перехват чужого трафика подпадает под статьи о нарушении тайны связи, так что это скорее иллюстрация дыры в протоколе, чем то, что стоит повторять.

Или это логи оператора CDR, которые по запросу правоохранителей выдаются, у нас это ещё и СОРМ. Бывает проще: IMEI засветился при перепродаже, в сервисном центре на ремонте, или при проверке по чёрному списку украденных телефонов.

С точной моделью на руках круг подозреваемых сужается, понятно, что физически искать. Можно сверить с показаниями свидетеля: сказал "у него был айфон" смотрим, совпадает ли TAC с моделью iPhone. Ну или просто добавляем деталь в профиль цели, раз уж она есть.

И вот что часто забывают: смена SIM-карты IMEI никак не трогает. Устройство остаётся тем же самым, а оператор и любой перехват видят связку IMSI и IMEI, поэтому смена только симки анонимности не даёт, железо всё равно палится.

Возможно ли с помощью скомпрометированного VPN направить запрос вместо легитимного сайта на фишинг, например, tbank.ru на faketbank.ru? Да, и это не дыра в конкретном приложении, а штатное свойство того, как устроен VPN.

При подключении клиент подсовывает системе собственный DNS-резолвер вместо резолвера провайдера. Обычно это защита от DNS leak, когда запросы доменов утекают ISP в обход туннеля. Но тот же самый механизм даёт оператору VPN возможность врать выборочно: отвечать произвольным IP только на запросы к tbank.ru, а всё остальное резолвить честно, чтобы у пользователя ничего не сломалось и не возникло подозрений.

В 2016 году CSIRO и UC Berkeley выпустили исследование "An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps". Проверили сотни Android-приложений и нашли инъекцию рекламы в трафик, а в части случаев - перехват через сторонние SDK, вшитые в само приложение.

Подмены DNS одной недостаточно. HTTPS требует валидного сертификата на tbank.ru, а такой сертификат просто так не достать. Есть три пути: украсть приватный ключ банка, что почти нереально; скомпрометировать удостоверяющий центр, как это случилось с DigiNotar в 2011 году; или установить на устройстве жертвы сторонний root-сертификат, и это самый рабочий вариант из трёх. Часть VPN- и прокси-приложений сами предлагают его поставить, обычно под предлогом "стабильной работы" или "блокировки рекламы".

Как только root CA стоит, связка с подменённым DNS даёт полноценный TLS MITM без единого предупреждения. Браузер не ругается, потому что система сама велела ему доверять этому сертификату.

Есть три вещи, которые этому мешают. HSTS не даёт откатить соединение до HTTP - список таких доменов зашит прямо в браузер. Certificate Transparency, публичные логи вроде crt.sh, где обязан засветиться любой сертификат от доверенного CA, так что подделку рано или поздно найдут, просто не в момент атаки. И DoH/DoT позволяют вручную задать резолвер вроде 1.1.1.1 от Cloudflare на уровне браузера или ОС, в обход того DNS, который навязывает сеть или сам VPN.

Отдельно стоит сказать про такие клиенты, как ClashX/Happ и т.д.: это не VPN-сервис как таковой, а обвязка над протоколами VLESS, VMess, Shadowsocks. Кто реально управляет DNS и маршрутизацией, решает не клиент, а оператор сервера, чей конфиг туда загрузили. Поэтому один и тот же ClashX может быть безопасен с одной подпиской и опасен с другой.

Целенаправленная подмена DNS ради фишинга - это компьютерное мошенничество, в РФ статьи 159.6 и 272 УК РФ. Разбор метода нужен, чтобы понимать, кому доверять при выборе VPN, а не как руководство к действию.

Смена SIM-карты IMEI не трогает вообще никак, а ручная подмена самого номера тоже не спасает - и вот почему. GrapheneOS прямо написали: IMEI далеко не единственный идентификатор, который видит сеть. Железо палится через UECapabilityInformation и Mobile Station Classmark, это происходит на уровне протокола, ещё до того, как отработает аутентификация SIM. Внутри, поддерживаемые диапазоны частот, MIMO, схемы модуляции, и у китайского смартфона за десять тысяч рублей этот набор совсем не такой, как у айфона.

Не голословно: в NDSS 2023 команда из KAIST (Oh et al.) прогнала трафик 102 устройств и вытащила 922 признака, по которым модель определяется однозначно. IMEI подделать легко, поэтому в статье операторам прямо советуют сверять его с этим capability-отпечатком железа.

Дальше хуже. GSMA держит реестр TAC закрытым, поэтому просто взять и подобрать себе "правильный" TAC без дублирования уже существующего или без выхода за пределы реального диапазона - задача почти вслепую. А операторы вдобавок ловят саму аномалию: резкая смена IMEI на той же симке, в той же локации, выдаёт человека без всякого капабилити-анализа. Совпало время, место и профиль устройства и "старый" телефон со "старым" IMEI внезапно линкуется с "новым".

Метод не про то, чтобы найти конкретного человека в толпе, два одинаковых айфона он не различит. Но попытку выдать одно устройство за другое ловит железно.

QR-вход в Telegram держится на двух методах MTProto: auth.exportLoginToken и auth.importLoginToken. Первый генерирует одноразовый токен на устройстве жертвы, второй сканирует код и запускает сессию под её аккаунтом. Без облачного пароля вход почти мгновенный и вот тут начинается интересное. Если у жертвы включена 2FA, сессия зависает на середине: сервер ждёт пароль, а до его ввода она формально считается неполной.

Именно в этом подвешенном состоянии Telegram X сливает модель устройства и IP жертвы, ещё до пароля. Официальный клиент молчит, ни в списке сессий, ни в уведомлениях этого нет.

Получается односторонняя утечка метаданных без взлома аккаунта: отсканировал чужой QR, не завершил вход и уже видишь IP с моделью телефона. Токен живёт около 30 секунд, можно просто подождать, пока сдохнет сам, или отменить сессию руками.

В современном мире сложно представить жизнь без связи/звонков, а её отсутствие, может быть подозрительным фактом.
Байки о том, что население насильно чипизируют, только добавляет иронии, ведь этот план уже давно воплотился в реальность, при чём люди добровольно на это согласились.
Смартфон буквально шпионит за вами, отслеживает не только перемещения в пространстве но и знает ваши интересы, любимую музыку и график работы.
Статистика позволяет определить ваши потребности, предсказать ваши намерения на ближайшее будущее и промывать мозги бесконечной рекламой.
Мы находимся под наблюдением круглосуточно, если не расстаёмся со своим гаджетом, он слышит, видит и чувствует, с помощью аккселерометра, то есть смартфон в кармане "знает" что вы ходите или спускаетесь по лестнице.
Эти данные недоступны вашему мобильному оператору, если только добровольно не дадите к ним доступ.
Добровольный доступ означает установку приложения мобильного оператора, но так же, такие приложения есть и у других организаций, например банков.
Приложения требует слишком много привелегий и могут отслеживать данные которые ему были недоступны.
Однако эти данные всегда доступны производителю прошивки смартфона и google или apple.

Данные истории перемещения абонента в пространстве могут подтверждать или опровергать различные предположения при проведении ОРМ.
Вашу деятельность можно предположительно идентифицировать благодрая истории перемещений, например, вы много времени проводите дома и выходите только что бы совершить покупки, снять деньги, либо сходить в обменник.

Эти подробности подтверждают, как минимум, то что у вас удалённая работа и мало друзей, если ваш смартфон не контактирует часто в одной соте с другими абонентами.
Взгляните на ситуацию с личной связью более трезво и оценивайте потенциальные риски.
Каждый раз когда вы планируете выйти из дома, составьте грамотный маршрут, который будет соответствовать вашим легендам.
Симуляция типичной жизни означает посещение общественных мест, созвон с близкими и друзьями, активное использование приложений которые требуют активацию по номеру телефона, ваш номер могут спросить для записи в парикмахерскую либо для заказа пиццы.
Вопрос необходимости часто "светиться" в GSM сети / телефонных разговорах довольно двоякий, многие стараются избегать обычные звонки и используют личный номер только в целях обслуживания банковского счёта.
Это может означать что абонент разговаривает через звонки в месседжерах, либо вовсе ни с кем не общается.

Оставлять дома смартфон хорошая идея, только она не учитывает наружное наблюдение.
Речь не только о видеонаблюдении / камерах у входов в подъезд, но и о ваших соседях, родственниках, друзьях.
Пробелы в вашей жизни, которые нечем заполнить, могут через какое-то время заставлять наблюдателей задуматься о том, чем вы занимаетесь.
Отсутствие смартфона где-то далеко от дома будет весьма подозрительной ситуацией и желательно иметь объяснение этому.

Следите за своим поведением, эмоциями и реакцией. Вы можете привлечь внимание общества в самых неожиданных местах: в магазине, в транспорте, в кафе и просто прогуливаясь по улице.
Методы оперативников довольно тривиальны и используются во всех странах мира.
Во-первых, язык тела, почти всегда можно определить беспокойство преступника по бурной реакции на раздражитель в виде полицейской машины / формы или ксивы.
Во-вторых, "циганский" способ внезапного нападения на психику, даёт хороший результат при анализе поведения человека.
В силу времени, опыт в таких мероприятих становится колосальным и среднестатистический опер похож на хищника, который круглосуточно ищет жертву среди мирного населения.

Человек чья работа выявлять и задерживать преступников, имеет отлично надрессированную психику, не пытайтесь считать что ваш "актёрский" талант позволит вам с лёгкостью навешать лапшу подобному гражданину.
По этой причине важно иметь полный перечень подготовленных пруфов и "чистые" устройства, квартиры, на тот случай, если ситуация зайдёт слишком далеко.

Тоже самое касается и других ситуаций, в которых вы неизбежно столкнётесь с опытными, в общении, людьми.
Это могут быть сотрудники банков, налоговой и других бюрократических учреждений.
В конце концов вы можете попасть в ситуацию, в которой нужно будет давать показания следователю, вы можете стать свидетелем преступления или просто стать жертвой проверки банального патруля.

Дискомфортная ситуация может возникнуть в любой момент и в любом месте и к этому нужно быть готовым.
Начните предпологать что за вами уже наблюдают и собирают компромат, исследуют каждый шаг и логику ваших действий.
Понаблюдайте за самим собой и подумайте, всё ли впорядке, достаточно ли логичны и понятны ваши намерения со стороны, кто вы для окружения?