Forwarded from bruhcollective. (iTaysonLab)
the following content will be interesting for Russian-speaking only:
тут начали закупать в ТГ рекламу некого мессенджера "Telega", общающегозолотые горы стабильную работу ТГ на территории РФ
но в чем подвох? а в том, что эта "Telega" (которая https://telega.me) - является проектом VK.
но как об этом узнать? а все просто - берем APK и открываем декомпилятор
идем в ru.dahl.messenger.Extra и видим:
-> PROXY_ADDRESS = "dal.mvk.com", прокси-адрес, запишем
-> MYTRACKER_SDK_KEY = "*", SDK-ключ от трекера MyTracker, который принадлежитMai VK Group
-> CALLS_BASE_URL = "https://calls.okcdn.ru/" - те самые рабочие звонки, которые на самом деле являются звонками через инфраструктуру Одноклассников (на которых работает еще MAX и VK Звонки, ага)
а теперь берем dal.mvk.com:
-> неймсервера mvk.com идут на малоизвестный домен VKONTAKTE.RU
-> в декомпиляции официального клиента VK для Android можно найти референсы на "https://jira.mvk.com"
(и вся реклама этого клиента в ТГ ведет на трекинг-домен trk.mail.ru)
но кому не пофиг? вдруг ВК просто по приколу решили сделать форк ТГ, прикрывшись прокладкой из Татарстана?
а вот тут уже обнаруживается прикольная вещь: в клиенте есть "черный список" нежелательных ТГ-каналов, ботов и пользователей! при нажатии на которых выводится ТГ-шная "заглушка" с своим текстом:
какие правила платформы? Telegram? но таких строчек нет в официальном клиенте Telegram :)
и да - черный список включается по флагу из сервера, то есть они могут включить это в любой момент
///
а кроме этого, в клиенте есть замена иконок на ВКшные. все бы ничего, но весь код замены был взят из такого малоизвестного клиента как Catogram (https://github.com/Catogram/Catogram/blob/a34ddfb42f50b86eb7cd83fb68ea24fa041084a9/TMessagesProj/src/main/java/ua/itaysonlab/catogram/vkui/ReplaceKtx.kt)
BaseIconReplace -> ru.dahl.messenger.icons.BaseIconReplacement
No/VkIconReplace -> ru.dahl.messenger.icons.AltIconReplacement/IconReplacementNone
ReplaceKtx.newSparseInt -> ru.dahl.messenger.icons.BaseIconReplacementKt
причем взяли все подчистую - те же названия переменных, методов, параметров и даже код тот же (даже тот же sparseInt сделали root-level функцией Kotlin)
а забавный факт в том, что основной разработкой Catogram занимался... я
как-то так....
тут начали закупать в ТГ рекламу некого мессенджера "Telega", общающего
но в чем подвох? а в том, что эта "Telega" (которая https://telega.me) - является проектом VK.
но как об этом узнать? а все просто - берем APK и открываем декомпилятор
идем в ru.dahl.messenger.Extra и видим:
-> PROXY_ADDRESS = "dal.mvk.com", прокси-адрес, запишем
-> MYTRACKER_SDK_KEY = "*", SDK-ключ от трекера MyTracker, который принадлежит
-> CALLS_BASE_URL = "https://calls.okcdn.ru/" - те самые рабочие звонки, которые на самом деле являются звонками через инфраструктуру Одноклассников (на которых работает еще MAX и VK Звонки, ага)
а теперь берем dal.mvk.com:
-> неймсервера mvk.com идут на малоизвестный домен VKONTAKTE.RU
-> в декомпиляции официального клиента VK для Android можно найти референсы на "https://jira.mvk.com"
(и вся реклама этого клиента в ТГ ведет на трекинг-домен trk.mail.ru)
но кому не пофиг? вдруг ВК просто по приколу решили сделать форк ТГ, прикрывшись прокладкой из Татарстана?
а вот тут уже обнаруживается прикольная вещь: в клиенте есть "черный список" нежелательных ТГ-каналов, ботов и пользователей! при нажатии на которых выводится ТГ-шная "заглушка" с своим текстом:
<string name="ContentIsUnavailable">Материалы недоступны</string>
<string name="ContentUnavailableInfo">Этот %1$s недоступен в связи \n с нарушениями правил платформы</string>
какие правила платформы? Telegram? но таких строчек нет в официальном клиенте Telegram :)
и да - черный список включается по флагу из сервера, то есть они могут включить это в любой момент
///
а кроме этого, в клиенте есть замена иконок на ВКшные. все бы ничего, но весь код замены был взят из такого малоизвестного клиента как Catogram (https://github.com/Catogram/Catogram/blob/a34ddfb42f50b86eb7cd83fb68ea24fa041084a9/TMessagesProj/src/main/java/ua/itaysonlab/catogram/vkui/ReplaceKtx.kt)
BaseIconReplace -> ru.dahl.messenger.icons.BaseIconReplacement
No/VkIconReplace -> ru.dahl.messenger.icons.AltIconReplacement/IconReplacementNone
ReplaceKtx.newSparseInt -> ru.dahl.messenger.icons.BaseIconReplacementKt
причем взяли все подчистую - те же названия переменных, методов, параметров и даже код тот же (даже тот же sparseInt сделали root-level функцией Kotlin)
а забавный факт в том, что основной разработкой Catogram занимался... я
как-то так....
Please open Telegram to view this post
VIEW IN TELEGRAM
Немного на тему того что не попало в этот пост.
1. На пикриле видно, что прокси mvk.com работает и подключается, скриншот датирован вчерашним днём, а уже сегодня ночью dal.mvk.com выключили. А что случилось?
MadMaxDatamines
1. На пикриле видно, что прокси mvk.com работает и подключается, скриншот датирован вчерашним днём, а уже сегодня ночью dal.mvk.com выключили. А что случилось?
MadMaxDatamines
2. Совершенно случайно мы наткнулись на репозиторий за авторством разработчика работающего в ВК. Интересно, что реализация звонков в телеге через ВК была сделана ещё до блокировок, а может это совпадение, мы ничего не можем утверждать.
Backup
MadMaxDatamines
Backup
MadMaxDatamines
3. Оферта доступная по адресу http://vk.com/calls-sdk конечно есть, вот только публичных сервисов не связанных с ВК и работающих на ВК звонках нет(а я хорошо искал, уж поверьте )
MadMaxDatamines
MadMaxDatamines
Forwarded from Komet Client
РЕБЯТА наверное ПИЗДЕЦ
Не хотелось бы конечно разгонять панику на пустом месте, но небольшая проблемка...🤙
Тот пример данных который дал тип - валидный(сам проверял)
Тоесть шанс что бд макса реально сольют если ему не заплатят есть.
Пока-что новостей по этому поводу нету, остается только ждать😭
P.S - А нет, есть, бэкдор написал про это пост чуть чуть раньше нас.
#новости
Komet client. Подписаться
Не хотелось бы конечно разгонять панику на пустом месте, но небольшая проблемка...
Тот пример данных который дал тип - валидный(сам проверял)
Тоесть шанс что бд макса реально сольют если ему не заплатят есть.
Пока-что новостей по этому поводу нету, остается только ждать
P.S - А нет, есть, бэкдор написал про это пост чуть чуть раньше нас.
#новости
Komet client. Подписаться
Please open Telegram to view this post
VIEW IN TELEGRAM
КАК МЫ НАШЛИ УЯЗВИМОСТЬ В МАКСЕ!!!
или не совсем в Максе, ну да ладно. Что за уязвимость и что позволяет делать? Давайте разбираться.
Совсем недавно мы с @TeamKomet узнали о том, что в ТамТаме есть уязвимость на нахождение аккаунтов админов канала, которую активно используют обитающие там пользователи из Азии.
Пару дней было потрачено на поиск этой уязвимости и вот она была найдена. Суть такова: в ТамТаме есть метод на поиск участников канала, который вроде бы защищен, однако при передаче доп. параметров, сервер спокойно отдает все запрошенное. Самое интересное - фильтр на админов и владельцев. Собсна таким образом и находили владельцев каналов.
Однако если бы все было так гладко, то этот пост вы бы не читали, в Максе это все починили и мы расстроенные пошли отдыхать, такие дела.
MadMaxDatamines
или не совсем в Максе, ну да ладно. Что за уязвимость и что позволяет делать? Давайте разбираться.
Совсем недавно мы с @TeamKomet узнали о том, что в ТамТаме есть уязвимость на нахождение аккаунтов админов канала, которую активно используют обитающие там пользователи из Азии.
Пару дней было потрачено на поиск этой уязвимости и вот она была найдена. Суть такова: в ТамТаме есть метод на поиск участников канала, который вроде бы защищен, однако при передаче доп. параметров, сервер спокойно отдает все запрошенное. Самое интересное - фильтр на админов и владельцев. Собсна таким образом и находили владельцев каналов.
Однако если бы все было так гладко, то этот пост вы бы не читали, в Максе это все починили и мы расстроенные пошли отдыхать, такие дела.
MadMaxDatamines