👮 От анонимности к слежке: что скрывает Locate X?

404 Media, NOTUS и Haaretz раскрывают интересные подобности использования технологии слежки под названием ⬇️"Locate X", которую разработала компания Babel Street. Официально их шпионский продукт предназначен только для правительственных организаций, но по факту им могут пользоваться и частные компании за определенную плату.

Locate X представляет собой специальное ПО, где отображается 🗺карта и на ней клиент-пользователь следит за перемещениями всех своих жертв по разным штатам. Cофт использует исторические геоданные телефона для анализа.

❗️ Live-tracking не предусмотрен, но задержка минимальная — около 2 дней отставания от реального времени. Данные перемещений доступны, как минимум за 3 последние года.

Откуда у Babel Street данные? Компания покупает их у брокеров. Как известно, приложения собирают и отправляют различную дату 3-им лицам. Пользователи зачастую сами✒️дают согласие на сбор данных "в рекламных целях". Передача данных от брокера данных к Babel Street должна осуществляться в "анонимном виде", однако, как выяснилось, они с легкостью могут конвертироваться в читаемый формат, позволяя идентифицировать человека при определенных условиях. Пишут, что один важных идентификаторов для отслеживания телефона — MAID*.

📱Что знает Locate X об устройствах?
▪️ Данные о траектории движения устройства, включая посещенные места и время пребывания в них;
▪️"Точки отдыха устройства", то есть места, где телефон находится очень часто в неподвижном состоянии — дом или квартира проживания;
▪️"Поиск по сигналам вблизи" позволяет идентифицировать другие устройства, которые находятся рядом с объектом, указывая на возможные социальные связи;
▪️Возможность фильтрации по частоте посещений, чтобы выявить наиболее популярные места посещений или уникальные случаи посещения определенных мест.

Занимающаяся вопросами конфиденциальности компания Atlas Privacy продемонстрировала на практике, как с помощью Locate X возможно проследить маршрут конкретного устройства. Исследователям удалось увидеть весь путь телефона от одного адреса в Алабаме до клиники абортов во Флориде (около 350 км).

Примечательно то, что Babel Street предоставляет доступ к своему шпионскому софту без должной проверки клиентов (KYC). Например, 🤠частный детектив, сотрудничающий с Atlas Privacy, получил пробный доступ к Locate X, лишь упомянув о своих планах в перспективе стать правительственным подрядчиком. Babel не провела никаких проверок и проигнорировала верификацию.

🤔После опубликованных материалов в СМИ проходную лавочку c лайтовым KYC скорее всего прикроют.

Atlas Privacy утверждают, что с помощью Locate X можно отслеживать передвижения людей, которые посещали медицинские учреждения (абортарии); церкви; синагоги; суды и дома правоохранителей.

Брокеры данных скупают 🖥 дату у партнеров, мелких компаний и напрямую у приложений — например, данные GPS, Wi-Fi, а потом после агрегирования перепродают их за деньги таким компаниям, как Babel Street, чтобы те могли анализировать передвижения людей по временным меткам и координатам.

👆У брокеров данных покупают также и разведывательные агентства.

Ещё один интересный момент — 👮силовые ведомства и федеральные агентства в США пользуются подобными инструментами для получения геолокации подозреваемых. 🤔 Спрашивается зачем, если есть свой официальный софт?

Все просто. Если не получается легальным способом получить ордер у ⚖️судьи на слежку, то они идут к подобным частным компаниям и проводят расследование уже без ордера, чтобы сдвинуть дело с мёртвой точки, а потом повторно просят ордер, но уже с пониманием, того как правильно легализовать найденные доказательства, скрывая сам факт использования стороннего софта.

MAID (Mobile Advertising ID) — это уникальный идентификатор, присваиваемый каждому мобильному устройству для целей рекламного таргетинга.

✋ @Russian_OSINT

👆Кстати, вот интересный пример развития робототехники от польского стартапа Clone Robotics к посту выше — компания на прошлой неделе представила роботизированную систему 🏋️Torso с искусственными мышцами и сухожилиями, которые функционируют как настоящие.

Проект пока ещё находится на стадии экспериментов.

🤖Благодаря уникальной конструкции робот способен с высокой точностью имитировать движения человека.

✋ @Russian_OSINT

👩‍💻 Как заставить ChatGPT писать🕷эксплойты с помощью Hex Code?

💻Исследователь и по совместительству 🧊Mozilla GenAI Bug Bounty Programs Manager по имени Марко Фигероа в блоге 0Din описывает новую технику prompt-injection с использованием 🖥Hex Code, благодаря которой ему удалось обойти защитные механизмы ChatGPT-4o, открывая лазейку для генерации вредоносного кода.

Hex Code (Шестнадцатеричный код) — это система представления данных в формате, основанном на шестнадцатеричной системе счисления. Например, двоичный код 1111 1111 (8 бит) представлен в шестнадцатеричной форме как FF.

Марко скармливал постепенно шаг за шагом инструкции с помощью Hex Code, обфусцируя свои истинные намерения и вынудил модель предоставить ему 🦠вредоносный код — создание Python-эксплойта для определенной CVE, разработка вредоносного ПО и cкриптов.

Тактика jailbreak использует лингвистическую лазейку, заставляя LLM выполнить, казалось бы, безопасную задачу: преобразование шестнадцатеричных значений. Модель оптимизирована для выполнения инструкций на естественном языке, включая выполнение задач кодирования и декодирования, но она по своей природе не понимает, что преобразование шестнадцатеричных значений может привести к вредным результатам.

По сути, эта ❗️атака злоупотребляет возможностями модели по обработке естественного языка, используя последовательность закодированных задач, в которых вредоносные намерения маскируются до этапа декодирования.

— поясняет исследователь.

🛡 По его мнению, обход защиты ChatGPT-4o демонстрирует необходимость усиления мер безопасности в ИИ-моделях. Исследователь предложил:

1️⃣ Внедрить более надежные механизмы обнаружения закодированного содержимого с помощью HEX или base64, докодируя такие строки на самых ранних этапах.

2️⃣ ИИ-модели должны всегда анализировать широкий контекст пошаговых инструкций, а не оценивать каждый шаг в отдельности.

3️⃣ Необходимо интегрировать более совершенные модели обнаружения угроз, позволяющие выявлять закономерности в контексте создания эксплойтов или исследования уязвимостей, даже если эти закономерности изложены в закодированном или обфусцированном виде.

Подробный разбор в статье:

↘️ https://0din.ai/blog/chatgpt-4o-guardrail-jailbreak-hex-encoding-for-writing-cve-exploits

🛡@Russian_OSINT