Предлагаю просто к хуям массовые жалобы в саппорт AppStore и Google Play начать кидать на этот скаМ, прикладывая скриншотики с поста и пояснения. Зло нужно блокировать их же методами 😏
А вот подьехала и вторая часть с подтверждением исходной статьи.
С самого начала не было сомнений, что это будет анальный зонд и, вот оно, начало всплывать.
И этот заголовок - не кликбейт. Подвергнув реверс инжинирингу клиент российского мессенджера MAX удалось подтвердить самые худшие предположения.
В сети начали появляться сообщения о странных обращениях мессенджера MAX к Telegram и WhatsApp, из-за чего в сети начали выдвигаться предположения касательно природы и целей этих запросов. Но одно дело предполагать, другое дело знать. Мало ли это какая-то интеграция или случайный аналитический модуль. Поэтому чтобы понять самому и рассказать вам я решил посмотреть внутрь клиента и понять что и зачем он делает.
TL;DR - содержит шпионский модуль, который сделали разработчики MAX для слежки за теми кто использует VPN, они постарались сделать этот модуль не блокируемым и прикрутили удаленное управление.
UPD. В пресс-службе Max сообщили Хабру, что приложение мессенджера не отправляет запросы на серверы WhatsApp и Telegram.
Разработчики МАХ изучили публикации о запросах мессенджера. Предположения, сделанные в них, не соответствуют действительности. Вот детальные пояснения:
1. Информация об IP-адресах используется исключительно для обеспечения корректной работы звонков. Для установки P2P-соединения (звонков) технология WebRTC требует внешний IP, чтобы построить прямой маршрут «телефон-телефон». Это стандарт для всех сервисов, которые осуществляют звонки при помощи данной технологии;
2. Запросы на серверы, например Apple и Google, необходимы для проверки доставки push-уведомлений пользователям. В сложных сетевых условиях и ограничениях мобильной связи в отдельных регионах — это необходимая мера для корректной работы уведомлений;
3. МАХ не отправляет запросы на серверы WhatsApp и Telegram.
Используемые технические решения направлены на обеспечение высокого качества работы сервисов — в первую очередь звонков и уведомлений. К персональным данным или пользованию другими сервисами, включая VPN, они не имеют никакого отношения.
аха, т.е. когда я скинул скрин и написал коммент об этом пол года назад, меня задизлайкали, уроды двуличные)
Пользователи профильного NTC‑форума (открывается только через IPv6), посвященного исследованиям интернет‑цензуры и обхода блокировок, обнаружили необычное сетевое поведение российского мессенджера MAX. Речь про официальный APK с официального сайта.
Схема была довольно прямолинейной: в одном случае использовали PCAPdroid - приложение, которое на Android-устройстве имитирует VPN для перехвата сетевого трафика без необходимости получения root-прав, таким образом позволяя отслеживать, анализировать и блокировать сетевые соединения, осуществляемые приложениями на устройстве. В другом случае анализировался трафик из эмулятора, причем отдельно отмечено, что образ системы в эмуляторе был “чистый”, без установленных других мессенджеров и дополнительного софта.
По наблюдениям (дампы PCAPdroid выложены на форуме), мессенджер MAX регулярно дергает сразу несколько сервисов для определения внешнего IP-адреса, причём часть из них - зарубежные. Среди доменов, которые всплыли при проверке, кроме российских сервисов, видны также иностранные сервисы:
Само по себе обращение к сервисам определения IP не преступление - например, это может быть необходимо для корректной настройки P2P-звонков через WebRTC.
Но участников форума насторожили два момента.
Во-первых, слишком много проверок IP и слишком много разных источников. Если цель просто “узнать внешний IP”, обычно хватает одного сервиса. Когда их несколько, это уже похоже на попытку перепроверить результат и собрать «картину» с разных точек.
Во-вторых, в списке исходящих соединений также видны обращения клиента MAX к доменам, связанным с Telegram и WhatsApp:
И это уже выглядит как проверка проверка сетевой среды (например, доступ к каким доменам режется провайдером) и доступны/заблокированы ли конкуренты. Например, домен mmg.whatsapp.net используется WhatsApp для загрузки медиа по прямым ссылкам. В настоящий момент Роскомнадзор блокирует этот домен, и его можно удобно использовать для мониторинга, грузится ли контент по определенному URL с этого домена или нет - учитывая, что зачастую блокировка к “запрещенным” доменам у РКН срабатывает не сразу, а только после получения ~16кб данных с “запрещенного сервера”, либо вместо блокировки происходит “замедление”.
Сервис api.ipify.org находится в сети Cloudflare, а checkip.amazonaws.com - в облаке Amazon AWS. И Cloudflare, и Amazon также нередко попадают под “16кб” и “триггерные” блокировки Роскомнадзора (см. здесь и здесь), и это тоже может быть довольно характерной проверкой.
С учетом описанного выше, обращение к нескольких сервисам определения внешнего IP в разных локациях также может быть проверкой, выходит ли пользователь в интернет "напрямую" или через VPN/прокси (по расхождениям между IP‑проверками, по маршрутизации, по доступности отдельных ресурсов).
Например, если у пользователя в VPN/прокси-клиенте настроена раздельная маршрутизация, при которой трафик до иностранных ресурсов идет через прокси/VPN, а до российских адресов - напрямую, то подобные проверки при одновременном использовании российских и иностранных сервисов покажут разные IP-адреса в разных AS, что позволит достаточно достоверно детектировать факт наличия прокси/VPN и даже узнать выходной IP-адрес прокси/VPN-сервера (который при простой настройке почти всегда совпадает с входным) и впоследствии заблокировать доступ к нему.
Ну и не забываем, что с прошлого года статьей 13.52 КоАП РФ (нарушение порядка использования на территории РФ программно-аппаратных средств доступа к информационным ресурсам, информационно-телекоммуникационным сетям, доступ к которым ограничен) вводятся штрафы для владельцев VPN/прокси за несоблюдения запрета предоставлять доступ к информационным ресурсам, доступ к которым ограничен на территории РФ, а также за неисполнение установленного порядка взаимодействия с Роскомнадзором.
Меры предосторожности:
Не пользоваться MAX;
При необходимости пользоваться им, ставить его на отдельное “чистое” и изолированное устройство;
При использовании VPN/прокси, настраивать для split tunneling разделение маршрутов не по GeoIP, а по приложениям;
Использовать не один прокси-сервер, а цепочку из двух; альтернативно - использовать на прокси-сервере 2 IP-адреса (один для входящих, другой для исходящих подключений), либо, при наличии только 1 IP на сервере, заворачивать исходящий трафик с прокси на Cloudflare WARP.
