Обнаружил новый способ скама через Obsidian.
Пишет в телеге человек с недавно созданным (не подтвержденным) аккаунтом, заведенном на американский номер телефона и спрашивает продолжаю ли я заниматься QA. Я отвечаю - да, конечно.
Рассказывает, что ему нужно провести аудит по нескольким проектам им предлагает смешную ставку в 400 USDT. После некоторого обсуждения - предлагает уже более реальную ставку в 8к (4к сразу после получения доступа к документации, 4к после получения результатов аудита). Ну ок.
Спрашивает работал ли я с Obsidian - тк у него вся документация лежит там. Ну что ж, Обсидиан - это довольно удобно. LLM Wiki, все дела).
Отвечаю, что да.
Он скидывает данные своего аккаунта (логин - email и явно оноразовый, пароль к Обсидиан Cинк + пароль от хранилища).
Я на всякий случай перепроверил всю документацию по синхронизации, доступам к другим хранилищам и там все ок - синхронизируется только конкретное хранилище в то, что я укажу и куда я укажу.
Еще говорит о том, что нужно включить community plugins. И присылает видео инструкцию как это сделать.
Уже улыбаюсь про себя)
Разворачиваю песочницу - логинюсь, включаю плагины, но отключаю автоматическую установку - скачиваю список плагинов и ага, вот оно - Hider и ... барабанная дробь ... Shell commands.
Что именно может пойти не так:
- Кража данных. Плагин может прочитать ваш vault, заметки, токены, ключи, пароли и другие файлы, к которым у приложения есть доступ.
• Удаленное выполнение команд. Плагин Shell commands по своей природе умеет запускать системные команды, а его авторы отдельно предупреждают: использовать только доверенные команды, иначе можно потерять файлы или повредить систему.
• Атака через чужой аккаунт. Если аккаунт, из которого ставили плагины, не ваш, то риск выше: в него могли войти посторонние, подменить настройки, добавить вредный plugin/script или оставить скрытую автоматизацию.
• Авто-запуск без вашего участия. Для Shell Commands указана поддержка автоматического выполнения и запуска через URI-ссылки, то есть действие может сработать при открытии vault или по ссылке.
• Скрытие интерфейса. Плагин Hider сам по себе не “вирус”, но он может спрятать элементы интерфейса, из-за чего вредные действия или подозрительные настройки заметить сложнее.
Прикидываюсь бревном и пишу - подключил хранилище, но там нет документации.
Мне в ответ: а ты включил плагины? Пришли мне скриншот.
Интересный факт: в мобильной версии Обсидиана shell Commands нельзя включить)
Я спрашиваю: а зачем? они никак не влияют на файлы.
Уточняю: будет ли документация или это очередной способ скама?
В ответ получаю удаление истории чата)
ЧТД!
Ну да фиг с ним.
Включаю Restricted Mode. Меняю пароль в том аккаунте с подпиской (его на месяц всего оплатили, но нефиг использовать для скама других), делаю разлогин со всех девайсов и потом удаляю аккаунт скамера.
В общем, заход прикольный (раньше на фейк найме просили гит репу с пачкой всяких троянов себе клонировать). Но какой-то сложный. Рассчитанный на тех у кого совсем нет критического мышления и то не знает нюансы работы с Обсидиан. или на тех кто вайбкодит, но не разбирается во внутрянке.
Вывод простой:
На личный комп не надо ничего не ставить (даже из якобы проверенных источников - гит, комьюнити плагины обсидиана - ибо это просто дырки в безопасности) - разворачивайте песочницу, если хотите с этим как-то "поиграться".
#qa #pro_qa #obsidian #scam #security
Пишет в телеге человек с недавно созданным (не подтвержденным) аккаунтом, заведенном на американский номер телефона и спрашивает продолжаю ли я заниматься QA. Я отвечаю - да, конечно.
Рассказывает, что ему нужно провести аудит по нескольким проектам им предлагает смешную ставку в 400 USDT. После некоторого обсуждения - предлагает уже более реальную ставку в 8к (4к сразу после получения доступа к документации, 4к после получения результатов аудита). Ну ок.
Спрашивает работал ли я с Obsidian - тк у него вся документация лежит там. Ну что ж, Обсидиан - это довольно удобно. LLM Wiki, все дела).
Отвечаю, что да.
Он скидывает данные своего аккаунта (логин - email и явно оноразовый, пароль к Обсидиан Cинк + пароль от хранилища).
Я на всякий случай перепроверил всю документацию по синхронизации, доступам к другим хранилищам и там все ок - синхронизируется только конкретное хранилище в то, что я укажу и куда я укажу.
Еще говорит о том, что нужно включить community plugins. И присылает видео инструкцию как это сделать.
Уже улыбаюсь про себя)
Разворачиваю песочницу - логинюсь, включаю плагины, но отключаю автоматическую установку - скачиваю список плагинов и ага, вот оно - Hider и ... барабанная дробь ... Shell commands.
Что именно может пойти не так:
- Кража данных. Плагин может прочитать ваш vault, заметки, токены, ключи, пароли и другие файлы, к которым у приложения есть доступ.
• Удаленное выполнение команд. Плагин Shell commands по своей природе умеет запускать системные команды, а его авторы отдельно предупреждают: использовать только доверенные команды, иначе можно потерять файлы или повредить систему.
• Атака через чужой аккаунт. Если аккаунт, из которого ставили плагины, не ваш, то риск выше: в него могли войти посторонние, подменить настройки, добавить вредный plugin/script или оставить скрытую автоматизацию.
• Авто-запуск без вашего участия. Для Shell Commands указана поддержка автоматического выполнения и запуска через URI-ссылки, то есть действие может сработать при открытии vault или по ссылке.
• Скрытие интерфейса. Плагин Hider сам по себе не “вирус”, но он может спрятать элементы интерфейса, из-за чего вредные действия или подозрительные настройки заметить сложнее.
Прикидываюсь бревном и пишу - подключил хранилище, но там нет документации.
Мне в ответ: а ты включил плагины? Пришли мне скриншот.
Интересный факт: в мобильной версии Обсидиана shell Commands нельзя включить)
Я спрашиваю: а зачем? они никак не влияют на файлы.
Уточняю: будет ли документация или это очередной способ скама?
В ответ получаю удаление истории чата)
ЧТД!
Ну да фиг с ним.
Включаю Restricted Mode. Меняю пароль в том аккаунте с подпиской (его на месяц всего оплатили, но нефиг использовать для скама других), делаю разлогин со всех девайсов и потом удаляю аккаунт скамера.
В общем, заход прикольный (раньше на фейк найме просили гит репу с пачкой всяких троянов себе клонировать). Но какой-то сложный. Рассчитанный на тех у кого совсем нет критического мышления и то не знает нюансы работы с Обсидиан. или на тех кто вайбкодит, но не разбирается во внутрянке.
Вывод простой:
На личный комп не надо ничего не ставить (даже из якобы проверенных источников - гит, комьюнити плагины обсидиана - ибо это просто дырки в безопасности) - разворачивайте песочницу, если хотите с этим как-то "поиграться".
#qa #pro_qa #obsidian #scam #security
👀6❤5🤯5👍2🔥2