👁 Не нажимаете на подозрительные ссылки — их нажмут за вас, для этого даже не нужно разблокировать экран

Месяц назад на ежегодной конференции USENIX WOOT исследователи представили отчёт о, наверное, самой интересной и наиболее старой дисциплине хакинга — атаках на телефонную инфраструктуру. Конечно, со времён примитивных коммутаторов и телефонных будок многое поменялось, но тем интереснее стал ландшафт угроз.

Ни для кого не секрет, что оператор связи владеет большим объёмом информации об абоненте безо всякого хакинга: к какой соте подключён абонент, куда он двигается, какое устройство использует, кому звонит, какие SMS получает и многое другое. Даже купив совершенно новую сим-карту и вставив её в чужой телефон, будьте уверены: вас всё равно найдут, просто по голосу.

Новое исследование показывает вещи под совершенно другим углом: оказывается, SIM-карта может читать произвольные файлы, переводить модем в менее защищённый режим 2G или полностью отключать устройства и промышленные модемы. В отдельном исследовании была обнаружена CVE-2025-48618, которая на устройствах с Android 13–16 позволяла открывать произвольный адрес в браузере даже при заблокированном экране. eSIM, кстати, проблему не решает.

Конечно, доступ к файлам и прочие чудеса случаются не на всех устройствах. Специалисты воспроизвели разные уязвимости на устройствах OPPO, Google Pixel 6 и 8, IoT-модемах. На зарядной станции AUTEL Maxi US AC W12-L-4G удалось добиться выполнения произвольного кода, а на модеме Quectel EG25-G чтения и эксфильтрации произвольных файлов устройства.

Обнаружение и эксплуатация уязвимостей подобного рода сильно ограничиваются наличием оборудования, технической информации, необходимых криптографических ключей и контроля над SIM-картами жертв. С этой точки зрения в наилучшей позиции находятся сами операторы связи и государственные группы. В виртуальной же машине весь стек мобильной связи удаётся воспроизвести лишь частично и в лучшем случае для Android, а для исследования современных iPhone безальтернативны физические устройства с jailbreak.

Однако ж корпорация добра признала очень широко доступную возможность запуска браузера и в декабре прошлого года выпустила патч, так что снова самостоятельно решать, открывать ли подозрительные ссылки, обладатели Android-устройств могут только если их девайс на него обновился 😏

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🔥 День рождения канала! Да, три года назад, 11 сентября, был запущен этот проект. Спасибо, друзья, что читаете, подписываетесь, рассказываете друзьям — без вас бы ничего этого не было 🔥

Давайте по традиции вспомним, что хорошего было сделано за последнее время:
▪️ Запустили каталог сервисов аренды
▪️ Делали Playable Ads на коленке
▪️ Смотрели алгоритм рекомендательной ленты X (Twitter)
▪️ Изучали, кто чем пользуется для пушей
▪️ Размещали статику на npm

Уже три года каждую пятницу выходит постоянная рубрика с обзорами трендов за неделю, и я не вижу ни единой причины пропускать её сегодня. Вот, держите:

⚡ Обзор трендов за неделю

👆 Apple хочет увеличить выручку от App Store. В магазине приложений назревают изменения хотя бы потому, что прежний руководитель Фил Шиллер, курировавший App Store около 11 лет, передаёт его под руководство Эдди Кью. Новое начальство склонно агрессивнее монетизировать платформу, чему прежде противостоял Шиллер.
Бывший глава App Review Филлип Шумейкер характеризует подход Шиллера к разработчикам как модель "заявитель — принимающий решение": разработчики были "просителями", которым Apple устанавливала жёсткие правила, часто непрозрачные. В качестве примеров приводятся запреты на приложения, связанные с каннабисом (даже в штатах, где он легален), и споры о том, являются ли насекомые животными для применения правил о жестоком обращении.
Ожидается, что новая стратегия будет нацелена на "выжимание дополнительной регулярной выручки" из платформы. Что именно скрывается за этой формулировкой — пока не очень понятно, кроме стремления сделать правила прозрачными, автоматизировать ручные проверки приложений и улучшить процесс апелляций.
В моей голове рост выручки вполне соотносится со свободой для гемблинга, брендов и прочих асошников — такой, какую нам в той или иной мере дал Google. Хочется верить, что это всё хорошая новость.

👆 Google выпустила заплатки сразу для 8 критических уязвимостей типа RCE (удалённое выполнение кода) в системных компонентах Android 14-17. Для их эксплуатации не требуются ни привилегии в системе, ни взаимодействие пользователя. Что из этого выходит, можно почитать в предыдущем посте о выполнении произвольного кода через SIM-карту.
Вообще, такое число обнаруженных проблем не означает, что Android насквозь дыряв. Просто с появлением AI-инструментов стало больше возможностей для обнаружения уязвимостей, что видно как по Android, так и по Chrome.

👆 В сообществе MIII выпустили статью "Как Google оценивает качество приложения" — сжатый пересказ App Quality Framework, который влияет на ранжирование приложений в поисковой выдаче и их шансы на фичеринг и, возможно, играет роль при модерации вообще. Не менее полезным оказался тред комментариев под этим постом в чате: похоже, что подписчики уже давно в курсе внутренней кухни модерации Google Play, так что даже немного завидно 😏

А ещё на канале у Кости Lukos'а вышла практическая публикация о том, как можно под видом защиты авторских прав попытаться снести чужое приложение. Кстати, примерно то же самое делают и с Instagram-аккаунтами.

И ещё одна новость: появилась брошюра по интеграции Google Ads Web и AppsFlyer. Google сделала из этого процесса настоящее минное поле, так что объяснения лишними точно не будут.

✈ Топ приложений на радарах

🍩 OK BluePlayer ~ 5 200 установок/д., 15 д. онлайн.
🍩 QroVical ~ 3 200 установок/д., 56 д. онлайн. Стиль: #bison #light
🍩 OrieXntal ~ 5 800 установок/д., 37 д. онлайн. Стиль: #bison #light
🍩 SacRxred ~ 3 500 установок/д., 37 д. онлайн. Стиль: #bison #light
🍩 Joker Jewel ~ 2 800 установок/д., 51 д. онлайн. Стиль: #joker
🍩 Cost Stack Town ~ 1 200 установок/д., 81 д. онлайн. Стиль: #egypt #wheel


🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Chicken Nova Road #chicken
🦆 Jesteri Kesstr #joker #wheel
🔥 The Fruits Boom #fruits #wheel #sevens
🔫 T0wer Rush Стиль: #towerrush
🦆 Rush of Chicks #chicken
🔥 Mega Win : Rush of Tower #towerrush

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

💲 Оплата доменов, хостингов и прочего добра криптой — везде

Иногда мне в личку стучатся рекламодатели с разной степени спамности предложениями — я думаю, благодаря новым технологиям от Евгения Юрьевича, уже все успели ощутить нечто подобное на себе. Я к этому отношусь спокойно и, если сообщение прислал не совсем бот, то отвечаю обычно что-то в духе "предложите моим подписчикам что-то реально полезное — и я расскажу о вас хоть бесплатно". Сегодня такой случай: ко мне постучались ребята из Multicards и предложили протестить их решение в реальном, волнующем трудящихся кейсе — в оплате разных сервисов с сохранением анонимности.

Обычно карты выпускают под трафик, из-за чего в такого рода бизнесе всё строится вокруг больших спендов, высоких минимальных пополнений и комиссий. Однако в действительности карточки могут пригождаться не только для залива:
▪️ Доменные регистраторы всё чаще закручивают гайки, чем заставляют разносить домены по аккаунтам
▪️ Настоящий bulletproof-хостинг, особенно стабильный, стоит хороших денег, а стандартный VPS отлетает, даже если хостер на вашей стороне — опять же, разносим по аккаунтам
▪️ Имеющиеся карты по какой-то причине не принимает Stripe (ну и заодно все остальные), или же вы пытаетесь оптимизировать стоимость подписки (региональные цены, слышали?)
▪️ Вы банально фармите аккаунты Google Play или App Store и вам нужно с одной карты платить только раз

Словом, вопросы о платёжных инструментах в ежедневной работе вполне логичны и актуальны. У имеющихся на рынке решений есть два недостатка: во-первых, "грязные" BINы, которые приличные процессинги видеть не хотят; во-вторых, комиссии и условия пополнения.

🍩 Для проверки первого вопроса ребята из Multicards выпустили мне европейскую Визу с поддержкой 3DS, в моих реальных тестах оплаты не возникло никаких проблем с:
▪️ Spaceship
▪️ Google Play Developer Console
▪️ DigitalOcean
▪️ Hostinger
Apple, к сожалению, протестировать было негде. Тестить остальное в целом нет смысла, потому что в списке все, кроме Google Play, используют Stripe; его же используют и многие другие сервисы, например ChatGPT.

🍩 Пополнение, кстати, было моими деньгами. Виктор с канала Цифрові Тіні - Farm & Mobile, который в какой-то момент помогал мне с тестами, целый час сомневался, но всё прошло гладко 😅
Комиссии получились такие:
▪️ 200 USDT минимального пополнения превратились в 198 USD (комиссия первого пополнения 2 USDT, последующие — только 3%),
▪️ Первые 5 карт выпускают бесплатно, далее — 2 USD/шт
▪️ Комиссия 2% взимается за каждый платёж — при оплате Play Console это 0.5 USD. DO выполнил транзакцию для авторизации и затем возврат, но комиссия в таких случаях не возвращается. При оплате картой в другой стране комиссия возрастает до 5%, но все мои покупки прошли без неё — возможно, Stripe подстроился под карту сам.
Все мои покупочки составили 35.13 USD, а фактические комиссии — 2 USD за пополнение и ещё 1.26 USD за платежи и авторизации, итого 9.28%. Остаток, кстати, вернули без проблем.

✅ Важное отличие от обычной карты: здесь нельзя марать BIN. Чарджбеки, неуспешные платежи — всё это негативно сказывается на репутации, за которой сервис следит автоматически и применяет санкции.

🍩 Можно ли пользоваться для мелких трат, например закинуть минимальные 200 USDT и тратить их пару месяцев? Понятно, что толку для оператора в этом немного, поэтому будут ли в Multicards рады таким клиентам — хороший вопрос, и он прозвучал несколько раз. В конце концов мы договорились о том, что, регистрируясь по моей ссылке, вы сможете обойти этот момент.

Хоть я и не занимаюсь платёжками и не пользуюсь ими ежедневно, Multicards в данном случае — компания с адекватными менеджерами, которые вникли в нашу проблему и предложили решение. Если вы хотите сравнить их с остальными, здесь и здесь есть разбор множества сервисов, а чтобы зарегистрироваться в Multicards, используйте мою ссылку, и менеджер будет сразу в курсе, какие карты и для чего вам нужны.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Разработчики жалуются на увеличение сроков ревью в Google Play. Это может показаться обычным нытьём, если бы не внезапно набравшая популярность ветка комментариев: разработчик Signal для Android ответил, что по его наблюдениям существует две очереди — быстрая автоматическая (4 часа) и длинная ручная (5 дней). Разработчик AnkiDroid, существующего в GP около 17 лет, говорит, что даже их приложение попадает в длинные очереди, а другой комментатор рассказывает о своём 16-летнем приложении — оно проходит модерацию за 30-60 минут. Ещё один пользователь считает, что существует не два, а целых три типа модерации: автоматическая, ручная поверхностная и ручная усиленная. Многие сходятся в одном: ИИ-бум заметно увеличил нагрузку на команды магазинов приложений Apple и Google.
Существование полностью автоматической проверки, я думаю, для моих подписчиков не станет новостью, в конце концов большинство на неё и уповают 😅

Другое обновление от Google коснулось поиска: из выдачи пропадают прямые ссылки, вместо них теперь используется прокладка вида google.com/goto?url=.... В принципе, Google уже многие годы пытается прикрыть прямые URL, но данное обновление удаляет их совсем. URL всё ещё присутствуют в коде страницы для некоторых типов поисковых результатов, но расшифровать их из токена возможным уже не представляется. Смысл новшества, по словам Google, в том, чтобы защитить поисковую выдачу от автоматической обработки — и действительно, фаундер легитимного SEO-тула Nozzle уже сообщил, что им приходится бороться с этим явлением.
Иронично, что компания, сколотившая состояние на индексации чужих веб-сайтов, пытается всеми силами воспрепятствовать индексации собственного.

Ещё пара подарков от корпорации добра разработчикам Android: во-первых, компания обновила методологию оценки ИИ-моделей для Android-разработки, сделав фокус на "масштабных и сложных задачах" — Gemini как обычно тянется где-то позади, а победителем назвали GPT-6 Astra, с небольшим отрывом от Fable 5.1. Во-вторых, выпустила библиотеки AndroidX Security State, которые я в двух словах могу охарактеризовать так: много новых сигналов для фингерпринтинга и клоакинга 😊 Тут вам и подробности о наборе патчей Android, и информация о ядре, и даже аудит на уровне конкретных CVE. Я действительно вижу в этом очень перспективное направление для нашей работы и не представляю, как они сами собираются защищаться.

Наконец, ещё немного о подарках: Google заключила мировое соглашение с группой британских Android-разработчиков. Последние утверждали, что компания мешает распространению приложений вне Google Play, чтобы затем облагать покупки несправедливой комиссией. Не дожидаясь рассмотрения иска по существу, корпорация согласилась выплатить £260 млн. В результате, компания так и не признала вину и избежала важного правового прецедента. Нужно добавить, что в Британии идёт разбирательство по аналогичному иску, но если среди разработчиков было 2200 людей и компаний, то в продолжающемся деле заявлено примерно 19.5 млн британских пользователей Android.

✏️ Интересное чтение на выходные: хакеры стащили знаменитую американскую дорожную камеру Flock и выпотрошили её, та самая палка в фундаменте интернета (и при чём тут PHP), Astra делает реверс реплеев Halo


✈ Топ приложений на радарах

🍩 1xbet ~ 4 000 установок/д., 44 д. онлайн.
🍩 SacRxred ~ 3 800 установок/д., 44 д. онлайн. Стиль: #bison #light
🍩 OrieXntal ~ 5 600 установок/д., 44 д. онлайн. Стиль: #bison #light
🍩 Joker Jewel ~ 3 000 установок/д., 58 д. онлайн. Стиль: #joker
🍩 Fortune's Jungle Match Gems ~ 1 500 установок/д., 49 д. онлайн. Стиль: #aztec #light
🍩 Golden 777 Trophy ~ 2 000 установок/д., 50 д. онлайн. Стиль: #sevens #light

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Chicken Nova Road Стиль: #chicken
🦆 Jesteri Kesstr Стиль: #joker #wheel
👨‍💻 Tower Rush Стиль: #towerrush
🦆 Rush of Chicks Стиль: #chicken
👨‍💻 Chicken Road 2 Стиль: #chicken
🔥 Fruit Fortune Стиль: #sevens #fruits

🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 Интересную технику обхода модерации обнаружили специалисты Socket: на проверку отправлялся только "скелет" вредоносного расширения для Firefox — фактически универсальный интерпретатор. После установки плагин самостоятельно открывал страницу, доставлявшую боевую нагрузку в хранилище расширения. Скрипт инжектился в страницы Google-аккаунтов и крал токены OAuth из cookies.
Кажется, злоумышленники эксплуатируют вероятное отсутствие динамического анализа у магазина расширений Mozilla. Нечто подобное вполне можно провернуть и на наших родных платформах, но Google и Apple давно применяют DAST для проверки приложений.

Впрочем, динамический анализ не помог Google в борьбе с malware. Модерация упустила схему, в точности повторяющую конструкцию выше — об этом в подробнейшем отчёте рассказали в CERT Polska. Специалисты обнаружили сеть из 17 приложений и 852 реклам на платформе Meta, сообщающих о необходимости обновить приложение для чтения PDF. Сами приложения маскировались под мессенджеры и утилиты, так что часть из них вполне законно получала разрешение на доступ к SMS-функциям. Закрепившись в системе, приложения при помощи сложной четырёхступенчатой цепочки запускали загруженный извне вредоносный код. В зависимости от страны пользователя и доступа к функциям SMS вредонос мог отправлять платные сообщения или подписывать пользователя на сервисы через скрытое WebView. Всего под подозрение попало 29 пакетов, и кстати, использовался AppsFlyer 😅 Мне удалось получить пару связанных с кампанией образцов, архив будет в комментариях.

Зато корпорация добра снова вставляет палки в колёса исследователям. Компания вносит изменение в архитектуру сетевой безопасности Android 17: теперь ОС будет проводить проверку Certificate Transparency для всех системных доверенных сертификатов — привычные методы перехвата трафика становятся неработоспособными, если приложение таргетит API 37.
Также в Android 17 внедрена поддержка Encrypted Client Hello (ECH) — той технологии, с которой начались блокировки Cloudflare в РФ. ECH шифрует поле SNI (Server Name Indication) в начале TLS-рукопожатия, что ограничивает возможности провайдера в "подглядывании" за пользователями. К августу 2027 года выбор API 37 станет обязательным для публикации в Google Play.

👆 Cloudflare включила Python в стек технологий, поддерживаемых Workers. Два года тестирования понадобилось, чтобы обеспечить работу родных Python-фреймворков вроде FastAPI и совместимость с R2/D1/Hyperdrive/Durable Objects и другими сервисами платформы; поддерживаются даже многие нативные библиотеки. Это отличная новость для всех, кто не любит Node (я)!

✏️ Интересное чтение на выходные: "жёлтые точки" теперь проставляют нейросети, маленькие хитрости, Visual FoxPro переписали с нуля


✈ Топ приложений на радарах

🍩 1xbet ~ 5 300 установок/д., 51 д. онлайн.
🍩 Masquerade Jester ~ 2 600 установок/д., 23 д. онлайн.
🍩 Jungle Wheel ~ 2 600 установок/д., 23 д. онлайн. Стиль: #wheel #aztec
🍩 Joker Jewel ~ 3 100 установок/д., 65 д. онлайн. Стиль: #joker
🍩 Joker Jewels VIP ~ 2 500 установок/д., 18 д. онлайн. Стиль: #joker
🍩 SacRxred ~ 3 750 установок/д., 51 д. онлайн. Стиль: #bison #light

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Tower Dash Стиль: #towerrush
🔫 T0wer Rush Стиль: #towerrush
🔫 Jоkеr’s Jеwеls Стиль: #joker
👨‍💻 Jоkеr's Jеwеls Стиль: #joker
🔥 Juicy Jackpot Стиль: #sevens #fruits
🔱 Fruitz Drop Rush Стиль: #fruits

🟡 Объём блокировок — Выше среднего.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

📱 Уже получили такой отчёт от Google?

В связи с требованиями британского регулятора Google добровольно-принудительно решила повысить прозрачность процессов. Начиная с 30 сентября компания дважды в год публикует агрегированную статистику по модерации и enforcement, чтобы разработчики в Великобритании и третьи стороны лучше понимали, как работает Google Play. Первый отчёт покрывает всего три месяца и несмотря на своё название, похоже, раскрывает общие цифры, а не только британские. В будущем корпорация обещает публиковать длительность модерации.

Семь миллионов модераций за три месяца.

👆 UK апрель-июнь 2026
👆 Общий отчёт за 2025 год

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю

👆 В Google Play появятся новые типы подписок: оплата по мере использования (без фиксированной цены), групповые подписки, смешанные корзины и бандлы подписок в разных приложениях. Целый раздел посвятили некоему "revenue shield" — набору технологий непрерывной оптимизации пользовательской базы, защиты от фрода, эффективных списаний. Окак.

Разработчик получил чужие нюдсы от модератора Google Play, когда пытался опубликовать в магазине легковесный текстовый редактор. Модератор прислал NSFW-снимки экрана стороннего приложения, апелляция не помогла.

"Fuck Android Developer Verification Program" — такова реакция пользователя Твиттера на запущенную 30 сентября для некоторых стран программу верификации разработчиков. Он рассказывает, что Google закрыла его оплаченный аккаунт за неактивность и не даёт создать новый. При этом распространять приложения просто так без идентификации и оплаты сбора нельзя — хобби-разработчики ограничены сложной процедурой допуска пользователей к своим APK и аудиторией в 20 устройств.

В магазине расширений Chrome опять нашли вредоносное расширение с аудиторией около 2 млн пользователей, опять "рекомендованное Google", опять кража данных из браузера. Забавно, что проблему обнаружили и зарепортили ещё в мае, и, конечно, Google не удалила его до сих пор.

И тут же специалисты LayerX Research описали сетку из 32 расширений для Chrome и Edge с аудиторией не менее чем 6 150 пользователей, которая также была нацелена на слив пользовательских данных. Кстати, боевую конфигурацию подтягивали с jsDelivr — у меня есть пост о том, как это делается.

👆 AppLovin подала в суд на Unity. Дело в том, что Unity предлагает разработчикам Ad Quality SDK — инструмент мониторинга рекламы, показывающейся в приложении. С его помощью разработчики (и Unity) могут видеть рекламные креативы, данные о пользователях и устройствах и многое другое, даже если реклама показывалась через AdMob или AppLovin MAX. Истец утверждает, "вклиниваться" в рекламу прямо внутри приложения незаконно, даже если разработчик приложения не против.
При этом Unity назвала свои финансовые результаты за второй квартал 2026 года рекордными, достигнув наивысших показателей с момента выхода на биржу в 2020 году — как утверждается, за счёт роста рекламного сегмента на базе ИИ. Или за счёт смерти Moloco 😏

👆 Cloudflare выпустила свою Jev-подобную модель. Если вы ещё не слышали о Jev, то это модель, которая, вместо того чтобы давать пространные ответы, способна "сказать и не рассуждать" — всегда возвращать валидный JSON по делу. Модели этого типа эффективно ранжируют, классифицируют материалы и принимают решения (к примеру, в играх).

Также компания представила бету K2 — Apache Kafka-подобное решение на edge. Для инфраструктуры это очень сильное решение, можно, например, запустить туда постбеки.

👆 Внезапно .si домены стали в цене — после убедительного предложения Трампа называть ИИ суперинтеллектом (SI), бизнесмены всех мастей кинулись скупать словенские домены. За сентябрь рост составил 2 199%, и говорят, что скупать начали ещё до публикации документа. Всё в лучших традициях нынешней администрации.

✏️ Интересное чтение на выходные: ты можешь как все эти индусы из LinkedIn, почта невероятно сложна но работает, назад в 56K


✈ Топ приложений на радарах

🍩 Masquerade Jester ~ 4 000 установок/д., 30 д. онлайн.
🍩 Jungle Wheel ~ 3 400 установок/д., 30 д. онлайн. Стиль: #wheel #aztec
🍩 Joker Jewel ~ 3 200 установок/д., 72 д. онлайн. Стиль: #joker
🍩 Jоkеr Jеwеls ~ 2 200 установок/д., 23 д. онлайн. Стиль: #joker
🍩 Jolly Jewels ~ 1 400 установок/д., 75 д. онлайн. Стиль: #joker
🍩 Medusa's Gold: Hidden Riches ~ 1 500 установок/д., 35 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

🔫 T0wer Rush Стиль: #towerrush
🔥 The Fruits Boom Стиль: #sevens #fruits #wheel
👨‍💻 Joker Gem Rush Стиль: #joker
❄️ Royal Joker Стиль: #joker #sevens #fruits
🔫 Jоkеr’s Jеwеls Стиль: #joker
🔥 Juicy Jackpot Стиль: #sevens #fruits

🔴 Объём блокировок — Высокий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🔵 По-настоящему серьёзная уязвимость в Telegram

В Telegram Desktop до версии 7.2.9 обнаружена уязвимость (CVE-2026-107181), которая связана с внутренними инструментами разработчиков мессенджера. Из-за отсутствия экранирования разделителя ; в ссылках tg:// параметры могли быть распознаны как специальная команда OPEN, способная запустить другую команду — interpret. Изначально последняя использовалась для публикации релизов самого Telegram: разработчики запускали клиент с аргументом командной строки, который обрабатывал что-то вроде interpret://command.txt и извлекал из него changelog, а также само обновление клиента. После чего клиент формировал и отправлял пост в заданный канал.

В версиях до 7.2.9 этот механизм доступен для всех не только через командную строку, но и через ссылки tg://. Злоумышленник может подготовить файл с командами, который после автоматической загрузки клиентом будет интерпретирован при нажатии на ссылку.

👆 Эксплуатация позволяет выгрузить любой файл, если доступ к нему есть у самого Telegram. Реальную цепочку разбирают зарепортившие данную проблему специалисты Beaksec в подробнейшем райтапе: от добавления в группу и до слива данных. Рекомендуется обновить ваши клиенты, установить код-пароль на вход в Telegram и отключить автозагрузку файлов.

А здесь можно найти коммит, полностью удаляющий interpret в новых версиях.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

МОНИТОРИНГ ПОТЕРЬ ⚠️

Ребят, последние месяцы мы работали над одной из самых сложных и важных технических задач — уменьшением потерь трафика и прозрачностью передачи данных (то о чем разработки в большинстве своем не любят говорить).

Мы провели полный end-to-end аудит всей цепочки: от момента фиксации события до его передачи в MMP и отображения в статистике партнёра. Отдельно разобрали каждую точку, на которой могли возникать задержки, расхождения или потеря данных.

Мы построили систему, которая:

— сводит технические потери трафика к минимуму;
— показывает реальные цифры без ручных сверок на каждом этапе;
— автоматически фиксирует отклонения;
— позволяет партнёрам самостоятельно контролировать показатель в real time.


Что поменялось:

🟠 ПОТЕРИ СНИЖЕНЫ — ДО 1%

После длительной технической работы и оптимизации цепочки передачи данных мы удерживаем показатель потерь на уровне до 1%.

это не разовая корректировка, а результат системной переработки и постоянного контроля инфраструктуры

🟠 REAL-TIME МОНИТОРИНГ В CRM

По Android-приложениям показатель потерь теперь отображается непосредственно в CRM.

Больше не нужно ориентироваться только на предоставленные нами цифры или ждать отдельной ручной сверки. Все наши цифры по вашему неймингу вы сможете видеть в CRM.

Также над каждым приложением появится плашка, которая показывает общий процент потерь по ней.

🟠 АВТОМАТИЧЕСКИЙ КОНТРОЛЬ ЧЕРЕЗ PUSH-БОТА

Дополнительно мы внедрили отдельный автоматический слой мониторинга.

Push-бот непрерывно отслеживает показатели по Android-приложениям. Если система фиксирует отклонение от установленного уровня, команда моментально получает уведомление и может оперативно отреагировать.

Меньше слепых зон. Больше данных, прозрачности и контроля.

👆 Дуров завёз стену serverless-ботов, на них кроме серверных функций можно бесплатно размещать статику. Похоже, что старый, но всё ещё актуальный пост "Где захостить политику конфиденциальности для приложения" пора обновлять — в открытом тестировании находятся интересные функции для ботов. Мою заявку на доступ одобрили, и я имею сказать следующее: аккаунт с премиумом может создать до 40 ботов, каждый бот получает уникальный адрес вида app<цифры>.tgcloud.ai, сайты между собой внешний наблюдатель связать не может, есть CLI для автоматизации деплоя, ну а сколько стоит пачка аккаунтов, вы и без меня знаете. Вероятно, если Telegram одобрят заявку на собственный TLD, боты смогут получить домены в этих зонах.
Кстати, заявку на фирменный TLD подал и украинский Monobank — .mono

👆 Зачем продвигать приложения при помощи рекламы, если их можно просто предустановить прямо на заводе? Наверное, так думали создатели кампании Midnight Mimosa — вредоносных приложений, которые устанавливаются на недорогие Android-смартфоны вроде Doogee S200 X и на поддельные Samsung. Будучи системными неудаляемыми пакетами, вредоносы могли выступать в качестве нод резидентных прокси, имитировать взаимодействие с рекламой для скликивания, загружать и устанавливать произвольные пакеты, отключать Play Защиту. Специалисты Bitdefender нашли ещё и 13 связанных с кампанией пакетов в Play Store, реализующих некоторые из функций своих старших братьев.

👆 В App Store появились новые креативы: картинка или видео в верхней части страницы приложения (header), отдельный креатив для результатов поиска (search results) и общая библиотека креативов (asset library). Новые креативы можно заранее отправить на ревью, а после одобрения использовать для опубликованной версии без новой сборки. Новые креативы необязательны, дополняют существующие скриншоты и показываются только на iOS и iPadOS 27+. Также открыли загрузку скриншотов для iPhone Duo.

👆 OpenAI для соответствия нормам ЕС начинает маркировать тексты, в том числе код. ИИ будет намеренно выбирать определённые синонимы, чтобы "зашить" невидимый водяной знак, который затем может быть оттуда извлечён при помощи специального детектора — это часто называют "шпионскими отметками" из-за того, что водяной знак может нести в себе не только данные о своём происхождении, но и довольно большой объём произвольных данных. Ну, например, ID аккаунта, который текст сгенерировал.
Инструмент обнаружения для медиафайлов у OpenAI доступен давно, а на доступ к текстовому детектору пока только принимают заявки. Google, кстати, на этой неделе запустила свой инструмент для обнаружения SynthID, причём не только в своих генерациях, но и в генерациях партнёров: OpenAI, Nvidia, Kakao и вскоре Apple. Работу с текстом эта утилита тоже не поддерживает.
По заявлению самой OpenAI, замена 10% слов на синонимы снижает шанс обнаружения водяного знака с 92% до 66%.

👆 Сразу два гиганта запускают свои генераторы приложений "одним промптом": Google Playground и Unity Spark. Пока второй только собирает заявки на ранний доступ, первый уже доступен в США. Проект позволяет сгенерировать игру на основе HTML5, при этом ИИ сам пишет дизайн-документ, сам генерирует музыку, звуки, спрайтшиты и отдельные спрайты. Нужно ли мне рассказывать вам о важности быстрой генерации ИИ-слопа мелких прототипов в нашем деле?

✏️ Интересное чтение на выходные: Siri хакнули чтобы добавить в Minecraft, странные звуки AirPods, кофемашина отправила 1ТБ данных за 10 дней


✈ Топ приложений на радарах

🍩 Jungle Wheel ~ 6 400 уст./д., 37 д. онлайн.
🍩 Crystal Beam Wheel ~ 3 400 уст./д., 30 д. онлайн.
🍩 Sugar Sweep Home Chores ~ 3 400 уст./д., 30 д. онлайн.
🍩 Joker Jewel ~ 3 800 уст./д., 79 д. онлайн.
🍩 Masquerade Jester ~ 5 400 уст./д., 37 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

👨‍💻 Joker Gem Rush Стиль: #joker
🔫 Jоkеr’s Jеwеls Стиль: #joker
🔥 Tower Dash Стиль: #towerrush
🔥 The Fruits Boom Стиль: #sevens #fruits #wheel
😈 Vulcan Стиль: #volcano


🔴 Объём блокировок — Высокий.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

🔥 Сервис аренды выходит в Open Source

Ну что, реальный инцидент ИБ прямо на кончиках ваших пальцев. Для кого-то из подписчиков "ваших" — буквально.

Со мной связался подписчик, пожелавший остаться инкогнито, и сообщил об удивительном явлении: один из сервисов аренды открыто публикует код своих Android и iOS приложений на GitHub. Думаю, лавочка быстро закроется, поэтому давайте посмотрим, что интересного нам там приготовили. И посмотреть есть на что.

🍩 Общая схема функционирования всех приложений из утечки плюс-минус такова:
▪️ Все чувствительные строки закодированы при помощи XOR. Ключ лежит рядом, эти строки используются для формирования запроса на сервер
▪️ Сервер отвечает JSON-структурой, которая содержит ссылку для загрузки в WebView
▪️ Приложение делает запрос на api.ipify.org, чтобы получить IP-адрес пользователя
▪️ Скрытый WKWebView загружает полученный ранее URL. При помощи инъекции JS приложение извлекает User-Agent, cloack_url, atr_service
▪️ Далее приложение при помощи URLSession делает два запроса: на cloack_url и на atr_service, передавая туда различную собранную информацию и получая оттуда final_url
▪️ Если все предыдущие шаги прошли успешно, приложение сохраняет final_url в кеш и инициализирует OneSignal. Если что-то пошло не так, приложение кеширует флаг провала и больше не будет выполнять обращений к сети.
▪️ В конце концов открывается полноэкранный WKWebView с final_url. При последующих запусках используется ранее закешированный адрес.

Это очень похоже на типичный паттерн работы приложения сервиса аренды, хоть и излишне запутанный.


🍩 Ещё моё внимание привлёк проект инструмента конкурентной разведки:
▪️ Оператор подписан на ботов с уведомлениями о статусе приложений конкурентов: Banda, WWA, Trident, TD. Время от времени оператор запускает сбор сообщений ботов за последние 60 дней
▪️ Программа при помощи регулярных выражений извлекает bundle id и другую информацию, отправляет в свой канал
▪️ Оттуда данные отправляются в Google Sheet: бот-источник, название, bundle id, дата релиза, дата бана, время жизни, статус, URL, ограничения по гео, разрешённые источники трафика, поддержка OneLink, поддержка макросов, на какое приложение был перенаправлен трафик после бана. Особенно пристально следят за Banda

👆 Ознакомиться с материалами в публичном доступе можно здесь (архив раз, два).

Чья именно это утечка, мне непонятно — там признаки нескольких организаций сразу. Да и, думаю, грешат таким в том или ином виде многие. В эпоху очень умных компьютеров и не очень эээ внимательных людей последние пока побеждают.

P.S.: Если будете изучать код, то знайте, что как учебное пособие использовать его не стоит, лучше гляньте современный UDP-based подход ZM Apps — интересная идея, может, не самая удачная с точки зрения скрытности, но способная показать вам, как глубока кроличья нора на самом деле.

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю (1/2)

👆 В Google Play спешно сооружают отдельную экосистему для AI-приложений: созданный в AI Studio слоп можно будет устанавливать без регистрации аккаунта разработчика и без прохождения идентификации. Приложения будут доступны в "Личной библиотеке" только создателю, но компания обещает, что вскоре разработками можно будет делиться с друзьями. Для слопа предусмотрен и выход в общий магазин: для этого потребуется обычный аккаунт разработчика, а поделка должна пройти стандартную модерацию.
Кажущаяся на первый взгляд позитивной новость на самом деле может быть считана по-разному. Сейчас складывается впечатление, что корпорация добра готовит почву для прекращения поддержки "индивидуальных" аккаунтов Play Console в том виде, в котором мы их знаем: студенты, энтузиасты и хобби-разработчики будут вынуждены работать через AI-инструменты вроде AI Studio или Antigravity IDE без аккаунта разработчика как такового и без полного контроля над сборками, что кратно разгрузит основную команду модераторов-людей и позволит ещё сильнее усложнить регистрацию Play Console. В эту картину хорошо вписывается недавно опубликованный отчёт о космическом числе приложений на модерации и новая прямая интеграция Android Studio с Play Console: теперь публиковать в тестовый трек можно прямо из интерфейса IDE.

Другое важное обновление: ОС Android начала автоматически привязывать номера телефонов установленных SIM-карт ко всем Google-аккаунтам на устройстве. Хотя информация об этом в документации появилась ещё в прошлом году, вероятно, реальная практика применения началась недавно. Кажется, недаром фармы стали переходить на работу с физическими устройствами. Кстати, функцию можно отключить в настройках Google на устройстве.

👆 Apple обновила Developer Program License Agreement. Из важного, в пункте 3.2(e)(3) появился прямой запрет на post-review modifications для обхода модерации. В App Review Guidelines добавили связанный пункт 2.5.19 (перенесли из 2.3.1(a) и поменяли формулировки).

👆 Специалисты Citizen Lab раскрыли схему AdFection — не просто очередную рекламу вредоносного ПО, а целую связанную с израильскими производителями шпионского ПО Candiru и Bindecy операцию, позволявшую через рекламу реализовывать так называемые 0-click атаки (то есть не требующие взаимодействия для заражения), и при этом очень точно выбирать жертв по рекламным идентификаторам и IP. Атаке подверглись по меньшей мере 45 устройств сотрудников Al Jazeera, но сами объявления (не случайно) демонстрировались миллионам устройств по всему миру, включая сети НАТО, оборонных подрядчиков и других.
Можно было бы пожать плечами и сказать, что у богатых свои причуды, если бы стек технологий не был так близок к нашей с вами реальности. Технический отчёт публикует фрагменты кода и подробности фингерпринтинга, а в целом система работала по принципу обычного RTB-аукциона. Такого, например, в котором участвует Moloco Ads DSP. Рекламная платформа, на которой всё работало, не принадлежала разведке, и, вероятно, поэтому в процессе реализации были допущены достаточно наивные ошибки собственной кибербезопасности. Citizen Lab удалось воссоздать панель администратора, обнаружить журналы авторизации пользователей и логи аукциона. Какой был потужный ответ партнёров, я думаю, вы понимаете: Google, IAB Europe и Comcast просто прекратили сотрудничество, и всё.

Мой неожиданный практический вывод для рынка аренды такой: тот сервис, который перейдёт от нахваливания "своей MMP" к созданию "своей RTB-платформы" сможет не только выгоднейшим образом скупать трафик, но и обойтись вообще без MMP, реально обеспечив при этом околонулевые потери. Хватит ли у холдингов кишки?

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды

⚡ Обзор трендов за неделю (2/2)

👆 Apliteni (Keitaro) опять вляпалась в расследование. Наверное, только ленивый не написал об изменении пользовательского соглашения, и что передаются названия кампаний, и что блокировки аккаунтов будут без возврата денег, но тут всплыло ещё одно важное обстоятельство: специалисты Infoblox раскрыли многолетнюю связь трекера с мошенническими кампаниями Help TDS, Hotejka, ROI777. Всего обнаружено более 20 тыс. Cloudflare Pages, ежедневно добавлялось около 300 штук. Смысл скама заключался в перенаправлении пользователей на поддельные страницы технической поддержки с целью заставить жертв позвонить в мошеннические колл-центры, и ключевое место в этой цепочке занимал Keitaro, послуживший основой для собственного решения "Help TDS".

👆 Атака на цепочку поставок поразила аппаратные кошельки Ledger — ориентировочные потери составляют $100 млн. Преступники встраивали в устройства перехватчик, считывающий seed-фразу и отправляющий её при помощи встроенной eSIM и LTE-модуля. Обнаруженные закладки показывают прогресс в качестве исполнения и широкую географию распространения, также обнаружено, что проблема встречается не только у Ledger.
Одновременно с этим у Марии Дорвей увели крипту прямо из её кошельков на iPhone. И хотя цпарип, на мой взгляд, поспешил связывать кражу с недавно раскрытыми эксплойт-китами Coruna/DarkSword, но сейчас появился другой хороший аргумент в пользу похожего объяснения: впервые за долгие годы был продемонстрирован отвязанный jailbreak для современной iOS 27.0.1 на iPhone 18 Pro.

👆 Cloudflare проверила так сильно рекламируемое падение трафика "трёхрублёвых ботов", связываемое с выходом из строя дата-центров "Яндекса". В общем, это неправда: объём трафика действительно значительно упал, но принадлежит он не рупору пропаганды, а обычным поисковым паукам. Вредоносный же трафик, по их словам, просто переехал на другие мощности, но компания, конечно, не способна выделить тех самых кремлеботов — да и было бы странно, если бы они использовали адреса дата-центров.
Словно в ответ на кинетический удар по Яндексу, неизвестные подожгли сперва наземную станцию Starlink в Польше, а затем и в Болгарии.

👆 Jev получила мультимодальность в бета-версии. Теперь модель может не только принимать на вход изображения вместо текста, но и обнаруживать объекты на них, а также анализировать картинки визуально. Ждём появления ещё большего числа спай-тулов с поддержкой классификации креативов 😀️️️️️️

✏️ Интересное чтение на выходные: GTA 2 перенесли в браузер (да и GTA 5 тоже — спасибо, Opus 5.5), сотрудник OpenAI посоветовался с моделью и установил в офисе жучок, CERT-FR рапортует о взломе холодильников в примерно 700 магазинах (хакеры испортили продукты на миллионы евро)


✈ Топ приложений на радарах

🍩 Joker Jewel ~ 4 800 уст./д., 86 д. онлайн.
🍩 Crystal Beam Wheel ~ 4 000 уст./д., 37 д. онлайн.
🍩 Energy Coins ~ 700 уст./д., 79 д. онлайн.
🍩 Jungle Wheel ~ 6 300 уст./д., 44 д. онлайн.
🍩 Sugar Sweep Home Chores ~ 3 800 уст./д., 37 д. онлайн.
🍩 Masquerade Jester ~ 5 300 уст./д., 44 д. онлайн.

🔥 Лучшие приложения сервисов аренды (обозначения)

🔥 Tower Dash Стиль: #towerrush
😈 Ice Fishing Стиль: #fish
😈 Farmyard Sprint Стиль: #chicken
🔫 Jоkеr’s Jеwеls Стиль: #joker
🦆 Desert Expedition Стиль: #egypt
🔫 Chiсken Rоаd Стиль: #chicken


🟡 Объём блокировок — Средний.

#тренды

🖼➡ подписаться ▪ чат ▪ каталог сервисов аренды