Trickster

APKPure распространяет вредоносную версию Telegram.

https://x.com/EricParker/status/2058411298195661221
https://t.me/agamtechtricks/9930

В декомпилированном APK обнаружили класс DataCollector, который отправляет данные на сервер с IP-адресом 38.190.225.166: медиа из галереи, координаты местоположения, информация о сим-карте, контакты, сообщения и многое другое. Этого класса нет в официальных сборках Telegram.

Инцидент с малварью в APKPure уже был в 2021 году. Так что с APKPure больше ничего не качаем. Выходит, что APK не такие уж и Pure.

Представляю свои страницы про Delta Chat. Я постарался покрыть все популярные вопросы, не перегружая лишней информацией. Учтены актуальные разработки, так как последние месяцы было добавлено много чего интересного, и другие руководства уже устарели.

software/delta-chat: Подробная информация о функциях и возможностях, технические детали и ответы на вопросы.

guides/delta-chat: Простое руководство по использованию и введение в основные функции.

guides/delta-chat-email: Использование с классической электронной почтой для продвинутых пользователей.

Я проделал много работы. Надеюсь, вам понравятся эти страницы и сам Delta Chat. Как всегда принимаются любые предложения и исправления.

Я уже больше месяца пользуюсь поисковиком degoog. Он появился только в марте этого года, находится в бете и инстансов мало, но пока мне он нравится больше аналогов.

degoog это такой же агрегатор поисковых систем, как и SearXNG. Но в отличие от SearXNG, он ни разу не ломался (кроме пары моментов, когда лежали инстансы). Результаты запроса появляются в реальном времени, а не ждёшь несколько секунд, пока прогрузится самая медленная из включённых поисковых систем. Если какая-то поисковая система выдала ошибку, то это вовсе незаметно, можно ткнуть retry. Однако есть два недостатка: во время прогрузки результаты прыгают по странице, и обязателен JavaScript.

Поисковых систем немного, но degoog делается с учётом модульности. Можно написать своё расширение или поисковую систему и добавить на сервер. В идеале планируют сделать каталог расширений.

Функциональность такая же бедная, как в SearXNG или 4get, но меня больше устраивает стабильность работы. А ещё более приятный интерфейс, который подражает Google.

Ну вот, теперь и X/Twitter требует регистрацию через мобильное приложение. На Android требуются сервисы Google и Play Integrity на базовом уровне.

Сомневаюсь, что это остановит ботов. Просто приманка скачать приложение, чтобы больше проводить в нём времени. В токсичной алгоритмической ленте. И показывать рекламу.

Сегодня с утра у меня перестали подключаться все релеи Chatmail из списка chatmail.at/relays, а также открываться их сайты. Ранее какая-то часть из них работала без обходов, а другая нет. Теперь все не работают. Причём есть следующие интересные детали:

• В этом списке есть ссылка на сайт chat.sus.fr. Он содержит 4 релея, и все они всё ещё доступны, при этом сам сайт не открывается.
• Аналогично есть сайт chtml.ca, который содержит 3 релея. Зайти на него без обходов теперь не получается вообще. Но на chatma.li и chatmail.cc, которые там же указаны, происходит зависание (16 КБ) — я это наблюдал @kttrickster@infosec.exchange. Более наглядно можете проверить, открыв страницу /new.
• Релеи, которые не указаны в публичном списке, всё ещё подключаются без проблем (в том числе arcanechat.me).

Всё это указывает на то, что РКН зашёл на chatmail.at/relays и заблокировал все указанные там адреса. Неприятно . Но есть и хорошие новости:

• Публичный список обновляется регулярно, и там могут появляться новые и пропадать (что я тоже сегодня заметил).
• С версии 2.46.0 вы сможете получать сообщения через другие релеи, пока основной недоступен. Но после обновления надо вручную эти релеи переключить, чтобы контакты их увидели.

Самое проклятое поле ввода, которое я когда-либо видел

На днях была опубликована бета-версия TaskSlinger. Это альтернатива диспетчеру задач для Windows. Написана с нуля на C++, очень быстрая и легковесная (один exe на ~1.5 МБ). Вдохновлено файловым менеджером File Pilot.

Разработчик изначально не хотел выкладывать программу в общий доступ, но по просьбам пользователей решил это сделать. Пока исходный код недоступен и неизвестно, будет ли платно как File Pilot.

Что касается самой программы, то она действительно очень быстро работает даже на виртуальной машине. Есть много подробной инфы о процессах, производительности, сети, компьютере. Конечно, вряд ли настолько подробно и функционально как какой-нибудь @kooltechtricks@posts.kooltechtricks.org, но главная суть в производительности и легковесности. Если кто-то пользуется Windows, то можете поставить себе, попробовать и поделиться впечатлениями.

RE: @nixCraft@mastodon.social

Google убивает стандартный интерфейс 10и ссылок в поисковике и заменяет его на чат-бота. Похоже, пора встряхнуть пыль с подборки и таблицы сравнения поисковых систем...

Но есть большая проблема. Google слишком огромный. Даже после всех антимонопольных разбирательств и введения выбора поисковой системы в ЕС и где-либо ещё, Google остаётся поисковиком по умолчанию даже там, где предлагается выбирать, потому что все к нему привыкли. Большая часть людей будет пользоваться только Google, они не знают и не в курсе об альтернативах, да даже не видят разницы между поисковой системой и браузером. Добро пожаловать в проклятый мир, который сами создали.

RE: https://t.me/durov/477

Вся заслуга исправления работы прокси лежит на сообществе энтузиастов проекта telemt. Проблема была в отправке специфического отпечатка TLS клиентами Telegram. Пользователи пропатчили клиенты Telegram, проверили в них работу прокси и предложили изменения в основную кодовую базу. Команда Дурова только лишь оперативно приняла предложенные изменения.

Фикс скорее временный, сейчас ищут способы ещё лучше маскировать трафик под легитимный HTTPS, параллельно предлагая патчи во все клиенты, в том числе TDLib. Большинство энтузиастов даже не являются опытными программистами и сетевиками, поэтому полагаются на помощь ИИ.

А что касается сбоя банков... Честно, мне с трудом верится, что это было вызвано попыткой заблокировать прокси. Прокси начали блокировать 1 апреля, но сбой банков произошёл два дня спустя. Да и новостные отрывки в каналах весьма некорректно составлены.

UPD. Статья от одного из участников проекта: https://habr.com/ru/articles/1019200

В Delta Chat теперь можно подписываться на некоторые крупные телеграм-каналы через бота "Telegram Connector".

Telegram не предоставляет RSS-лент, поэтому приходится пользоваться сторонними мостами, которые работают с большими задержками и не всегда корректно. А "Telegram Connector" использует аккаунт, поэтому никаких задержек и формат более корректный.

Можно подписаться только на те каналы, которые добавил разработчик бота (около 100). Принимаются предложения от 50 тысяч подписчиков. Текущая выборка крайне странная, но я предложил пару каналов.

Интерфейс бота не очень удобный, список каналов показывается в виде раздробленной таблицы. Находите интересные каналы и пишете команды, чтобы получить ссылки на вступление. Дальше можно читать почти как в телеграме. Также можно подписаться на каналы, оповещающие о появлении новых каналов.

Reddit начинает убивать старый интерфейс old.reddit.com. Со следующего месяца открыть его можно будет только с аккаунтом. Потому что именно старый интерфейс пользуется популярностью у скрапперов. Потому что старый интерфейс не завязан на огромном количестве скриптов, без JavaScript работает почти идеально. Но в новом интерфейсе JavaScript обязателен (какой-то js_challenge), без него коменты не загружаются, и по умолчанию все ветки нужно самому раскрывать (что дико неудобно читать и трудно архивировать).

На вопрос «будет ли закрыт старый Reddit насовсем» дан крайне неоднозначный ответ: «мы не можем обещать, что он будет существовать вечно».

Простите, если последнее время слишком много постов про Android (в @KoolTechTricks@posts.kooltechtricks.org). Обычно я стараюсь чередовать, но сейчас в моей очереди мало чего интересного не про Android.

Последнее время я нахожу любопытные штуки, изучаю их, но в конечном итоге они оказываются нейрослопом. Буквально сегодня хотел запостить про приложение для iOS, и в описании заметил строчку "was written almost entirely by AI coding tools"... Приходится отбрасывать их.

Это становится всё более обыденной вещью, и мне это не нравится. Не хочу превращать свою коллекцию ПО в (нейро)помойку. Думаю что с этим делать.

Так как уже многие серверы Mastodon обновились до версии 4.6, готов представить свою подборку (коллекцию) рекомендованного ПО в виде аккаунтов в мастодоне:

https://infosec.exchange/collections/116787352618438838

К сожалению, эта подборка будет очень маленькая из-за особенности реализации данной функции. Чтобы не было абьюза, аккаунт должен быть согласен на добавление себя в подборки. Так что во-первых, аккаунту требуется находиться на сервере, поддерживающем спецификацию подборок (пока что это только Mastodon 4.6). Во-вторых, аккаунт должен поставить галочку в настройках приватности "Разрешить находить меня через рекомендации". По умолчанию она отключена, что имеет смысл, так как вряд ли все хотят быть обнаруживаемы. Но для аккаунтов, которые я собираю, я не вижу причин отказываться от данной опции. Операторы этих аккаунтов видимо об этой настройке не знают и никогда её не включат, поэтому я не смогу их включить в подборку.

В последней версии Telegram в профиле пользователей может отображаться плашка об использовании неофициального клиента. В данный момент она появляется только у пользователей @kttrickster@infosec.exchange.

Что это значит: если в чате состоит участник, у которого в профиле отображается такая плашка, то через этого пользователя все сообщения из этого чата будут попадать на серверы Telega/VK в незашифрованном виде. Они могут храниться там неопределённое количество времени и анализироваться третьими лицами.

Ранее были сторонние решения, которые отправляли ID через какой-то API. Но плашка в Telegram более точная, она отображается только когда у пользователя есть активная сессия Telega. После её завершения плашка сразу пропадает. Однако неизвестно, будет ли это распространено и на другие клиенты в будущем: предупреждение не сообщает название используемого клиента. В любой момент на сервере могут быть добавлены app_id других клиентов, которые тоже будут помечаться как небезопасные.

Несмотря на скандал, число пользователей Telega только увеличивается. Недавно число подписчиков в канале перевалило за 6 млн, а ситуация официально никак не была прокомментирована. Пользователи Telega могут представлять угрозу безопасности ваших чатов.

RE: @kttrickster@infosec.exchange

FUTO опередили HeliBoard и выпустили свою модель ввода свайпом: https://swipe.futo.tech

В FUTO Keyboard 0.1.29 используется новая модель, и она намного лучше предыдущей. Утверждается, что даже лучше GBoard и клавиатуры iOS.

Проблема FUTO в их source-available лицензии Source First License, под которой распространяется клавиатура и другие приложения. Но библиотека свайпов выпущена под GNU GPL v3.0, датасет — под MIT, а вот сама модель под FUTO Model Weights License. Но в отличие от клавиатуры, модель нельзя монетизировать, поэтому лицензия не накладывает ограничений как Source First License, только указание авторства.

Браузер Fennec в F-Droid версии 142.0 с включённым блокировщиком после перезапуска не загружает страницы, что делает его неюзабельным. Всё бы ничего, но эта сломанная версия распространяется уже две недели и помечена как рекомендованная.

Не вижу смысла в Fennec, когда есть более укреплённый IronFox. Также есть Waterfox, который больше приближен к ванильному Firefox, но тоже вырезает ненужные библиотеки. Главное, что они обновляются быстрее.

В IronFox тоже однажды завезли обновление, из-за которого браузер крашился при открытии адресной строки. Но через несколько часов распространение обновления было остановлено, а к концу дня вышел фикс.

@Dusty_West@infosec.exchange Hi, are you a bot that gonna spam reposts from Telegram in a few days?

@emoblaze@mk.phreedom.club @kttrickster@infosec.exchange