Localhost-атака: как Meta* и Яндекс следят за пользователями Android через localhost

#статья #анонимность #spy

Мы раскрыли новый метод отслеживания, используемый компаниями Meta* и Яндекс, который потенциально затрагивает миллиарды пользователей Android. Мы обнаружили, что нативные приложения Android — включая Facebook, Instagram и несколько приложений Яндекса, таких как Карты и Браузер — незаметно слушают определенные локальные порты в целях отслеживания.

Эти нативные приложения Android получают метаданные браузеров, куки и команды от скриптов Meta* Pixel и Яндекс.Метрики, встроенных на тысячи веб-сайтов. Эти скрипты загружаются в мобильных браузерах пользователей и незаметно связываются с нативными приложениями, работающими на том же устройстве, через локальные сокеты (localhost). Так как нативные приложения программно получают доступ к идентификаторам устройства, таким как рекламный идентификатор Android (AAID), или обрабатывают идентификацию пользователя, как в случае приложений Meta, этот метод позволяет этим организациям связывать сессии мобильного браузера и веб-куки с личностью пользователя, тем самым деанонимизируя посетителей сайтов, на которых размещены их скрипты.

Этот способ передачи идентификаторов из браузера в приложение обходит типичные средства защиты приватности, такие как очистка куки, режим инкогнито и контроль разрешений Android. Более того, он открывает возможность для потенциально вредоносных приложений подслушивать веб-активность пользователей.

🔗 Ссылка на статью

LH | News | OSINT | AI

Awesome Hacking Resources

#pentest #обучение

Тщательно подобранный список хакерских инструментов, ресурсов и справочных материалов для энтузиастов и профессионалов в области кибербезопасности. Исчерпывающая коллекция ссылок на различные темы, связанные со взломом, включая тестирование на проникновение, реверс-инжиниринг, криптографию и многое другое.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

⚡️ Через неделю закроем прием заявок на доклады

Но это будет через неделю. А пока — ждем вас и ваши темы докладов.

Напоминаем, что можно податься сразу на несколько треков. А еще напоминаем, что мы написали подробный гайд о том, как правильно оформить заявку. Хорошая заявка повысит ваш шанс пройти отбор.

Дерзайте :)

Как я «случайно» получил root-доступ к платёжному терминалу

#статья #полезное

Этот проект я посвятил реверс-инжинирингу платёжных терминалов, так как из-за сопряжённых с их использованием финансовых рисков они представляют особый интерес в плане безопасности. И хотя эта отрасль для меня была не особо знакома, я считал, что в таком устройстве должна быть куча всяких защит. По факту так оно и оказалось, в какой-то степени…

🔗 Ссылка на статью

LH | News | OSINT | AI

🙌🙌🙌🙌

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять):

1. Предыдущий топ статей
2. Инструмент для тестирования обхода аутентификации SPF, DKIM и DMARC в системах электронной почты
3. Как оживить фото: Топ нейросетей для оживления фото и изображений
4. Каталог API для разведки по открытым источникам
5. Форки Firefox. Поднимаем собственный сервер синхронизации
6. Веб-сайт, который помогает находить бесплатные и открытые аналоги известных платных программ и онлайн-сервисов
7. Мы раскрыли новый метод отслеживания, используемый компаниями Meta* и Яндекс, который потенциально затрагивает миллиарды пользователей Android

#подборка #лучшиестатьи #информационнаябезопасность #ИБ #хакинг

LH | News | OSINT | AI