Как и зачем российские приложения ищут на телефонах пользователей VPN?

Эксперты RKS Global выявили, что 22 из 30 российских приложений детектируют VPN, из них 19 отправляют VPN-статус на сервер. Это приложения Яндекс Браузер, Яндекс Карты, ВКонтакте, Мой МТС, Сбербанк Онлайн, Т-Банк, VK Видео, Wildberries, Кинопоиск, Ozon, Самокат, RuStore, ВТБ Онлайн, Yandex Music, Avito, Альфа-Банк, 2ГИС, MegaMarket, Одноклассники, MAX, Rutube, VK Music.

Крупные российские компании получили указание Минцифры участвовать в цензуре и слежке за пользователями. С 15 апреля 2026 года они должны будут ограничить доступ тем пользователям, у которых на устройстве включен VPN.

В методичках, которые получили компании, описаны этапы проверки, которые должны осуществлять сами приложения на пользовательских устройствах. Такой набор анализируемых данных всё больше напоминает шпионское ПО под видом полезного сервиса.

Эксперты RKS Global провели анализ 30 самых популярных в России приложений для Android от российских компаний, чтобы выяснить — какие данные о VPN они собирают и какой объём слежки реализуют:

▪️По результатам анализа 11 из тридцати приложений получили рейтинг RED (максимальная слежка).
▪️Самая агрессивная группа — банковские приложения.
▪️Поведенческая биометрия (Сбер, Rutube, Т-Банк и др.): Фиксируют силу нажатия на экран, координаты и время касаний. Это позволяет узнать вас по «почерку» листания ленты, даже если вы зашли под другим именем или через прокси.
▪️Анализ окружения (Avito): Проверяет наличие более 200 «чужих» программ на вашем устройстве — от банков до криптокошельков и мессенджеров. Так составляется ваш полный цифровой профиль.
▪️Противодействие анализу (Т-Банк и сервисы Яндекса): Активно ищут на телефоне инструменты исследователей, защищая свои алгоритмы слежки так, будто это секретное военное ПО.
▪️Сокрытие слежки (MAX): Приложение специально обфусцирует названия сетевых интерфейсов, чтобы исследователи не могли заметить, как именно программа ищет следы VPN в системе.

Ознакомиться со всем исследованием, а также рекомендациями экспертов можно по этой ссылке: https://files.rks.global/russian_apps_search_for_vpn_ru.pdf

Роскомнадзор заблокировал Bluesky:

https://blockedin.org/ru/record/7798398/
https://blockedin.org/ru/record/7699419/

В чём провинился децентрализованный сервис микроблогов, пока неизвестно.

UPD: не только РКН, но также «Неуказанный госорган». Вероятно, в материалах соцсети был обнаружен и ЛГБТ-контент, и посты про обход блокировок, и считающаяся в РФ экстремистской информация.

Маск готовит запуск своего мессенджера XChat

Приложение уже есть в App Store, а его релиз планируется 17 апреля. На данный момент XChat доступен только для iOS, и исходя из описания, будет поддерживать:

• текстовые сообщения и групповые чаты
• голосовые и видеозвонки
• сквозное шифрование
• кроссплатформенную синхронизацию в будущем.

Приложение позиционируется как отдельный, но интегрированный продукт внутри экосистемы X (бывший Twitter).

Делаем ставки: насколько быстро его заблокируют в России?

Тем временем Павел Дуров вступил в очередную публичную перепалку в X. Proton Pass представил график защищённости чатов и упрекнул Telegram в отсутствии E2EE по умолчанию. Дуров ответил, что это осознанный компромисс ради удобства. В спор вмешался WhatsApp, подчеркнув, что у них шифрование работает всегда, включая бэкапы.

Основатель Telegram предпочёл ответить в своём Tg-канале, где назвал заявление WhatsApp о сквозном шифровании "мошенничеством с потребителями". Дуров утверждает, что WhatsApp хранит большинство сообщений в нешифрованных облачных бэкапах Apple и Google, раскрываемых третьим лицам. Telegram же, по его словам, за 12 лет не передал ни одного байта пользовательских сообщений.

В Иране интернет начал появляться в некоторых университетах и госучреждениях

Об этом сообщает Amnezia VPN, ссылаясь на сообщения от своих пользователей. Можно предположить, что в скором времени интернет разблокируют для всех, но возможен и негативный сценарий, где интернет оставят "сегментированным" только для вузов и госструктур.

Продолжаем наблюдать за ситуацией в стране, на данный момент общенациональный интернет-шатдаун продолжается уже 45 дней.

Tor разрабатывает серверы, способные «терять память» при изъятии властями

Проект задумался над масштабным техническим обновлением после того, как в США, Австрии, Германии и России прошли обыски у волонтёров, державших выходные узлы Tor. Власти пытались найти в памяти серверов логи, криптографические ключи и следы пользовательского трафика.

Предполагается, что сервер будет работать исключительно в оперативной памяти (RAM). Как только питание отключается или происходит перезагрузка, все данные (логи, конфигурации и цифровые артефакты) мгновенно и безвозвратно стираются. Таким образом, изъятое "железо" превращается для следователей в пустой набор микросхем.

Концепция не нова, но именно для Tor ей придётся преодолеть репутационные и технические препятствия. Ретрансляторы, которые дольше остаются в сети, получают флаги доверия и пропускной способности, что делает их более важными для скорости и надежности сети. Эта с трудом заработанная репутация напрямую связана с долговременными криптографическими ключами идентификации, хранящимися на сервере. Однако если ретранслятор, работающий в оперативной памяти, отключается и теряет эти ключи, он перезагружается без идентификации, обнуляя и репутацию.

Один из предложенных методов включает в себя "запечатывание" ключей идентификации ретранслятора внутри аппаратного чипа безопасности, известного как модуль доверенной платформы (TPM). Привязывая ключ к определенному состоянию системы, идентификационные данные могут сохраняться после перезагрузки, и ключ никогда не будет напрямую извлечен властями, которые изымут сервер. В настоящее время проект находится на экспериментальной стадии.

В десятках плагинов WordPress обнаружены бэкдоры, затронувшие сотни тысяч сайтов

Тревогу забил исследователь Остин Гиндер, обнаружив классическую атаку на цепочку поставок: злоумышленники выкупают популярные расширения, внедряют в них вредоносный код. В начале 2025 года на бирже Flippa анонимный пользователь купил компанию Essential Plugin, которая разрабатывает плагины.

В августе 2025 года в плагины вместе с обновлением был внедрён файл wp-comments-posts.php и модифицирован wp-config.php. Для получения адреса командного сервера использовался смарт-контракт Ethereum, что позволяло хакерам мгновенно менять подконтрольные домены, обходя блокировки.

Бэкдор, невидимый для админов WordPress-сайтов, оставался в спящем режиме до начала апреля этого года, когда его активировали и начали распространять вредоносный код на все веб-сайты с установленными плагинами.

По данным Гиндера, это уже не первый случай массового взлома плагинов WordPress. Исследователи безопасности давно предупреждают о рисках, связанных с тем, что злоумышленники покупают ПО и изменяют его код, чтобы скомпрометировать большое количество устройств по всему миру.

Роскомнадзор заблокировал сайт проекта ZIMA, который рассказывает о культурных событиях за рубежом

https://blockedin.org/ru/record/9686407/

Онлайн-журнал публикует на русском языке статьи об известных людях, спектаклях, гастролях, выполняя своего рода роль подробной афиши. Там есть материалы о Борисе Гребенщикове, писателе Дмитрии Быкове, режиссёрах Кирилле Серебренникове и Андрее Звягинцеве, анонсы выступлений «Касты», Noize NC, Монеточки и другие публикации о творчестве и творческих людях.

Ради борьбы с VPN операторы заморозят расширение каналов связи в Европу

Около 20 компаний — владельцев зарубежных каналов связи подписали мораторий на их расширение. Речь идёт об аренде или вводе в эксплуатацию новых каналов связи, по которым передаётся весь зарубежный трафик. Произошло это на очередном совещании с главой Минцифры Максутом Шадаевым. Среди участников были ММТС-9 (MSK-IX), «Транстелеком», МТС, «ВымпелКом» («Билайн»), «Т2 Мобайл» (Т2), «Уфанет» и «Раском».

VPN-трафик выглядит для операторов как иностранный и, по мысли властей, если ограничить зарубежную пропускную полосу, то постоянно растущие объёмы использования VPN перегрузят каналы, и операторам придётся самим фильтровать или ограничивать этот трафик. Такой «экономический фильтр» должен сделать VPN медленным и дорогим, а зарубежные сервисы вынуждены будут локализоваться в РФ для сохранения скорости доступа.

Хостерам хотят законодательно запретить обслуживать VPN

Им нельзя будет предоставлять свои вычислительные мощности владельцам сайтов и информационных систем, которые обеспечивают доступ к информации, заблокированной на территории РФ. Такие поправки внесены в антимошеннический пакет законопроектов («Антифрод 2.0»), выяснил «Ъ».

В пресс-службе Минцифры чёткого ответа изданию не дали, заверив только, что «на данный момент поправки ко второму чтению согласовываются с заинтересованными ведомствами и организациями», а финальной версии документа ещё нет.

Эксперты отмечают, что преждевременно делать окончательные выводы, не увидев самих поправок, но судя по описаниям, это означает перевод хостинг-провайдеров из технических посредников в статус контролёров. Если раньше хостер до получения жалобы мог закрывать глаза на то, что происходит внутри сервера, то такими поправками его обяжут не допускать саму возможность предоставления мощностей «нарушителям».

Со своей стороны отметим, что давление на хостеров осуществлялось и ранее. Так, ещё в декабре прошлого года компания Aéza получила от Роскомнадзора список IP, связанных с услугой обхода блокировок. Клиентов попросили «устранить нарушения», иначе откажут им в предоставлении услуг.

Приложение Telega вызвало сбой в обновлении айфонов?

В эти выходные массовые проблемы с обновлением iOS на iPhone привели к наплыву клиентов в сервисных центрах. Проблема коснулась всех моделей от Apple, которые после попытки обновления просто отключались и «превращались в кирпич». Единственным способом вернуть гаджеты к жизни стал полный сброс до заводских настроек, и если данные до этого не были сохранены в облаке, восстановлению они не подлежали.

Среди вероятных причин СМИ и блогеры называют альтернативный клиент Telegram — Telega. Так, блогер Romancev768 обновил три исправных iPhone, из которых «окирпичился» только тот, на котором было установлено данное приложение. Он предположил, что поскольку из App Store оно было удалено с подписью «вредоносное ПО», система не может обновиться, если на устройстве есть такого рода программы.

Создатели Telega уже поспешили заверить, что сам клиент не превращает iPhone в «кирпич» после обновления, так как приложение находится в песочнице и не может влиять на работу ОС смартфона.

Напомним, в марте эксперты RKS Global провели исследование 8 наиболее популярных альтернативных клиентов Telegram, и обнаружили в Telega признаки скрытой слежки и перехвата трафика. Cloudflare в апреле пометила рабочие домены приложения как шпионские, и вскоре после этого оно исчезло из App Store.

Скамеры блокируют видео на YouTube в помощью поддельных ИИ-каверов песен

Мошенники научились использовать уязвимости в системе автоматического определения авторских прав на YouTube. Об одной из таких историй рассказал блогер Nubzombie, который получил два предупреждения за ролик с геймплеем Silent Hill 2. Первое видео с его прохождением игры было заблокировано неким Agro memos. Когда ютубер загрузил второе видео, оно также было заблокировано по требованию уже другого «автора» — 詹姆斯.K.

Дело в том, что неизвестные взяли трек «Promise» композитора Акиры Ямаоки, наложили на него примитивную нейросетевую озвучку с бессвязным текстом (причём на русском языке) и зарегистрировали эту поделку как оригинальный трек. «Promise» вполне легально звучала в саундтреке игры, но копирайтные боты YouTube не умеют распознавать художественные качества мелодий и не видят, что перед ними чистый скам.

В этом всегда заключалась проблема автоматических механизмов защиты прав на YouTube, отмечает издание TechDirt. Злоумышленникам практически ничего не мешает выдавать чужой контент за свой, замусорив его незатейливыми эффектами, что стало гораздо проще с появлением нейросетей. Ответственность за защиту авторов и исправление таких уязвимостей лежит на YouTube, считает издание.

Группа неизвестных получила несанкционированный доступ к Claude Mythos от Anthropic

Случилось это в день анонса модели, которую сама компания пока не рискует предоставлять широкому кругу пользователей, потому что считает слишком критичной с точки зрения кибербезопасности, и доступ к Mythos даёт сугубо эксклюзивный.

Но как стало известно Bloomberg, участники Discord-сообщества, которые охотятся за информацией о моделях, не выпущенных в публичный релиз, провели целую «спецоперацию» для получения доступа. Один из них работает на стороннего подрядчика Anthropic и имеет легитимный API-ключ к инфраструктуре. Также они проанализировали формат URL, по которому Anthropic размещает свои модели, и просто угадали адрес конкретно Mythos, после чего уже применили ключ подрядчика и получили доступ.

При этом группа не искала там никаких уязвимостей, а лишь тестировала возможности модели, поручая ей мелкие запросы и пробуя строить простые сайты. Источник Bloomberg утверждает, что у группы есть доступ не только к Mythos, но и другим моделям Anthropic, ещё не вышедшим в релиз.

О серьёзности модели говорят и недавние тестирования Mozilla, которая смогла с помощью Mythos обнаружить 271 уязвимость в коде свежей версии Firefox 150. Для сравнения, месяцем ранее предыдущая модель Opus 4.6 нашла всего 22 уязвимости в Firefox 148.

По мнению Mozilla, в бесконечном противостоянии между киберпреступниками и киберзащитниками «у защитников наконец-то появился шанс одержать решительную победу». Теперь любому разработчику софта придётся учитывать фактор ИИ-аудита, поскольку баги, годами скрытые в ПО, сейчас будут достаточно легко обнаружены. Особенно это критично для оперсорс-проектов, чей код открыт и для защитников, и для злоумышленников.

2025 год стал худшим по количеству отключений интернета в мире

Не было ни одного дня без интернет-шатдаунов, утверждается в совместном исследовании Access Now и коалиции #KeepItOn. В 52 странах было зафиксировано рекордное количество отключений — 313. При этом наблюдается явный сдвиг от полных шатдаунов к более целенаправленным ограничениям, власти всё чаще нацеливаются на VPN и спутниковый интернет.

Но если 2025 год стал рекордным по масштабам сокращения глобальной цифровой свободы, то 2026 уже скоро превзойдёт его, и этот процесс возглавили Иран с Россией. Первый пересёк уже 50-дневный рубеж полного отключения связи, а РФ начала то, что наблюдатели назвали «масштабным подавлением» Сети. В некоторых городах уже привычными стали сбои доступа в интернет, Telegram заблокирован, а также внедрены новые системы обнаружения и блокировки VPN.

В Казахстане блокируют возможность скачивания релизов с GitHub

Пользователи жалуются, что хотя сами репозитории открываются, ничего скачать с них не получается — загрузка длится слишком долго, после чего браузер сообщает об ошибке. Не помогает ни смена девайса, ни провайдера — только VPN. По мнению казахстанских правозащитников, всё это очень напоминает намеренную блокировку:

▪️введена точечная блокировка по SNI;
▪️поддомен objects.githubusercontent.com (хранилище Azure, куда перенаправляется трафик при попытке скачивания);
▪️при этом основной домен (на Fastly) остается доступным, что создаёт иллюзию рабочей платформы.

С чем связаны эти ограничения, неизвестно — ответственные за связь, а также блокировку запрещённых ресурсов ведомства отрицают введение каких-либо ограничений в отношении GitHub.

Как самому создать рабочее приложение с подкастами за один выходной

На YouTube-канале «Либо/Либо» ведущие в прямом эфире вайбкодят приложение — от идеи до рабочего прототипа с функционалом.

Для наглядности весь процесс демонстрируется на экран. Если всё пойдёт по плану, то у вас будет возможность прямо во время стрима протестировать приложение и дать фидбэк ведущим.

Стрим будет продолжаться сегодня до 20:00 по московскому времени, так что вы можете успеть присоединиться к нему: https://www.youtube.com/live/mKjCHo7GKko?si=F4RUJc2Jibz6rqec

The Bell приходит через рассылки

В последние годы многие издания отказывались от email‑формата, так как пользователи чаще всего искали и читали новости в удобном формате в Telegram. Но теперь в России ужесточились блокировки, они затронули все глобальные соцсети, мессенджеры, включая Telegram. Доступ к независимой информации всё чаще ограничивается, и читателям всё труднее получать доступ к ней.

Почему рассылка — это оптимальный вариант доставки новостей? Она не требует VPN, не зависит от блокировок. Email-рассылки приходят напрямую во «входящие» электронной почты, их можно посмотреть в любое удобное время, вернуться к ним, без опасений потерять в бесконечных новостных лентах.

В недавних выпусках рассылок The Bell можно прочитать, например, о том, как российские приложения следят за VPN, сможет ли Telegram дать отпор Роскомнадзору, кто теперь новые хозяева Рунета и др.

The Bell формирует две основные рассылки в день — утреннюю и вечернюю —, учитывая контекст и собирая самые важные материалы всего в одном письме, без думскроллинга и лишних уведомлений. А ещё есть специальная рассылка «Bell.Tech», которая фокусируется на новостях про технологии и IT: рунет, бигтех, стартапы, цифровая экономика, глобальные компании, продукты и тренды.

Подробнее об условиях — по ссылке. До 30 апреля можно оформить подписку по спецтарифу — всего $3 или 300 ₽ за первые три месяца.

Хакеры распространяли порно через сайты ведущих вузов США с помошью «забытых» DNS-записей

Исследователь Алекс Шахов из SH Consulting обнаружил, что сотни поддоменов таких гигантов, как Колумбийский университет, Стэнфорд, Гарвард, Беркли и Университет Вашингтона, размещали порнографический и вредоносный контент. В целом это затронуло более 30 вузов. Проблема кроется в уязвимости «висячих» записей CNAME (Dangling CNAME), которая позволяет осуществить захват поддомена (Subdomain Takeover).

Дело в том, что университеты часто используют сторонние сервисы вроде GitHub Pages, WP Engine и Azure для хостинга небольших проектов. Для этого создается запись CNAME, которая перенаправляет трафик с университетского поддомена (например, provost.washu.edu) на адрес внешнего сервиса.

Когда проект завершается, вуз удаляет аккаунт на внешнем хостинге, но саму запись в своих DNS-настройках часто удалить забывают. Хакеры из таких группировок как Hazy Hawk находят подобные «осиротевшие» записи и просто регистрируют на внешнем сервисе аккаунт с тем же именем.

Злоумышленники создают страницы с порно и спамом вроде provost.washu.edu/xxx-content. Для поисковика Google это выглядит как легитимный контент университета, потому что образовательные домены на «.edu» имеют высокую степень доверия.

В крупных вузах сотни кафедр и лабораторий бесконтрольно плодят поддомены. Когда проект сворачивается, за собой почти никто не «убирает». Инвентаризация DNS-зон практически не ведется, а у записей CNAME нет срока годности — они могут годами указывать на удаленные ресурсы, дожидаясь, пока их не заметит какой-нибудь хакер.

Расследование: как устроена хакерская сеть NoName057(16) и почему её не смог остановить Европол

В опубликованном «Вот так» материале раскрыты детали работы группировки NoName057(16), которая занимается политическим хакингом, в частности - проводят атаки на государственные сайты стран Восточной Европы и ЕС. Установлены личности основных участников группировки, а также изучена структура её работы.

Для организации DDoS-атак используется приложение DDoSia. Оно превращает смартфоны и ПК в часть ботнета, автоматически перегружающего сайты запросами. Процесс геймифицирован: участникам присваивают «армейские» звания и платят внутренней валютой dCoin, которую можно обменять на криптовалюту TON.

Сеть обладает высокой способностью к самовосстановлению. Проведенная Европолом операция «Иствуд» в 2025 году лишь временно снизила нагрузку: вскоре активность выросла до 7,7 тыс. команд на атаки в месяц. Скрытая инфраструктура и постоянный приток новых участников позволяют группе быстро восполнять ресурсы после любых попыток ликвидации.

Подробности - по этой ссылке.

Инициатива «Stop Killing Games» по сохранению компьютерных игр дошла до Европарламента

Когда продаваемые игры перестают приносить компаниям-производителям доход, те просто отключают их от серверов. Такое закрытие, принимаемое в одностороннем порядке, нарушает права потребителей, посчитал ютубер Росс Скотт и в 2024 году создал гражданскую инициативу «Stop Killing Games» («хватит убивать игры»).

За это время к инициативе примкнуло множество сторонников, а их петиция набрала почти 1,3 миллиона подписей. «Stop Killing Games» ставит следующие цели:

▪️Проданные игры должны оставаться в рабочем (функциональном) состоянии.
▪️Работа игры не должна зависеть от обязательного подключения к серверам издателя или его партнёров.
▪️Эти правила также распространяются на игры, в которых пользователям продавались микротранзакции.
▪️Пользовательские соглашения не могут аннулировать или иметь приоритет над этими требованиями.

Движение успело заручиться поддержкой европейских и британских политиков, и вот несколько дней назад состоялись слушанья в Европарламенте с участием активистов STG (В документах ЕС фигурирует под названием «Stop destroying videogames»).Теперь в дело вступает Еврокомиссия, которая обязана рассмотреть инициативу 16 июня текущего года, и дать уже окончательный ответ 27 июля.

30 из 30-ти популярных российских приложений ищут VPN на ваших гаджетах

Это показал повторный анализ, проведённый экспертами RKS Global после 15 апреля — дедлайна, поставленного Минцифры российским компаниям. Восемь приложений, которые ранее VPN не детектировали — Яндекс Маркет, Яндекс Еда, Яндекс Go, Дзен, Почта Mail.ru, МегаФон, Госуслуги и Mir Pay — получили эти функции.

Семь приложений — Wildberries, 2ГИС, МТС, Ozon, Мегамаркет, RuStore, Одноклассники — теперь получают полный список установленных VPN-клиентов на устройстве; в первом исследовании этот метод применяли всего два приложения.

Все семь приложений Яндекса обращаются к единому серверному endpoint для VPN-проверки и реагируют на удалённый флаг, который позволяет дистанционно включать полноэкранную блокировку сразу во всех продуктах. Банковские приложения и часть маркетплейсов уже активно блокируют или ограничивают функционал при обнаружении VPN.

Рекомендации RKS Global:

Метод использования split tunneling (исключать российские приложения из VPN-туннеля) недостаточен против новых методов детекции. VPN на роутере остаётся надёжным вариантом — на устройстве не создаётся VPN-интерфейс, и методы детекции не срабатывают.

Изоляция через Android Work Profile (Shelter) становится критически важной: если VPN-клиент установлен в одном профиле с российскими приложениями, семь из них получат его имя пакета и передадут на сервер.

Идеальный же вариант — иметь два телефона. Один для российских приложений, второй для всего остального с использованием VPN.

Cloudflare признала мессенджер Max «шпионским софтом»

На основании девяти проверок URL из десяти вынесен вердикт, что ПО вредоносное. В магазинах приложений Apple и Google Max пока присутствует.

При этом на сайте Cloudflare указано, что у домена Max все ещё есть TLS-сертификат, который говорит о подлинности проекта.

UPD: Cloudflare сняла с мессенджера «шпионскую» пометку.

Результаты сканирования URL теперь отображаются как «Классификация отсутствует». В самом мессенджере решение Cloudflare объяснили «неверной интерпретацией заголовков запросов к сервисам обыкновенной веб-аналитики сайта max.ru». В «Максе» подчеркнули, что классификация Cloudflare не основана на фактическом анализе кода и что аудиты безопасности проводятся регулярно, как и работа с исследователями через Bug Bounty.