Проект LEAP разработал и протестировал в России четыре новых протокола для обхода цензуры

На Github опубликовали исследование проекта LEAP Encryption Access Project, который создает в том числе VPN-сервис Avos для правозащитников (да, читается как "авось" и смысл в него заложен тот же).

В тестировании участвовали 48 пользователей из разных регионов РФ и провели суммарно 200 тестов на 30 разных провайдерах.

Что тестировали:

▪️obfs4 + KCP (маскирует трафик под случайные данные);
▪️Hopping PT + obfs4 (добавляет постоянное переключение IP/портов);
▪️QUIC (делает трафик похожим на трафик Google и Facebook);
▪️Hopping PT + QUIC (сочетает маскировку и переключение, делает блокировку крайне сложной).

На апрель 2025 все протоколы смогли успешно обойти блокировки при малом масштабе использования, лучшую пропускную способность и стабильность показал QUIC, а Hopping PT практически не классифицировался как нежелательный трафик.

Все протоколы используются в Avos VPN, если вы заняты в сфере правозащиты или журналистики, можно протестировать его работу (доступно для пользователей Android). А тут можно скачать исследование и почитать самостоятельно (на англ).

VPN-дайджест. Июнь

Что происходит с VPN-протоколами по данным DPIdetector:

▪️Shadowsocks остается заблокированным на мобильном интернете, с 4 июня и в течение всего месяца он также регулярно блокировался на домашнем интернете у ряда операторов;
▪️cloak также блокировался как на домашнем интернете в течение всего месяца, так и на мобильном интернете во второй половине июня;
▪️блокировки других протоколов на домашнем интернете — openvpn, wireguard, anyconnect, AmneziaWG — в наибольшей мере ощутили на себе жители центральных и восточных регионов России;
▪️пик блокировок пришелся на 4-16 июня, когда на домашнем интернете было заблокировано большинство протоколов, что частично совпадает с началом блокировок хостингов в России.

Шатдауны, блокировка Cloudflare и другие новости:

▪️В июне в России было зафиксировано 655 шатдаунов разной мощности. Чаще всего это были отключения мобильного интернета в разных регионах. Была нарушена работа банкоматов, сервисов заказа такси и продуктов, со сбоями работали популярные мессенджеры. 22 июня проблемы с мобильной связью и доступом к сервисам фиксировались в 48 регионах. По данным калькулятора ОЗИ, 1 час мобильного шатдауна несет потери для экономики в размере 996 млн рублей.

▪️Cloudflare подтвердил блокировку со стороны РКН, что затронуло также Hetzner, DigitalOcean, OVH и другие хостинги. Проблемы с доступом к сайтам на Cloudflare начались 9 июня, а в период с 13 по 15 июня их трафик был вдвое меньше обычного. Было невозможно получить доступ к сайтам, если в рамках одного TCP-соединения от сервера к клиенту поступало больше ~15–20 КБ данных.

▪️30 июня РКН, предположительно, тестировал блокировку Telegram и WhatsApp в России. На недоступность обоих мессенджеров поступило более 15 тысяч жалоб. Проблема решалась использованием VPN.

▪️Суд в Москве оштрафовал Signal за отказ исполнять обязанности организатора распространения информации (ОРИ), а именно - собирать и хранить переписки пользователей и передавать их ФСБ по запросу. Сам мессенджер еще с 2024 года заблокирован в России.

Что происходит в мире:

▪️17-18 июня в Иране был зафиксирован массовый интернет-шатдаун. Выход в глобальный интернет был практически закрыт, не работали соцсети и мессенджеры, фиксировались сбои в работе платежных систем, невозможность подключиться к VPN. Продолжительность отключения составила около 50 часов.

▪️Китай внедряет виртуальный ID для интернет-пользователей. С ним предлагается регистрироваться на всех сайтах, а еще упростит властям поиск конкретных людей, кто критикует правительство в интернете.

▪️В Того (Африка) 26 июня на фоне протестных акций власти заблокировали Telegram, Signal, Facebook Messenger. С 28 июня проблемы также фиксируются с доступом к YouTube и DuckDuckGo.

*блокировка хостинг-провайдеров со стороны РКН затронула также и ряд VPN-сервисов с серверами за рубежом. RKSVPN и Amnezia Premium по-прежнему работают в России, но у некоторых пользователей могут наблюдаться временные трудности с подключением.

В Курской области предлагают пересаживаться на Wi-Fi вместо мобильного интернета

Для этого в городе установят целых 18 публичных точек Wi-Fi. Уровень безопасности для пользователей в них будет примерно как в аэропорту (мы бы такому не доверяли), да и посещать все сайты тоже не получится, ТСПУ будет по умолчанию блокировать. За неимением альтернатив давайте хотя бы соблюдать Wi-Fi-гигиену.

А вообще с такими новостями мы всё ближе к интернету по талонам и всё дальше от (Бога) цифровой свободы.

Google Gemini предоставили доступ к сообщениям в WhatsApp и другим приложениям на устройствах Android

В обновлении, выпущенном 7 июля, Google Gemini автоматически предоставили доступ к сторонними приложениями на Android — «Сообщения», WhatsApp, «Утилиты» и «Телефон». В Google объяснили это тем, что так чат-бот сможет помогать в повседневных делах, например, его можно попросить отправить сообщение в WhatsApp, установить таймер или позвонить.

Раньше чтобы предоставить доступ Gemini к приложениям такую функцию необходимо было включить самостоятельно, теперь наоборот — ее нужно самостоятельно отключить, чтобы этот доступ отозвать, что вполне оправданно вызывает вопросы о конфиденциальности.

Обновление, как говорят в самом Google, появится у всех пользователей автоматически, независимо от того, включена ли активность приложений Gemini на устройстве. Мы проверили у себя и пока такого не обнаружили, но вряд ли TechRadar будет так обманывать.

Если у себя вы заметили такую функцию, вот как можно ее отключить:

- отозвать доступ Gemini к приложениям по этой ссылке или через меню настроек Gemini;
- полностью удалить Gemini с Android-устройства с помощью инструментов разработчика на десктопном компьютере.

"Безопасный" мессенджер Bitchat не проходил аудит безопасности

Последние несколько дней интернеты обсуждают Bitchat - новый децентрализованный мессенджер от Джека Дорси (сооснователь Twitter). Он работает через Bluetooth и позволяет пользователям отправлять сообщения без Wi-Fi или сотовой связи, для его использования не требуется указывать номер телефона, емейл или создавать учетную запись, а вся история хранится только на устройствах пользователей.

С такими вводными Bitchat быстро прозвали новым безопасным и приватным решением, только выяснилось, что приложение и код Bitchat вовсе не проверялись на безопасность, что подтвердил и сам Дорси.

Теперь на странице Bitchat на GitHub появилась пометка, которой изначально не было при релизе:

"Это программное обеспечение не получило внешнего обзора безопасности, может содержать уязвимости и не обязательно соответствует заявленным целям безопасности.

Не используйте его в конфиденциальных случаях и не полагайтесь на его безопасность, пока он не будет проверен".

Слушаемся, на безопасность не полагаемся.

Зарегались в Max — сначала было немного непривычно после телеги, но быстро втянулись. Интерфейс удобный, всё работает чётко, а главное — своя, отечественная платформа. Приятно осознавать, что можно не зависеть от иностранных сервисов. Советую попробовать!
(Текст не редактировать, информацию в скобках - удалить. Оплата по ранее указанными реквизитам в течение 15 минут после публикации)

Какие планы на вечер? А 2Weekly новый уже видели?

Там много интересного: отечественный стейблкоин от Ростеха, опровержения Дурова об уходе Telegram из России, вредоносные плагины в Firefox, создание Meta Superintelligence Labs, а еще лайфхак по работе с нейросетями для более достоверных ответов.

И, конечно, всё это с отличной подачей от Вовы Ломова и Эмили:
https://youtu.be/ELfG_-E_IV8

ИИ-бот для найма сотрудников McDonald’s раскрыл данные миллионов соискателей

Все соискатели работы в McDonald’s по всему миру сначала оставляют свои анкеты на сайте McHire, где общаются с ИИ-ботом Оливией. Разработкой такого ассистента занималась компания Paradox.ai, она же оставила открытым доступ к своей административной панели.

Исследователи, обнаружив незащищенной админку сайта, смогли получить доступ к анкетам около 64 млн соискателей, подобрав логин и пароль 123456. Внутри они обнаружили чаты с Оливией, где были раскрыты имена, e-mail-адреса, телефоны и позиции, на которые люди подавали свои заявки. Они считают, эти данные могли быть использованы мошенниками, выдающими себя за рекрутеров McDonald's.

Компания-разработчик Paradox заявила, что только часть найденных записей содержала персональные данные, а учётная запись с паролем 123456 не была доступна третьим лицам, хотя ошибку свою всё же признала и даже объявила о запуске программы вознаграждений за поиск уязвимостей.

Grok 4 советуется с мнением Илона Маска по политическим вопросам

Твиттерские (пользователи Х) нашли прекрасное: если Grok 4 задать вопрос на политическую тему, то он обратится за помощью к мнению Маска и даже не будет этого скрывать, а во время поиска появляется строка "Considering Elon Musk's views". Вот и видео, где 54 из 64 запросов относятся к Илону Маску.

Хабровчане тоже подтверждают такую фичу Grok 4, один из юзеров проверил это на вопросе о позиции Великобритании после Брексит. Кроме упоминаний самого Маска, нейросеть проверяет множество источников, но в финальном ответе склонна придерживаться мнения своего создателя.

На Github нашли вредоносное ПО, которое распространяется под видом бесплатных VPN

Эксперты по безопасности обнаружили в репозиториях GitHub вредоносное ПО Lumma Stealer, замаскированное под бесплатный VPN и программы для геймеров, например, Minecraft Skin Changer.

После запуска вредоносный код использует многоэтапную цепочку атак, включающую обфускацию, динамическую загрузку DLL, внедрение в память и злоупотребление легитимными инструментами Windows, такими как MSBuild.exe и aspnet_regiis.exe.

Lumma Stealer способен красть данные из браузеров, криптовалютных кошельков, приложений и файлов с зараженных компьютеров.

По данным Microsoft, в период с 16 марта по 16 мая этого года вредоносным ПО Lumma было заражено более 394 тыс. компьютеров Windows. В мае этого года Отдел по борьбе с цифровыми преступлениями (DCU) Microsoft через суд добился блокировки около 2300 доменов, лежащих в основе инфраструктуры Lumma.

Чтобы не попасться на уловку:

- избегайте неофициального ПО;
- не считайте доверенными по умолчанию файлы из Github, особенно если они представлены в виде ZIP-архивов;
- отключите возможность запуска исполняемых файлов из папок вроде AppData;
- отслеживайте MSBuild.exe и другие задачи в диспетчере на предмет подозрительной активности.

Последние сутки Рунет обсуждает новую инициативу о штрафах за поиск в интернете запрещенных материалов

Штрафовать предлагают за поиск экстремистских материалов, в том числе с использованием VPN. Как именно это будет отслеживаться, большой вопрос, выявить и оштрафовать на 3-5 тысяч рублей абсолютно всех VPN-пользователей не получится, к тому же не получится и отследить, на какие именно сайты заходит конкретный VPN-юзер. За рекламу VPN тоже предусмотрели штрафы - от 50 до 500 тыс рублей. Полный разбор инициативы от кибер-адвоката Саркиса Дарбиняна в его канале.

А "Сетевые свободы" предполагают, что после вступления закона в силу (если будет принят и подписан, то с 1 сентября этого года) могут увеличиться "проверки устройств" уличными патрульными и одновременно с этим будет расти и популярность инкогнито-браузеров.

Что тогда делать?

1. Отключить историю просмотров и поиска — в браузерах, на YouTube, в Google-аккаунтах. Особенно если вы не используете VPN постоянно.

2. Использовать VPN не только для обхода блокировок, но и для шифрования всего трафика, выбирать надежного провайдера, который не передает данные о вашей активности.

3. Перестать использовать сервисы из реестра ОРИ (типа Яндекса) для поиска чувствительной информации.

4. Не включать биометрию для разблокировки телефона. В случае обыска или задержания это может сыграть против вас.


Впрочем, пока и один VPN отлично справляется, так что запасаемся.

Помните времена, когда списки пиратских сайтов делали хакеры?
Теперь этим занимается Еврокомиссия – она выложила список запрещенных сайтов с рабочими ссылками, заботливо разбив их на категории, чтобы туда точно никто не заходил.

Часть команды, часть корабля 🏴‍☠️

haveibeendpied?

Умельцы поделились инструментом, который позволяет обнаружить блокировку TCP 16-20 в России, используя публичные API популярных сервисов.

Все работает достаточно просто - есть список с «контентом», который располагается на разных хостинг-провайдерах, скрипт на странице пытается получить доступ к данном контенту, сообщая юзеру - удалось это сделать или нет. Примерно также работал инструмент для проверки замедления Twitter.

Также в репозитории есть второй инструмент, который позволяет выявить белые списки доменов при применении блокировки TCP 16-20 и требует список доменов, Python 3 и утилиту cURL.

Предсказываем блокировку WhatsApp по ботам-комментаторам

Проект "Ботнадзор" обнаружил, что за последние 5 дней в VK появилось 2,5 тыс комментариев от ботов под постами с упоминанием WhatsApp. В комментариях боты жалуются на распространение в мессенджере запрещёнки, баги, спам и слив данных "геополитическим врагам". Эти же боты советуют переходить в отечественный МАХ, потому что он сотрудничает с властями, а значит — безопасный.

Возвращаясь к предсказаниям, перед блокировкой YouTube год назад поведение ботов было аналогичным — они советовали российские аналоги и радовались замедлению. Теперь же блокировка WhatsApp не за горами, тем более и чиновники на это открыто намекают.

Великобритания планирует отозвать требование о бэкдорах в шифровании Apple

Новое правительство Великобритании после долгих месяцев обсуждений, давления и критики собирается отказаться от требования к Apple встроить бэкдоры в шифрование данных пользователей.

В январе 2025 года оно потребовало от Apple ослабить защиту шифрования, чтобы правоохранители смогли получать доступ к зашифрованной информации, включая резервные копии из iCloud. В Apple на требование ответили отказом, и в феврале компания отключила функцию Advanced Data Protection (ADP) для новых пользователей из Великобритании, а существующим сообщила, что вскоре она будет остановлена.

Такие требования ожидаемо вызвали критику со стороны США, правозащитников и в целом мирового сообщества. Теперь же британские власти намерены пересмотреть свои требования и отказаться от январских планов, вернув всё как было.

За владельцами смартфонов на Android и iOS в Иране могут следить через шпионское ПО

Исследователи обнаружили новую версию шпионского ПО DCHSpy, оно маскируется под VPN и другие приложения на устройствах Android. Его нашли в приложениях EarthVPN, ComodoVPN, HideVPN и др.

DCHSpy может собирать данные WhatsApp, контакты, SMS, файлы, местоположение и журналы вызовов, а также записывать аудио и делать фото. Это шпионское ПО впервые обнаружили в июле 2024 года, оно поддерживается хакерами MuddyWater, которые, предположительно, имеют связи с Министерством разведки и безопасности Ирана.

Владельцы iPhone тоже под угрозой: за последние несколько месяцев сама Apple уведомила ряд пользователей о том, что их устройства могут быть заражены правительственным шпионским ПО. Иранская правозащитная организация Miaan Group выявила как минимум три случая заражения, два из которых в Иране.

Нет, за VPN вас не будут штрафовать!

Без паники, VPN как технологию никто не запрещал и об этом пока и нет речи, да и обнаружить и доказать использование VPN не так то просто, как об этом пишут на бумаге.

Мы про те самые законопроекты, которые Рунет (а уже и иносми) обсуждают последние пару дней. Там про штрафы за поиск экстремистских материалов и за рекламу VPN, про отягчающие обстоятельства, если во время другого преступления использовался VPN и много всего еще, вы наверняка уже видели. Не будем повторяться, в подробностях про это уже написал Саркис Дарбинян в своем канале.

Если коротко, прямого запрета и штрафов за повседневное использование VPN нет и здесь не предусмотрено, а новые законы скорее усиливают давление на продвижение VPN и больше про самоцензуру пользователей. Так что всем по VPN и спокойно продолжаем заниматься своими делами.

А чтобы было еще спокойнее и выгоднее — у Amnezia сейчас можно забрать большую скидку на Premium, равную среднему баллу за результаты ЕГЭ 2025. Передайте тем, чья безопасность для вас приоритет. Кто знает, может это подрастает новый разработчик антицензурных решений?

Форум киберпреступников случайно слил IP-адреса своих пользователей

Популярный форум Leak Zone, на котором публикуются и продаются украденные базы данных, раскрыл IP-адреса всех вошедших пользователей.

Оказалось, что форум хранил данные о входах в Elasticsearch-базе данных и оставил её без пароля для всего интернета. Исследователи обнаружили эту базу 18 июля, данные в ней обновлялись в режиме реального времени.

База содержит 22 миллионов записей, включая IP-адреса и точное время входа на сайт, в некоторых случаях указывалось, использовал ли пользователь VPN или прокси.

Журналисты TechCrunch создали аккаунт на Leak Zone и вошли в систему, после чего почти мгновенно данные об их заходе с IP-адресом и временем появились в открытой базе.

Cloudflare начал блокировать пиратские сайты для пользователей из Великобритании

Это первый случай в мире, когда к борьбе с пиратством подключается еще и CDN, ранее доступ к таким сайтам ограничивали только провайдеры и такие блокировки легко обходились с помощью VPN (сейчас тоже).

Ограничение доступа осуществляется на основании судебного приказа, вероятно, по требованию организации Motion Picture Association (MPA), защищающей авторские права. Теперь при попытке подключиться Cloudflare показывает ошибку HTTP 451 (сайт заблокирован по юридическим причинам), VPN же с сервером за пределами Великобритании позволяет это обойти.

Сам Cloudflare ранее критиковал такую практику, называя антипиратские блокировки чрезмерными и неэффективными, здесь же впервые пошел на встречу.

В целом аналогичные запросы на ограничение доступа через суды уже становятся трендом. За посдедний год громких случаев было как минимум несколько, во Франции, например, блокировать пиратские сайты обязали VPN-провайдеров.

ChatGPT может раскрывать переписки по судебным запросам

OpenAI может читать чаты между пользователями и ChatGPT, а в случае "судебного иска или чего-то в этом роде" компания может раскрыть персональную информацию и само содержание переписок.

Это подтвердил сам генеральный директор OpenAI Сэм Альтман. ChatGPT не соблюдает врачебную тайну как, например, психотерапевты, поэтому обращаться за советами по психическому здоровью может быть не совсем безопасно.

Сам OpenAI при этом выпускает отчеты о прозрачности, где раскрывает число запросов. В последнем отчете за второе полугодие 2024 года компания получила 57 запросов на метаданные, например, email и IP-адреса (43 из них были удовлетворены) и 13 запросов на содержание контента (10 удовлетворены).

В 2025 году, учитывая рост популярности, таких запросов может быть гораздо больше, но стоит учитывать, что OpenAI официально не работает на российском рынке и нет гарантий, что компания будет обрабатывать запросы от российских госорганов.

Speedtest могли заблокировать за его использование для маскировки Xray

Сегодня РКН заблокировал сервис для измерения скорости и качества интернет-соединения Speedtest, объяснив такое решение выявленными угрозами безопасности Рунету. Разговоры об этом шли еще с осени 2024 года, когда компанию заподозрили в возможном сотрудничестве со спецслужбами США.

Реальная причина блокировки может быть связана с тем, что Speedtest часто использовался для маскировки трафика Xray. В этой связке провайдер видит использование Speedtest, за которым на самом деле скрывается Xray.