Curious Varvara

Honeslty Not A Russian Hacker

[Curious Varvara @curvarya]

@kvestliberty @navalny Культ личности во всей красе.

[Curious Varvara @curvarya]

@nteuxinus В голос

[Curious Varvara @curvarya]

@unkn0wnerror Сгенерил два QR кода. Первые 4 цифры одинаковые.

[Curious Varvara @curvarya]

@nteuxinus @unkn0wnerror Дорками в дальнейшем не получится?

[Curious Varvara @curvarya]

@nteuxinus @unkn0wnerror Круто! Благодарю за разбор)

[Curious Varvara @curvarya]

@nteuxinus @itaysonlab @unkn0wnerror Кажется, что-то интересное. Эндпоинты видно и методы :))

app/src/main/java/e/a/a/g/a/f/EpguAuthApiService.java
app/src/main/java/e/a/a/g/a/f/EpguDevApiService.java

[Curious Varvara @curvarya]

@nteuxinus @itaysonlab @unkn0wnerror Дальше - больше. https://t.co/3F8wGvB21h в той же директории.

Снилс, паспорт, инн, водительское, иностранный паспорт, военник, биометрия и так далее. В пост не влазит. Собираю док на криптпаде.

[Curious Varvara @curvarya]

@itaysonlab @nteuxinus @unkn0wnerror public enum PersonalInfoByQrCodeResponse0 {
4 RF_PASSPORT,
5 INN,
6 SNILS,
7 AGE_CONFIRMATION
8 }

java/ru/covid19/core/data/network/model/PersonalInfoByQrCodeResponse0.java

[Curious Varvara @curvarya]

@nteuxinus @itaysonlab @unkn0wnerror @stfbee Изучаю джава in the wild %)

[Curious Varvara @curvarya]

@nteuxinus @unkn0wnerror @itaysonlab @stfbee Вот это используется, насколько я понимаю
https://t.co/nuuGHdzaTw

Какой-то фреймворк

[Curious Varvara @curvarya]

@itaysonlab @nteuxinus @unkn0wnerror src/main/META-INF/CERT.RSA
Ростелеком? RSA?

[Curious Varvara @curvarya]

@itaysonlab @unkn0wnerror @nteuxinus android.permission.ACCESS_NETWORK_STATE
android.permission.BIND_JOB_SERVICE
android.permission.INSTALL_PACKAGES
android.permission.INTERNET
android.permission.VIBRATE
android.permission.WAKE_LOCK

Я правильно понимаю, что INSTALL_PACKAGES - это бекдор?)

[Curious Varvara @curvarya]

@ndsvbdwip @unkn0wnerror Вновь пароли в открытом виде. LDAP
https://t.co/WEtYoxl60a

[Curious Varvara @curvarya]

@ndsvbdwip @unkn0wnerror https://t.co/oPSW9sZ6Iv

[Curious Varvara @curvarya]

@unkn0wnerror Только сейчас понял, что это валидное название директории.

arcgis + js + api

[Curious Varvara @curvarya]

@unkn0wnerror Красиво обфусцируют :)
window.djConfig = {
baseUrl: location.protocol+'//apiatlas.mos.ru/arcgisjsapi/dojo/dojo/',

https://t.co/7urxjINElN

[Curious Varvara @curvarya]

@ndsvbdwip @unkn0wnerror https://t.co/JUXY1gCsQM

[Curious Varvara @curvarya]

@ndsvbdwip @StreefON @unkn0wnerror @Author

[Curious Varvara @curvarya]

@ndsvbdwip @unkn0wnerror Карту бы составить

[Curious Varvara @curvarya]

@ndsvbdwip @unkn0wnerror mos:mos :))

[Curious Varvara @curvarya]

@eegdude @purrfessor_dev @unkn0wnerror Да, к примеру, веб серверы блочат все подключения на файлы, который начинаются на .ht*
.htpasswd хранит пароли к basic авторизации