Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 31
Интересно, будет ли этот Xploit использован во благо для джейлбрейка 9.1?
Вероятно, нет. Zerodium собирает эксплоиты для продажи NSA, а не по каким-то другим причинам.
Стесняюсь спросить — а насколько это законно, и вообще как оно работает де-юре?
Вроде как Зеродиум не особо скрывается. Как-то они платили авторам…
При этом эксплоит не передается Яблокам, а ИСПОЛЬЗУЕТСЯ ДЛЯ СВОИХ ЦЕЛЕЙ И ЦЕЛЕЙ ЗАКАЗЧИКОВ.
Как это может работать? Это типа только ментам и прочим спецназерам продают? Или как?
Вроде как Зеродиум не особо скрывается. Как-то они платили авторам…
При этом эксплоит не передается Яблокам, а ИСПОЛЬЗУЕТСЯ ДЛЯ СВОИХ ЦЕЛЕЙ И ЦЕЛЕЙ ЗАКАЗЧИКОВ.
Как это может работать? Это типа только ментам и прочим спецназерам продают? Или как?
Мне вот тоже интересно, а по документам это как проходит?
Отдали миллион капусты «лицам, пожелавшим остаться неизвестными»?
Очень уж всё складно — на заказной «тендер» похоже. [/на правах теории заговора]
Отдали миллион капусты «лицам, пожелавшим остаться неизвестными»?
Очень уж всё складно — на заказной «тендер» похоже. [/на правах теории заговора]
Лица, скорее всего, себя идентифицируют и даже налоги заплатят, но общественности никто сообщать не обязан.
Во внутренних документах, по опыту Hacking Team, чьи документы утекли недавно все в порядке. Вот, пример инвойса на продажу эксплойта от некоего Vitaly Toporov.
личные данные то закрасьте хотя бы, инсайдер
Т.е. с биткоинами у нас борятся, а проводить деньги за эксплоиты можно вот так через сбербанк?
О, этот дивный новый мир, торжество «де юре» над «де факто»!
Кстати, вроде бы при переводе из другой страны на крупную сумму должен быть паспорт сделки.
О, этот дивный новый мир, торжество «де юре» над «де факто»!
Кстати, вроде бы при переводе из другой страны на крупную сумму должен быть паспорт сделки.
Биткоин угрожает банковской системе, а кому угрожают консалтинговые услуги? С которых, небось, и налоги уплачены :)
Слово «консалтинг» в описании платежа обычно привлекает внимание банковских контроллеров.
Потому что под словом «консалтинг» летает очень много левых платежей, типа откатов и т.д.
Особенно, при международных переводах.
Особенно, на крупные суммы.
Особенно, если у банка есть возможность запросить информацию по обеим сторонам перевода и окажется, что ни тот, ни другой к консалтингу не особо-то причастен.
На сколько я знаю, сбербанк вообще отличается излишним рвением в борьбе с «финансированием западом вредителей» и «финансированием терроризма».
И придерживается политики «бей своих, чтобы чужие боялись».
Поэтому такой перевод для контроллеров сбербанка должен быть, как красная тряпка для быка.
Потому что под словом «консалтинг» летает очень много левых платежей, типа откатов и т.д.
Особенно, при международных переводах.
Особенно, на крупные суммы.
Особенно, если у банка есть возможность запросить информацию по обеим сторонам перевода и окажется, что ни тот, ни другой к консалтингу не особо-то причастен.
На сколько я знаю, сбербанк вообще отличается излишним рвением в борьбе с «финансированием западом вредителей» и «финансированием терроризма».
И придерживается политики «бей своих, чтобы чужие боялись».
Поэтому такой перевод для контроллеров сбербанка должен быть, как красная тряпка для быка.
«Консалтинг» — это всего лишь «работа по контракту». Зачастую это краткосрочные контракты на какие-то услуги (программирование, исследование, тестирование, наладка, проверка и т.д.). Тут можно что угодно впихнуть в это понятие и всё будет чисто.
Консалтинг (консультирование) — деятельность по консультированию руководителей, управленцев по широкому кругу вопросов в сфере финансовой, коммерческой, юридической, технологической, технической, экспертной деятельности. Цель консалтинга — помочь системе управления (менеджменту) в достижении заявленных целей.(С) wikipedia. Это его первоначальное определение.
Просто у консалтинга, как у услуги, нет материального продукта, нельзя потребовать доказательств, что услуга была оказана, приходится верить на слово.
Поэтому «консалтинг» удобно указывать там, где не хочется париться с договорами и четкими определениями работы.
Это все понимают.
Но так же с описанием «консалтинг» можно передавать левые деньги (взятки, откаты и т.д.)
Поэтому, в банках, в куче платежей «за консалтинг» пропускают обычные, но могут обратить внимание на подозрительные.
На скрине виден платеж из за бугра «за консалтинг» без договора на крупную сумму.
Это, мягко говоря, выглядит подозрительно, поэтому я и удивился, что его пропустили.
У серьёзных граждан, оперирующих не совсем честными миллионами, на зарплате есть N юристов, которым не составит труда вместо «консалтинг» нарисовать оплату проведения исследований на какую-нибудь из недавних резонансных тем. Будь то события в Сирии, крушение A321 или затухание истерики по поводу Эболы в СМИ.
А вот у мелочи, не готовой кормить тучные стада юристов, скорее всего будет просто «консалтинг».
А вот у мелочи, не готовой кормить тучные стада юристов, скорее всего будет просто «консалтинг».
Вы так говорите, будто деньги за эксплойты это что-то плохое.
паспорт сделкиОт 50000$.
Я бы на месте этих лиц брал оплату только криптовалютой.
джейлбрэйк считается законной процедурой
за эксплоит, который (по условиям баг-баунти) должен позволять злоумышленнику удаленно устанавливать произвольное ПО на устройства под управлением iOS 9, то есть в том числе на новые iPhone 6s и iPad
Что-то у меня некоторые сомнения, что это будет использоваться для установки пиратских игрушек и веселых твиков.
Какая разница как он будет использоваться. Кухонные ножи тоже вполне универсальны и что?
То что вы выделили жирным, означает всего лишь то, что Джейл будет происходить через браузер с последующей загрузкой cydia/другого ПО
То что вы выделили жирным, означает всего лишь то, что Джейл будет происходить через браузер с последующей загрузкой cydia/другого ПО
читайте внимательнее) суть в том, что левый софт ставится вообще без какого либо согласия/ведома жертвы атаки. так что ничего общего с джейлом, где вы свой собственный девайс модифицируете
В одном из постов о zerodium читал, что продают они эти эксплоиты только правительственным организациям. Вряд ли они собираются выпускать публичный джейлбрейк.
Не совсем. Формально это нарушение DMCA. Но есть порядок, позволяющий вносить некоторые исключения в рамках концепции fair use. Эти исключения пересматриваются каждые три года. С 2009 года, благодаря лоббированию EFF, джейлбрейк телефонов с целью установки произвольного ПО является таким исключением. В этом году, буквально на днях, его снова продлили и добавили несколько новых исключений. В частности распространили fair use на джейлбрейк любых мобильных устройств с ПО, вроде планшетов и часов.
Но эти исключения распространяется только на конечного пользователя, владельца устройства. Создание и распространение инструментов для джейлбрейка является незаконным.
Но эти исключения распространяется только на конечного пользователя, владельца устройства. Создание и распространение инструментов для джейлбрейка является незаконным.
Надо посмотреть на Французскую фирму Vupen и Mitnick's Absolute Zero-Day.
На хабре было уже Кевин Митник осваивает профессию будущего
На хабре было уже Кевин Митник осваивает профессию будущего
Надо понимать что удаленный джейлбрейк сам по себе это не один эксплоит. Там по любому должна быть связка из RCE и LPE. Иногда еще нужен обход IL. Я им предлагал по почте и twitter: RCE для Safari(уязвимость в браузерном движке Webkit) без LPE, но они не ответили на мои сообщения(приношу извенения, картинку почему то не получается разместить, хз что я делаю не так):
https://habrastorage.org/files/b84/be9/533/b84be9533168422bb2bd6cbd1ab66ad3.png
Есть предположение, что это была просто PR акция с их стороны, для того чтобы привлечь внимание — компания молодая и нужно было как то превлечь внимание, вот и устроили это представление. Ожидания оправдали все надежды, новость хорошо была подхвачена журналистами и все завертелось… Даже если у них сейчас на руках имеется связка для удаленного джейлбрейка, я думаю, что она была у них на руках была намного раньше до публикации новости о покупке зеродея. Ведь это же Vupen, а там весьма головастые ребята, которые каждый год на всяких хакерских конфах загребают по несколько тысяч этих самых франклинов :)
https://habrastorage.org/files/b84/be9/533/b84be9533168422bb2bd6cbd1ab66ad3.png
Есть предположение, что это была просто PR акция с их стороны, для того чтобы привлечь внимание — компания молодая и нужно было как то превлечь внимание, вот и устроили это представление. Ожидания оправдали все надежды, новость хорошо была подхвачена журналистами и все завертелось… Даже если у них сейчас на руках имеется связка для удаленного джейлбрейка, я думаю, что она была у них на руках была намного раньше до публикации новости о покупке зеродея. Ведь это же Vupen, а там весьма головастые ребята, которые каждый год на всяких хакерских конфах загребают по несколько тысяч этих самых франклинов :)
Бегло смотрел их сайт, и там было сказано что они общаются ТОЛЬКО по почте с PGP.
Чисто теоретически может быть, что это у них вместо капчи используется)
Ну или просто корпоративное занудство. У меня партнеры украинская фирма с 100% владением швейцарцами. Одноименное с родительским юрлицо в Украине. Работаем внутри страны, за национальную валюту, работаем с ними не первый год.
У компании внешнеэкомномическая деятельность только с родительской компанией и всё такое. Но нет, все документы на двух языках, все суммы с указанием валюты и курса 1 к 1. Прислал им многотомный договор который по ошибке не везде подписал — конечно они вернули мне оба экземпляра. Конечно не подписанными. ОНИ ПОДПИСЫВАЮТ ПОСЛЕДНИМИ и плевать что это будет лишняя почтовая пересылка нашего экземпляра обратно. Передать документы с грузом? Не не слышали. А вдруг перевозчик потеряет накладную и счет? У перевозчика только ТТН а всё остальное почтой или курьером… Но в целом они нормальные ребята, и если привыкнуть к их занудству, то никаких проблем. Хотя бюрократия уже чем в гос.органах (я работал и в государстве, и с государством, я знаю с чем сравнивать))
В общем может реально вопрос был со способом связи?
Чисто теоретически может быть, что это у них вместо капчи используется)
Ну или просто корпоративное занудство. У меня партнеры украинская фирма с 100% владением швейцарцами. Одноименное с родительским юрлицо в Украине. Работаем внутри страны, за национальную валюту, работаем с ними не первый год.
У компании внешнеэкомномическая деятельность только с родительской компанией и всё такое. Но нет, все документы на двух языках, все суммы с указанием валюты и курса 1 к 1. Прислал им многотомный договор который по ошибке не везде подписал — конечно они вернули мне оба экземпляра. Конечно не подписанными. ОНИ ПОДПИСЫВАЮТ ПОСЛЕДНИМИ и плевать что это будет лишняя почтовая пересылка нашего экземпляра обратно. Передать документы с грузом? Не не слышали. А вдруг перевозчик потеряет накладную и счет? У перевозчика только ТТН а всё остальное почтой или курьером… Но в целом они нормальные ребята, и если привыкнуть к их занудству, то никаких проблем. Хотя бюрократия уже чем в гос.органах (я работал и в государстве, и с государством, я знаю с чем сравнивать))
В общем может реально вопрос был со способом связи?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Эксплоит на миллион. У нас есть победитель