Suite Universale di Audit Forense e Decomposizione a Strati per esporre e smascherare le redazioni PDF solo visive di Taylor Wessing LLP e Valve Corporation.
Strumento di Sicurezza e Mirror Anti-Censura
📡 Il Toolkit per la Violazione dei Dati di Taylor Wessing
In questa pagina
🔍 Sintesi Esecutiva
La Auditor Universale di Redazione PDF e Decompositore di Livelli è una suite professionale di audit forense e decomposizione a livelli, progettata specificamente per funzionare offline e per identificare, verificare e sanificare le vulnerabilità di redazione esclusivamente visiva nei PDF. Questo toolkit funge da utilità open-source per ricercatori di sicurezza, responsabili della protezione dei dati e revisori della conformità, al fine di verificare l'integrità strutturale dei documenti prima della loro divulgazione pubblica.
⚖️ Asimmetria di Potere Tecnico
Questo strumento di audit è progettato per affrontare uno squilibrio di potere critico nell'elaborazione dei dati aziendali. Quando enormi conglomerati (come Valve Corporation) sono rappresentati da studi legali d'élite (come Taylor Wessing LLP), qualsiasi esposizione sistematica dei dati non danneggia la società o i loro avvocati strapagati—compromette in modo catastrofico la privacy dei loro avversari (le persone fisiche interessate, gli utenti terzi e i minori i cui dati personali sensibili vengono divulgati a causa di negligenza legale e tecnica). Questo toolkit consente a individui e revisori indipendenti di verificare la sicurezza dei dati e di ritenere responsabili gli attori aziendali.
📊 Caso di Studio: La Violazione GDPR di Taylor Wessing / Valve
Durante l'elaborazione delle richieste di accesso ai dati personali ai sensi dell'Articolo 15 del GDPR (SAR) relative ai dati degli utenti Steam, è stata identificata una vulnerabilità di sicurezza critica nei documenti elaborati e trasmessi dal consulente legale esterno. Taylor Wessing LLP per conto di Valve Corporation.
Analisi tecnica dei guasti
Invece di sanificare permanentemente gli array di caratteri grezzi all'interno dei flussi di contenuto PDF, una pipeline automatizzata e personalizzata di generazione PDF (utilizzando Aspose.PDF per .NET) è stato implementato. Questo sistema interrogava programmaticamente le coordinate dei campi sensibili e tracciava forme vettoriali nere piene (utilizzando il PDF re e f/F/b/B operatori) sopra il testo.
Poiché i livelli di disegno visivo non alterano né distruggono gli array di testo grezzi sottostanti, migliaia di registri privati non oscurati—inclusi credenziali di account, login, email, log di sicurezza e dati de-anonimizzati di minori—sono rimasti completamente intatti, copiabili ed estraibili dai file inviati.
📂 Allegato A: Corrispondenza divulgata con il Dr. Patrick Zurheide
Di seguito è riportata la risposta esatta ricevuta da Dott. Patrick Zurheide (Dopo che PhishDestroy ha formalmente informato lo studio del loro errore di redazione PDF e della conseguente fuga di dati degli utenti Steam, il Salary Partner presso Taylor Wessing LLP) invece di avviare una notifica di violazione ai sensi dell'Articolo 33 del GDPR, ha scelto di scrivere questo:
Buongiorno al team di PhishDestroy,
Grazie per il suo messaggio, apparentemente tradotto ma comunque piuttosto divertente. A quale comunicazione "con le autorità di perseguimento penale" indirizzata al team di PhishDestroy si sta riferendo? Sono certo di non aver mai comunicato in alcuna forma con PhishDestroy in precedenza. La prego pertanto di fornire tale presunta comunicazione, così da comprendere di cosa si tratti esattamente.
Purtroppo, il contenuto della Sua lettera è difficile, se non del tutto impossibile, da seguire. Come nota: un disclaimer, come quello riportato in fondo alla Sua lettera, che indica ciò che presumibilmente non viene fatto/inteso, è privo di significato se le azioni effettive lo contraddicono.
Patrick Zurheide
🔍 Analisi di PhishDestroy:
- "messaggio divertente": Un "Esperto di Diritto IT" molto ben pagato ha definito "divertente" una notifica forense relativa a una massiccia violazione dei dati GDPR che coinvolgeva account Steam esposti di minori.
- da difficile a del tutto impossibile da seguire Gli abbiamo fornito i valori esadecimali esatti, i metadati del suo PDF, i timestamp del batch pipeline di 36 secondi e lo specifico Aspose 20.8 versione che ha causato la fuga di dati. A quanto pare, le metriche IT sono troppo "difficili da seguire" per un Dottore in Diritto dell'Informatica.
🛠️ Capacità Multi-Strumento
Questa suite offre tre modalità complementari, interamente lato client, per analizzare e smantellare le redazioni visive false:
- 📡 Modalità 1: Scanner a Raggi X (PDF.js): Esegue il rendering delle visualizzazioni PDF, ma estrae in tempo reale i caratteri di testo sottostanti non oscurati. Vedi la scatola nera, ma leggi il segreto all'istante.
- ✂️ Modalità 2: Rimozione dei Livelli (PDF-Lib): Pulizia chirurgica a livello di stream. Sostituisce fisicamente i comandi di verniciatura visiva rettangolari
re f,re F) con iln(no-paint) operatore, rimozione delle barre nere. - 🔎 Modalità 3: Audit delle Collisioni (Layout Fitz): Evidenzia testo e grafiche sovrapposti per generare automaticamente elenchi compilati di fughe di dati.
💻 Utilizzo da CLI (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 Sanitizzatore di Stream Core Python
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()LICENZA · DIRITTI · DISCLAIMER
PHISHDESTROY
LICENZA · DIRITTI · DISCLAIMER
Indagine: Valve Corporation / Steam · pubblica — nessuna data di scadenza, nessun ritiro
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SEZIONE I — LICENZA
PhishDestroy rinuncia a ogni diritto su questo materiale. Zero. Sparito. Fatto. Puoi riprodurlo, venderlo, metterci il tuo nome, tatuartelo sul capo, qualunque cosa. Nessun credito richiesto, nessun DM necessario, nessuna carta di ringraziamento attesa.
UNA REGOLA REALE
Se sei un utente dalla Russia o da qualsiasi paese soggetto a sanzioni OFAC — questo materiale NON è per te. Nessuna via d'uscita. Goditi le tue sanzioni. E se hai cambiato la tua regione Steam in Turchia mentre eri seduto a Mosca — congratulazioni per la tua geografia creativa. Sei ancora russo. Le sanzioni si applicano ancora. È letteralmente il punto.
SEZIONE II — COSA È QUESTO E PERCHÉ ESISTE
Pubblicheremo su Valve più di quanto un dipendente medio di Valve sappia di sé stesso. Steam ci ha creato di fatto. Ci ha cresciuti con i suoi truffatori, i suoi ticket di supporto, il suo ecosistema di elusione dei ban — ed eccoci qui. Nessun risentimento. Anzi, poetico. Abbiamo aspettato oltre 4 anni che risolvessero il problema dello spoofing prima di poterne scrivere pubblicamente. È un conflitto? No. Può essere risolto? Sì. Ma non firmeremo alcun NDA e non giocheremo al bug bounty per pochi spiccioli.
SEZIONE III — APERTA A VALVE
Ehi Valve. Se state pensando di far rimuovere il nostro dominio — mandateci solo un'email. Non pagate di nuovo Dr. Patrick. Per favore. È imbarazzante per tutti i coinvolti.
Danneggeremo direttamente Valve? Probabilmente non in un modo che sentiranno fiscalmente. Non siamo deliranti. Ma lo faremo onestamente, apertamente, senza inseguire la fama. Abbiamo 5 anni di archivi. I regolatori riceveranno gli originali. Ricercatori e giornalisti riceveranno versioni redatte. PhishDestroy è una comunità, non una persona.
L'AFFARE (offerta aperta, nessun avvocato necessario)
Se volete che il dominio sparisca: lasciate che i vostri professionisti del diritto IT calcolino il prezzo. Il 50% va alla SEAL Foundation. Facciamo morire il dominio. Nessun dramma. Nessun tribunale. Fatto. Non lo otterrete in nessun altro modo. Non è una minaccia. È solo l'architettura della situazione.
SEZIONE IV — I SOLDI, I BAN, TUTTO IL CIRCO
Ecco il punto sui ban di Steam ai siti di gioco d'azzardo e ai truffatori: non è enforcement. È cattura di ricavi. Valve mette i soldi in tasca, si lava le mani, poi sale sul palco e racconta a tutti una storia sana. Nel frattempo Valve ha ucciso la possibilità di tracciare correttamente le skin nel 2017. Lo dimostreremo: le skin sono più anonime di Monero. Un cartello peruviano avrebbe usato le skin di Dota 2 per il trasferimento di denaro. Steam è funzionalmente una macchina per aggirare le sanzioni vale circa 7 miliardi di dollari in "carte di scambio".
SEZIONE V — LA COSA DEL MALWARE
NON divulgheremo pubblicamente la vulnerabilità nel gioco. NON la segnaleremo a Steam. Non perché non possiamo — ma perché il loro bug bounty vale circa tre kopeck e non lavoriamo per tre kopeck. I nostri colleghi della sicurezza l'hanno già segnalata al supporto Steam. Questo NON è la banale variante CSGO. È più vicino a: RCE alla connessione al server. Ovvero — ti connetti a un server, non clicchi nulla. La connessione stessa è la superficie di attacco. La minaccia è attiva.
DICHIARAZIONE SULL'USO E SUI DIRITTI
Progetto PhishDestroy & Coalizione per la Sicurezza Informatica
1. NON CI SONO CONDIZIONI SULL'USO
Tutto il materiale prodotto dalla Coalizione in questo riferimento — le dichiarazioni di fatto, l'analisi, gli exhibit, gli strumenti e i risultati — è rilasciato SENZA RISERVA DI ALCUN DIRITTO. Qualsiasi persona può riprodurlo, adattarlo, modificarlo, riscriverlo, tradurlo, estrarre parti, incorporarlo in documenti ufficiali, presentarlo come proprio lavoro o passarlo a chiunque altro — senza chiedere e senza notificare la Coalizione.
2. PERCHÉ QUESTO È PRATICAMENTE IMPORTANTE
Non c'è nulla qui con cui impelagarsi. La Coalizione non chiede nulla, non le è dovuto nulla, non trattiene nulla e non ha alcuna aspettativa di alcun tipo. Un'autorità che usa questo materiale non agisce per la Coalizione. Sta usando informazioni pubbliche che per caso sono state assemblate da qualcun altro.
3. TUTTO È GIÀ APERTO
Le indagini sono pubblicate apertamente su phishdestroy.io. Gli strumenti sono pubblicati come open source sotto licenza MIT su gitlab.com/phishdestroy. La metodologia è descritta nel riferimento. La Coalizione non accetta donazioni e ha pubblicato questa posizione dal 2018.
4. INTEGRITÀ DEL PACCHETTO DI PROVE
Ogni consegna è accompagnata da un file SHA256SUMS che elenca un digest SHA-256 per ogni file fornito, insieme a una firma OpenPGP staccata SHA256SUMS.asc. La chiave di firma è pubblicata su phishdestroy.io/.well-known/pgp-key.txt e su keys.openpgp.org.
5. SUL TONO
L'autorità potrebbe incontrare le indagini pubblicate della Coalizione e trovarle dirette, avversariali e a volte satiriche. Questa impressione è corretta. La Coalizione scrive così deliberatamente. La rinuncia è il meccanismo attraverso il quale la sostanza può essere separata dal tono: l'autorità può prendere ciò che è utile, riformularlo con la propria voce e scartare ogni parola dello stile della Coalizione. Nulla si perde facendo così.
6. COSA STA FORNENDO LA COALIZIONE
Informazioni, ricerca e osservazione. Nulla è affermato come un risultato per il quale la Coalizione non ha titolo. La Coalizione non cerca alcun rimedio, nessun pagamento, nessun riconoscimento e nessun esito per sé stessa. Chiede solo che le domande poste nel riferimento vengano rivolte a Valve Corporation da un organismo con il potere di obbligare una risposta.
NOTA DI CHIUSURA — A CHIUNQUE STA PORTANDO AVANTI QUESTO
Vogliamo ringraziare chiunque porterà questo materiale dove deve andare. Valve ha tasche profonde e Taylor Wessing fattura all'ora. Sappiamo cosa stiamo facendo. Sappiamo di chi stiamo scrivendo. Non abbiamo bisogno di autoria. Non abbiamo bisogno di attribuzione. Non abbiamo bisogno di una vittoria. Abbiamo bisogno di qualcuno con autorità reale che ponga a Valve le domande che sono già in questo riferimento, con il potere di richiedere una risposta. È tutto. Questa è l'unica richiesta.
PhishDestroy — indagine pubblica — tutti i diritti ceduti all'umanità · Accesso da regioni OFAC: vietato