Uniwersalny Zestaw do Audytu Forensicznego i Dekompozycji Warstw w celu ujawnienia i demaskowania wyłącznie wizualnych redagacji w plikach PDF wykonanych przez Taylor Wessing LLP oraz Valve Corporation.
Lustro antycenzurowe i narzędzie bezpieczeństwa
📡 Zestaw narzędzi do zarządzania wyciekami danych Taylor Wessing
Na tej stronie
🔍 Streszczenie dla kadry zarządzającej
Ten Uniwersalny audytor redagowania PDF i dekompozytor warstw jest profesjonalnym, działającym w trybie offline zestawem narzędzi do audytu forensicznego i dekompozycji warstw, zaprojektowanym specjalnie do identyfikacji, weryfikacji i neutralizacji luk bezpieczeństwa w redagowaniu wyłącznie wizualnym w plikach PDF. Ten zestaw narzędzi stanowi otwartoźródłowe narzędzie dla badaczy bezpieczeństwa, inspektorów ochrony danych oraz audytorów zgodności, umożliwiające weryfikację spójności strukturalnej dokumentów przed ich publicznym udostępnieniem.
⚖️ Asymetria mocy technicznej
Narzędzie audytowe zostało stworzone, aby rozwiązać krytyczną nierównowagę władzy w przetwarzaniu danych korporacyjnych. Gdy ogromne konglomeraty (takie Valve Corporation) są reprezentowane przez elitarne kancelarie prawne (takie jak Taylor Wessing LLP), żadna systematyczna ekspozycja danych nie szkodzi korporacji ani jej drożnym prawnikom – katastrofalnie narusza prywatność ich przeciwnicy (indywidualni podmioty danych, użytkownicy trzeciej strony oraz nieletni, których wrażliwe dane osobowe zostały ujawnione w wyniku zaniedbań prawnych i technicznych). Ten zestaw narzędzi umożliwia osobom fizycznym oraz niezależnym audytorom weryfikację bezpieczeństwa danych i pociąganie podmiotów korporacyjnych do odpowiedzialności.
📊 Studium przypadku: Wyciek danych Taylor Wessing / Valve w kontekście RODO
W trakcie przetwarzania wniosków o dostęp do danych (SAR) na podstawie art. 15 RODO dotyczących danych użytkowników Steam zidentyfikowano krytyczną podatność bezpieczeństwa w dokumentach przetwarzanych i wysyłanych przez zewnętrzną kancelarię prawną. Taylor Wessing LLP w imieniu Valve Corporation.
Analiza awarii technicznych
Zamiast trwałego oczyszczania surowych tablic znaków w strumieniach treści PDF, automatyczny, niestandardowy proces generowania plików PDF (wykorzystujący Aspose.PDF dla .NET) została wdrożona. System ten programowo pobierał współrzędne wrażliwych pól i rysował jednolite czarne kształty wektorowe (z wykorzystaniem plików PDF re i f/F/b/B operatorów) na górze tekstu.
Ponieważ warstwy wizualne rysunku nie modyfikują ani nie niszczą surowych tablic tekstu znajdujących się pod spodem, tysiące nieocenzurowanych, prywatnych rekordów – w tym dane logowania, hasła, adresy e-mail, dzienniki bezpieczeństwa oraz zanonimizowane dane nieletnich – pozostały w pełni nienaruszone, skopiowalne i możliwe do wyekstrahowania z przesłanych plików.
📂 Załącznik A: Wyciekła korespondencja z dr. Patrickiem Zurheide
Poniżej znajduje się dokładna odpowiedź otrzymana z dr Patrick Zurheide (Partner zarabiający na wynagrodzeniu w firmie Taylor Wessing LLP) po tym, jak PhishDestroy formalnie powiadomił firmę o nieprawidłowościach w procesie redagowania plików PDF i wynikającym z nich wycieku danych użytkowników Steam. Zamiast zainicjować zgłoszenie naruszenia zgodnie z art. 33 RODO, postanowił napisać to:
Dzień dobry, zespół PhishDestroy,
Dziękuję za wiadomość, która choć wydaje się przetłumaczona, jest dość zabawna. Na jaką komunikację „z postępowaniem karnym” z zespołem PhishDestroy się Pan/Pani odwołuje? Jestem pewien, że nigdy wcześniej nie prowadziłem żadnych form komunikacji z PhishDestroy. Proszę więc przedstawić tę rzekomą komunikację, aby zrozumieć, o co właściwie chodzi.
Treści Państwa pisma są niestety trudne do zrozumienia, a w niektórych miejscach wręcz niezrozumiałe. Jako wskazówka: klauzula zastrzeżeń, taka jak ta na dole Państwa pisma, dotycząca rzekomo niewykonywanych lub nieplanowanych działań, jest bez znaczenia, jeśli faktyczne działania stoją w sprzeczności z jej treścią.
Patrick Zurheide
🔍 Analiza PhishDestroy:
- „rozrywkowa wiadomość”: Wysoko opłacany „ekspert ds. prawa IT” nazwał powiadomienie forensyczne dotyczące masowego wycieku danych objętych RODO, ujawniającego konta Steam nieletnich, „rozrywkowym”.
- „trudne do podążania, a nawet niemożliwe do śledzenia” Przekazaliśmy mu dokładne wartości szesnastkowe, metadane jego pliku PDF, znaczniki czasu 36-sekundowej partii potoku przetwarzania oraz konkretny Aspose 20.8 wersja odpowiedzialna za wyciek. Wyraźnie metryki IT są zbyt „trudne do śledzenia” dla doktora prawa informatycznego.
🛠️ Funkcje wielozadaniowe
Ten zestaw oferuje trzy uzupełniające się, w pełni klienckie tryby do analizy i demontażu fałszywych wizualnych cenzur:
- 📡 Tryb 1: Skaner X-Ray (PDF.js): Wyświetla wizualne reprezentacje dokumentów PDF, jednocześnie pobierając w czasie rzeczywistym oryginalne, nieocenzurowane znaki tekstowe. Widzisz czarne pole, ale natychmiast odczytujesz ukrytą treść.
- ✂️ Tryb 2: Warstwowy Stripper (PDF-Lib): Chirurgiczna sterylizacja na poziomie strumienia. Fizycznie zastępuje prostokątne komendy malowania wizualnego (
re f,re F) znoperator (no-paint), usuwający czarne paski. - 🔎 Tryb 3: Audyt kolizji (układ Fitz): Podświetla nakładające się teksty i grafiki, aby automatycznie generować skompilowane listy wycieków.
💻 Użycie wiersza poleceń (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 Główny moduł czyszczący strumienie Python
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()LICENCJA · PRAWA · ZASTRZEŻENIE
PHISHDESTROY
LICENCJA · PRAWA · ZASTRZEŻENIE
Śledztwo: Valve Corporation / Steam · publiczna — bezterminowa, bez możliwości wycofania
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SEKCJA I — LICENCJA
PhishDestroy rezygnuje z wszelkich praw do tego materiału. Zero. Koniec. Zrobione. Możesz go powielać, sprzedawać, podpisywać swoim nazwiskiem, wytatuować swojemu szefowi, cokolwiek chcesz. Nie wymagamy podania źródła, nie potrzebujemy wiadomości, nie oczekujemy kartki z podziękowaniem.
JEDNA RZECZYWISTA ZASADA
Jeśli jesteś użytkownikiem z Rosji lub z kraju objętego sankcjami OFAC — ten materiał NIE jest dla Ciebie. Bez luk prawnych. Ciesz się swoimi sankcjami. A jeśli zmieniłeś region Steam na Turcję, siedząc w Moskwie — gratulacje za kreatywną geografię. Nadal jesteś Rosjaninem. Sankcje nadal obowiązują. To jest właśnie sedno sprawy.
SEKCJA II — CZYM TO JEST I DLACZEGO ISTNIEJE
Opublikujemy więcej o Valve, niż przeciętny pracownik Valve wie o sobie samym. Steam w zasadzie nas stworzył. Wychował nas na swoich oszustach, zgłoszeniach do pomocy technicznej, ekosystemie omijania banów — i oto jesteśmy. Bez urazy. Poetycko, właściwie. Czekaliśmy ponad 4 lata, aż naprawią problem z podszywaniem się, zanim mogliśmy o tym napisać publicznie. Czy to konflikt? Nie. Czy można go rozwiązać? Tak. Ale nie podpiszemy żadnej umowy o zachowaniu poufności (NDA) i nie będziemy grać w programy bug bounty za grosze.
SEKCJA III — OTWARTY LIST DO VALVE
Hej Valve. Jeśli myślicie o usunięciu naszego domeny — po prostu napiszcie do nas mailem. Nie płacicie już Dr. Patrickowi. Proszę. To wstydliwe dla wszystkich zaangażowanych.
Czy „uszkodzimy” Valve bezpośrednio? Prawdopodobnie nie w sposób, który odczują finansowo. Nie jesteśmy urojeni. Ale zrobimy to uczciwie, otwarcie, bez pogoni za sławą. Mamy 5 lat archiwów. Regulatorzy otrzymają oryginały. Badacze i dziennikarze otrzymają wersje z redagacjami. PhishDestroy to społeczność, nie osoba.
UMOWA (otwarta oferta, bez prawników)
Jeśli chcecie, żeby domena zniknęła: pozwólcie swoim specjalistom od prawa IT wyliczyć cenę. 50% trafi do SEAL Foundation. Zabijamy domenę. Bez dramatu. Bez sądu. Koniec. Nie dostaniecie tego w żaden inny sposób. To nie jest groźba. To po prostu architektura sytuacji.
SEKCJA IV — PIENIĄDZE, BANY, CAŁY CYRK
Oto rzecz z banowaniem przez Steam stron hazardowych i oszustów: to nie jest egzekwowanie prawa. To przechwytywanie przychodów. Valve kieszkuje pieniądze, myje ręce, a potem wychodzi na scenę i opowiada wszystkim piękną historię. Tymczasem Valve zabiło możliwość prawidłowego śledzenia skórek w 2017 roku. Udowodnimy to: Skórki są bardziej anonimowe niż Monero. Peruwiański kartel rzekomo używał skórek z Dota 2 do przemieszczania pieniędzy. Steam to funkcjonalnie maszyna do omijania sankcji warta ~7 mld USD w „kartach do handlu”.
SEKCJA V — SPRAWA ZŁEGO OPROGRAMOWANIA
NIE ujawniamy publicznie podatności w grze. NIE zgłaszamy jej do Steam. Nie dlatego, że nie możemy — ale dlatego, że ich program bug bounty jest wart około trzech kopiejek, a my nie pracujemy za trzy kopiejki. Nasi koledzy z branży bezpieczeństwa już zgłosili to do pomocy technicznej Steam. To NIE jest trywialna wariacja CSGO. To jest bliższe: RCE przy połączeniu z serwerem. To znaczy — dołączasz do serwera, nie klikasz niczego. Samo połączenie jest powierzchnią ataku. Zagrożenie jest aktywne.
OŚWIADCZENIE DOTYCZĄCE ZASTOSOWANIA I PRAW
Projekt PhishDestroy & Koalicja Cyberbezpieczeństwa
1. BRAK WARUNKÓW ZASTOSOWANIA
Cały materiał wytworzony przez Koalicję w ramach tego odwołania — stwierdzenia faktów, analiza, materiały dowodowe, narzędzia i ustalenia — jest udostępniany BEZ ZASTRZEŻENIA ŻADNYCH PRAW. Każdy może go powielać, adaptować, edytować, przepisywać, tłumaczyć, cytować, włączać do dokumentów urzędowych, przedstawiać jako własną pracę lub przekazywać dalej — bez pytania i bez powiadamiania Koalicji.
2. DLACZEGO TO MA ZNACZENIE W PRAKTYCE
Nie ma tu niczego, z czym można się splątać. Koalicja nie prosi o nic, nie jest jej nic winne, nie zachowuje niczego i nie ma żadnych oczekiwań. Władza korzystająca z tego materiału nie działa w imieniu Koalicji. Korzysta z informacji publicznych, które przypadkiem zostały zebrane przez kogoś innego.
3. WSZYSTKO JUŻ JEST OTWARTE
Śledztwa są publikowane otwarcie na phishdestroy.io. Narzędzia są publikowane jako open source na licencji MIT na gitlab.com/phishdestroy. Metodologia jest opisana w odwołaniu. Koalicja nie przyjmuje darowizn i publikuje tę pozycję od 2018 roku.
4. CAŁOŚĆ ZBIORU DOWODÓW
Każda dostawa jest towarzysząca plikiem SHA256SUMS zawierającym sumę kontrolną SHA-256 dla każdego dostarczonego pliku, wraz z oderwanym podpisem OpenPGP SHA256SUMS.asc. Klucz podpisujący jest publikowany na phishdestroy.io/.well-known/pgp-key.txt oraz na keys.openpgp.org.
5. O STYLU
Władza może spotkać się z opublikowanymi śledztwami Koalicji i uznać je za bezkompromisowe, konfrontacyjne, a czasem satyryczne. To wrażenie jest poprawne. Koalicja pisze w ten sposób celowo. Zrzeczenie się praw jest mechanizmem, dzięki któremu treść można oddzielić od stylu: władza może przejąć to, co użyteczne, sformułować to własnymi słowami i odrzucić każde słowo stylu Koalicji. Nic nie jest tracone dzięki takiemu postępowaniu.
6. CO KOALICJA DOSTARCZA
Informacje, badania i obserwacje. Nic nie jest przedstawiane jako ustalenie, do którego Koalicja nie ma kompetencji. Koalicja nie szuka naprawienia szkody, zapłaty, uznania ani rezultatu dla siebie. Prosi jedynie, aby pytania zawarte w odwołaniu zostały zadane Valve Corporation przez ciało posiadające władzę do wymuszenia odpowiedzi.
NOTATKA ZAKOŃCZENIOWA — DO TEGO, KTO PRZENOSI TO DALSZE
Chcielibyśmy podziękować temu, kto dostarczy ten materiał tam, gdzie jest potrzebny. Valve ma głębokie kieszenie, a Taylor Wessing rozlicza się za godzinę. Wiemy, co robimy. Wiemy, o kim piszemy. Nie potrzebujemy autorstwa. Nie potrzebujemy przypisania. Nie potrzebujemy wygranej. Potrzebujemy kogoś z rzeczywistą władzą, kto zada Valve pytania, które już znajdują się w tym odwołaniu, z mocą wymuszenia odpowiedzi. To wszystko. To jest cała prośba.
PhishDestroy — publiczne śledztwo — wszystkie prawa przekazane ludzkości · Dostęp z regionu OFAC: zabroniony