Suíte Universal de Auditoria Forense e Decomposição em Camadas para expor e desmascarar redações visuais apenas em PDFs pela Taylor Wessing LLP e Valve Corporation.
Ferramenta de Segurança e Espelho Anti-Censura
📡 O Kit de Ferramentas do Vazamento de Dados da Taylor Wessing
Nesta página
🔍 Resumo Executivo
A Auditor Universal de Redação de PDF e Decompositor de Camadas é um conjunto profissional de auditoria forense e decomposição de camadas, projetado especificamente para operar offline e identificar, verificar e sanear vulnerabilidades de redação visual em PDFs. Esta ferramenta serve como um utilitário de código aberto para pesquisadores de segurança, encarregados de proteção de dados e auditores de conformidade verificarem a integridade estrutural de documentos antes de sua divulgação pública.
⚖️ Assimetria Técnica de Poder
Esta ferramenta de auditoria foi desenvolvida para lidar com um desequilíbrio crítico de poder no processamento de dados corporativos. Quando conglomerados massivos (como Valve Corporation) são representados por escritórios de advocacia de elite (como Taylor Wessing LLP), qualquer exposição sistemática de dados não prejudica a corporação ou seus advogados bem pagos—ela compromete catastroficamente a privacidade de seus adversários (os titulares de dados individuais, usuários terceiros e menores cujos dados pessoais sensíveis são vazados devido a negligência legal e técnica). Este kit de ferramentas capacita indivíduos e auditores independentes a verificar a segurança dos dados e responsabilizar os atores corporativos.
📊 Estudo de Caso: O Vazamento de GDPR da Taylor Wessing / Valve
Durante o processamento de Solicitações de Acesso do Titular (SARs) nos termos do Artigo 15 do GDPR, referentes a dados de usuários da Steam, foi identificada uma vulnerabilidade crítica de segurança nos documentos processados e enviados pelo consultor jurídico externo. Taylor Wessing LLP em nome de Valve Corporation.
Análise Técnica de Falhas
Em vez de higienizar permanentemente os arrays de caracteres brutos dentro dos fluxos de conteúdo do PDF, um pipeline automatizado e personalizado de geração de PDF (utilizando Aspose.PDF para .NET) foi implantado. Este sistema consultou programaticamente as coordenadas de campos sensíveis e desenhou formas vetoriais pretas sólidas (usando PDFs) re e f/F/b/B operadores) sobre o texto.
Como as camadas de desenho visual não alteram nem destroem os arrays de texto bruto subjacentes, milhares de registros privados não editados—incluindo credenciais de conta, logins, e-mails, logs de segurança e dados desanonimizados de menores—permaneceram totalmente intactos, copiáveis e extraíveis dos arquivos enviados.
📂 Anexo A: Correspondência Vazada com o Dr. Patrick Zurheide
Abaixo está a resposta exata recebida de Dr. Patrick Zurheide (Sócio Remunerado na Taylor Wessing LLP) após a PhishDestroy notificar formalmente o escritório sobre a falha na redação de PDFs e o subsequente vazamento de dados dos usuários da Steam. Em vez de iniciar uma notificação de violação de dados nos termos do Artigo 33 do GDPR, ele optou por escrever isto:
Olá, equipe PhishDestroy,
Obrigado pela sua mensagem aparentemente traduzida, mas certamente divertida. A qual comunicação "com persecução penal" dirigida à equipe do PhishDestroy você está se referindo? Tenho certeza de que nunca me comuniquei com o PhishDestroy de nenhuma forma anteriormente. Portanto, por favor, disponibilize essa suposta comunicação para que eu possa entender do que se trata.
Infelizmente, o conteúdo da sua correspondência é difícil ou até impossível de acompanhar. Como observação: uma isenção de responsabilidade, como a apresentada no final do seu texto, que supostamente indica o que não é feito ou pretendido, é irrelevante quando as ações reais contradizem essa declaração.
Patrick Zurheide
🔍 Análise do PhishDestroy:
- mensagem divertida Um "Especialista em Direito Digital" altamente remunerado classificou uma notificação forense de um vazamento massivo de dados sob o GDPR, envolvendo contas Steam expostas de menores de idade, como "divertida".
- praticamente impossível de acompanhar Fornecemos a ele os valores hexadecimais exatos, os metadados do PDF dele, os carimbos de data/hora do pipeline em lote de 36 segundos e os específicos Aspose 20.8 versão que causou o vazamento. Aparentemente, métricas de TI são difíceis demais de "acompanhar" para um Doutor em Direito da Tecnologia da Informação.
🛠️ Capacidades Multi-Ferramenta
Esta suíte oferece três modos complementares, totalmente executados no lado do cliente, para analisar e desmontar redações visuais falsas:
- 📡 Modo 1: Scanner de Raios-X (PDF.js): Renderiza as exibições visuais do PDF, mas extrai os caracteres de texto não redigidos subjacentes em tempo real. Você vê a caixa preta, mas lê o segredo instantaneamente.
- ✂️ Modo 2: Removedor de Camadas (PDF-Lib): Higienização cirúrgica em nível de fluxo. Substitui fisicamente comandos visuais retangulares de pintura
re f,re F) com on(no-paint) operador, removendo as barras pretas. - 🔎 Modo 3: Auditoria de Colisão (Layout Fitz): Destaca texto e gráficos sobrepostos para gerar listas de vazamentos automaticamente compiladas.
💻 Uso via CLI (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 Sanitizador de Fluxo Principal em Python
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()LICENÇA · DIREITOS · AVISO LEGAL
PHISHDESTROY
LICENÇA · DIREITOS · AVISO LEGAL
Investigação: Valve Corporation / Steam · público — sem data de expiração, sem resgates
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SEÇÃO I — LICENÇA
O PhishDestroy abre mão de todos os direitos sobre este material. Zero. Acabou. Feito. Você pode reproduzi-lo, vendê-lo, colocar seu nome nele, tatuá-lo no seu chefe, o que quiser. Sem necessidade de crédito, sem necessidade de mensagem direta, sem cartão de agradecimento esperado.
UMA REGRA REAL
Se você é um usuário da Rússia ou de qualquer país sancionado pela OFAC — este material NÃO é para você. Sem brechas. Aproveite suas sanções. E se você mudou sua região do Steam para a Turquia enquanto estava sentado em Moscou — parabéns pela sua geografia criativa. Você ainda é russo. As sanções ainda se aplicam. Esse é literalmente o ponto.
SEÇÃO II — O QUE ISTO É E POR QUE EXISTE
Publicaremos mais sobre a Valve do que um funcionário médio da Valve sabe sobre si mesmo. O Steam basicamente nos criou. Nos criou com seus golpistas, seus tickets de suporte, seu ecossistema de evasão de banimento — e agora aqui estamos. Sem mágoas. Poético, na verdade. Esperamos mais de 4 anos para que eles corrigissem o problema de spoofing antes de podermos escrever sobre isso publicamente. Isso é um conflito? Não. Pode ser resolvido? Sim. Mas não vamos assinar nenhum NDA e não vamos jogar bug bounty por centavos.
SEÇÃO III — CARTA ABERTA À VALVE
Ei, Valve. Se vocês estão pensando em derrubar nosso domínio — apenas nos enviem um e-mail. Não paguem ao Dr. Patrick de novo. Por favor. É constrangedor para todos os envolvidos.
Vamos “dano” a Valve diretamente? Provavelmente não de uma forma que eles sintam fiscalmente. Não somos delirantes. Mas faremos isso honestamente, abertamente, sem buscar fama. Temos 5 anos de arquivos. Os reguladores recebem os originais. Pesquisadores e jornalistas recebem versões editadas. O PhishDestroy é uma comunidade, não uma pessoa.
O ACORDO (oferta aberta, sem advogados necessários)
Se vocês querem que o domínio desapareça: deixem seus profissionais de direito de TI calcularem o preço. 50% vai para a SEAL Foundation. Nós matamos o domínio. Sem drama. Sem tribunal. Feito. Vocês não conseguirão isso de nenhuma outra forma. Isso não é uma ameaça. É apenas a arquitetura da situação.
SEÇÃO IV — O DINHEIRO, OS BANIMENTOS, O CIRCULO INTEIRO
Aqui está o problema com o Steam banindo sites de apostas e golpistas: não é aplicação da lei. É captura de receita. A Valve embolsa o dinheiro, limpa as mãos e depois sobe ao palco para contar a todos uma história saudável. Enquanto isso, a Valve matou a capacidade de rastrear skins adequadamente em 2017. Vamos provar isso: Skins são mais anônimas que Monero. Um Cartel Peruano supostamente usou skins de Dota 2 para movimentação de dinheiro. O Steam é funcionalmente uma máquina de evasão de sanções no valor de ~$7B em “cartões de troca”.
SEÇÃO V — A COISA DO MALWARE
NÃO estamos divulgando publicamente a vulnerabilidade no jogo. NÃO estamos reportando ao Steam. Não porque não podemos — mas porque seu bug bounty vale aproximadamente três copeques e não trabalhamos por três copeques. Nossos colegas de segurança já reportaram ao suporte do Steam. Isso NÃO é a variante trivial do CSGO. Isso é mais próximo de: RCE na conexão com o servidor. Ou seja — você entra em um servidor, não clica em nada. A própria conexão é a superfície de ataque. A ameaça está ativa.
DECLARAÇÃO QUANTO AO USO E DIREITOS
Projeto PhishDestroy & Coalizão de Cibersegurança
1. NÃO HÁ CONDIÇÕES DE USO
Todo o material produzido pela Coalizão nesta referência — as declarações de fato, a análise, as provas, as ferramentas e as descobertas — é liberado SEM RESERVA DE QUAISQUER DIREITOS. Qualquer pessoa pode reproduzir, adaptar, editar, reescrever, traduzir, extrair, incorporar em documentos oficiais, apresentar como seu próprio trabalho ou passá-lo a qualquer outra pessoa — sem pedir e sem notificar a Coalizão.
2. POR QUE ISSO IMPORTA PRACTICAMENTE
Não há nada aqui com o qual se envolver. A Coalizão não pede nada, não deve nada, não retém nada e não tem expectativa de nenhum tipo. Uma autoridade que usa este material não está agindo em nome da Coalizão. Está usando informações públicas que por acaso foram reunidas por outra pessoa.
3. TUDO JÁ ESTÁ ABERTO
As investigações são publicadas abertamente em phishdestroy.io. As ferramentas são publicadas como código aberto sob a licença MIT em gitlab.com/phishdestroy. A metodologia está descrita na referência. A Coalizão não aceita doações e publicou essa posição desde 2018.
4. INTEGRIDADE DO PACOTE DE PROVAS
Cada entrega é acompanhada por um arquivo SHA256SUMS listando um resumo SHA-256 para cada arquivo fornecido, juntamente com uma assinatura OpenPGP separada SHA256SUMS.asc. A chave de assinatura é publicada em phishdestroy.io/.well-known/pgp-key.txt e em keys.openpgp.org.
5. SOBRE O REGISTRO
A autoridade pode encontrar as investigações publicadas da Coalizão e achá-las diretas, adversariais e às vezes satíricas. Essa impressão está correta. A Coalizão escreve assim deliberadamente. A renúncia é o mecanismo pelo qual a substância pode ser separada do registro: a autoridade pode pegar o que for útil, reafirmá-lo em sua própria voz e descartar cada palavra do estilo da Coalizão. Nada se perde ao fazer isso.
6. O QUE A COALIZÃO ESTÁ FORNECENDO
Informação, pesquisa e observação. Nada é afirmado como uma descoberta que a Coalizão não tem legitimidade para fazer. A Coalizão não busca remédio, pagamento, reconhecimento ou resultado para si mesma. Pede apenas que as perguntas estabelecidas na referência sejam feitas à Valve Corporation por um órgão com o poder de exigir uma resposta.
NOTA FINAL — PARA QUEM ESTÁ LEVANDO ISTO ADIANTE
Queremos agradecer a quem levar este material para onde ele precisa ir. A Valve tem bolsos profundos e a Taylor Wessing cobra por hora. Sabemos o que estamos fazendo. Sabemos sobre quem estamos escrevendo. Não precisamos de autoria. Não precisamos de atribuição. Não precisamos de uma vitória. Precisamos de alguém com autoridade real para fazer à Valve as perguntas que já estão nesta referência, com o poder de exigir uma resposta. É isso. Essa é a única solicitação.
PhishDestroy — investigação pública — todos os direitos cedidos à humanidade · Acesso à região OFAC: proibido