Akala namin na manual na pagkakamali ang ginawa ng Taylor Wessing. Mali kami. Ito ay isang awtomatiko, firm-wide na kalamidad na nakakaapekto sa Pfizer, Just Eat, SAP, Chubb, at Valve.
Aviso Tungkol sa Sistemikong Kahinaan
Ako at ang Aking Aso laban sa mga Elite na Abogado (Bahagi 2): Ang 5-Taong Paglabag sa PDF na Nagpapakita ng mga Global na Korporasyon
Sa pahinang ito
Alert sa Vulnerability: Aspose.PDF 20.8
Ang redaction script na ginagamit ng Taylor Wessing ay nagco-compile gamit ang isang lumang library (Aspose.PDF para sa .NET 20.8) na kilala rin sa pag-iral ng hindi pa na-patch na mga kahinaan sa Remote Code Execution (RCE).
Pagkatapos ng paglabas ng unang ulat na nagpapakita kung paano nangyari ang aksidenteng paglabas ng 830 pahina ng sensitibong datos ng mga user ng Steam ng Taylor Wessing, napagtanto namin ang isang pundamental na katotohanan tungkol sa mga abogado ng korporasyon: karaniwan silang sobrang pagmamalaki upang manu-manong gumuhit ng mga itim na kahon sa mahigit 800 pahina. Hindi nila ito ginawa nang manu-manong. Gumamit sila ng script. At doon na nagsimulang mawala ang kakaiba ng kwento, at naging isang sistemikong, global na krisis sa cybersecurity.
Ang Mura na Software sa Likod ng Elite na Anyo
Ang forensic metadata extraction ng 830-pahinang tugon ng Taylor Wessing ay nagpapakita ng eksaktong processing time na 36 segundoIto ang patunay na hindi maikakaila: hindi nila ginawa ang paghahatol ng impormasyon nang manu-manu; gumamit sila ng awtomatiko, may kapansanan na script.
Upang mag-ipon ng pera sa tamang, enterprise-grade na software para sa paglilinis ng data, ang kanilang mga sistema ay nakadepende sa isang pangkalahatan at lumang library: Aspose.PDF para sa .NET 20.8Ang pangunahing isyu ay ang paggamit ng kanilang script ng lumang software na ito upang gumuhit ng mga itim na vector na parihaba (gamit ang re/f mga operator sa PDF code) sa mga coordinate ng teksto, sa halip na wastong i-sanitize at burahin ang nasa ilalim na layer ng teksto.
Ang Saklaw ng Epekto: Kung Sino ang Datos na Pinroseso ng Taylor Wessing?
Sinubukan namin ang iba pang mga file na pinroseso ng Taylor Wessing para sa mga kliyenteng walang kinalaman. Nilalaman nila ang eksaktong parehong metadata, ang eksaktong parehong kahinaan, at ang eksaktong parehong marupok na script para sa pagtatago ng impormasyon.
Maaaring nasa loob na ang kahinaan na ito sa mga dokumentong pinroseso ng Taylor Wessing simula 2019Batay sa kanilang pampublikong listahan ng mga kliyente at sa aming mga forensic na natuklasan, kailangan nating magtanong ng isang nakakatakot na tanong tungkol sa mga datos na nilamang sa loob ng nakalipas na limang taon:
- Ano naman ang mangyayari sa milyun-milyong manlalaro sa Valve (Steam) ekosistema?
- Ano naman ang mga dokumento ng global GDPR compliance ng Just Eat?
- Ano naman ang tungkol sa mga paglipat ng datos sa Europa para sa mga malalaking teknolohiyang kumpanya tulad ng SAP at Vinted?
- Ano naman ang mga sensitibong ulat ng insidente para sa Chubb Insurance (kung saan nakaupo ang Taylor Wessing sa kanilang "Cyber Incident Response Team")?
- Ano naman ang tungkol sa napakaginhawang klinikal na datos na tinutulungan ng Pfizer?
Kung ginamit ng Taylor Wessing ang parehong murang script na ito upang "redact" ang mga dokumento para sa mga korporasyong ito, hindi nila inihintay ang anumang bagay. Deliberadong ipinaliwanag nila ito.
⚡️ Mga Lifehack na Walang Kailangang I-install (Paano I-check)
- Ang "Select All" Hack: Buksan ang PDF sa iyong browser. Pindutin
Ctrl + A(Piliin Lahat), pagkataposCtrl + C(Copy), at i-paste ito sa Notepad. Kung hindi totoo ang redaction, ang nakatagong teksto ay kasama rin itong maipapaste. - Ang Hack na "Blind Search": Pindutin
Ctrl + Fat maghanap ng mga karaniwang karakter tulad ng "a" o "1". Kung nakarehistro ng hit ang browser at inilalagay ang highlight sa itim na kahon—nabubuhay pa rin ang text layer.
🛠️ Ligtong na Offline na Pag-audit
- LibreOffice Draw: Buksan ang PDF, i-click ang itim na kahon, at pindutin ang Delete upang ipakita ang teksto sa ilalim nito.
- Adobe Acrobat Pro: Gamitin ang "Edit PDF" tool upang madaling ilipat ang mga itim na hugis palabas ng daan.
Huwag mag-upload ng mga sensitibong legal na dokumento sa mga random na online PDF editor — maaaring ikaw mismo ang nagpapatupad ng data breach. Gamitin lamang ang local na software.
Isang Paalala sa Legal: Ang 72-Hour Rule
Pinapayagan naming nang malakas ang Taylor Wessing na suriin ang bawat PDF na ipinadala nila noong dati. Sa ilalim Artikulo 33 ng GDPR, kapag naging malinaw sa isang data controller ang pagkakaroon ng paglabag sa personal na datos, sila ay pinapalagay ng batas na ipaalam ang pangyayari sa angkop na awtoridad ng pagbabantay sa loob ng 72 na orasAng pagtatangkang itago ang isyu na ito ay magreresulta lamang sa pinakamataas na mga parusa mula sa mga ahensya ng regulasyon. Tumititik ang oras.
LISENSYA · KARAPATAN · PAHAYAG
PHISHDESTROY
LISENSYA · KARAPATAN · PAHAYAG
Pagsusuri: Valve Corporation / Steam · pampubliko — walang petsa ng pagtatapos, walang pagbabalik
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SEKSYON I — LISENSYA
Binibigay ng PhishDestroy ang lahat ng karapatan sa materyal na ito. Walang natitira. Tapos na. Maaari mong i-reproduce, ibenta, ilagay ang iyong pangalan, tatuuin sa iyong boss, ano pa man. Walang kinakailangang pagkilala, walang DM na kailangan, walang inaasahang thank-you card.
ISA LANG ANG TOTOONG TATAKDAL
Kung ikaw ay isang user mula sa Russia o anumang bansa na binabakal ng OFAC — HINDI ito para sa iyo ang materyal na ito. Walang butas. Ikinagagalak mo ang iyong mga parusa. At kung pinalitan mo ang iyong Steam region sa Turkey habang nakaupo ka sa Moscow — pabulong sa iyong makataong heograpiya. Russian ka pa rin. Ang mga parusa ay nananatiling epektibo. Iyon ang tunay na punto.
SEKSYON II — ANO ITO AT BAKIT ITO NAG-EEXIST
Ikalabas namin ang higit pa tungkol sa Valve kaysa alam ng isang karaniwang empleyado ng Valve tungkol sa sarili nila. Ang Steam ang naglikha sa amin. Pinagpatubo tayo ng mga scammer nila, ng mga support ticket nila, ng kanilang ekosistema ng pag-iwas sa ban — at ngayon narito na tayo. Walang masakit na damdamin. Makatao pa nga. Naghintay kami ng higit sa 4 taon para maayos nila ang isyu ng spoofing bago kami makapagsulat tungkol dito sa pampubliko. Ito ba ay isang salungatan? Hindi. Maaari bang maayos? Oo. Ngunit hindi kami magpapaalam ng anumang NDA at hindi kami maglalaro ng bug bounty para sa konting pera.
SEKSYON III — BUKSANG LIHAM SA VALVE
Kumusta Valve. Kung nag-iisip kayo na tanggalin ang aming domain — i-email lang namin. Huwag na huwag na bayaran niyo ulit si Dr. Patrick. Paki. Nakakahiya ito sa lahat ng nakauwi.
Puputulin ba namin ang Valve nang direkta? Posibleng hindi sa paraang mararamdaman nila sa aspetong piskal. Hindi kami delusional. Ngunit gagawin namin ito nang tapat, bukas, nang hindi nagpapaalala ng clout. May 5 taon na archive kami. Ang mga regulator ay makakakuha ng mga orihinal. Ang mga mananaliksik at manunulat ay makakakuha ng mga bersyon na may mga redaction. Ang PhishDestroy ay isang komunidad, hindi isang tao.
ANG DEAL (bukas na alok, walang kailangang abogado)
Kung gusto ninyo na mawala ang domain: hayaan ang inyong mga propesyonal sa batas sa IT na kumalkula ng presyo. 50% ay pumupunta sa SEAL Foundation. Patayin namin ang domain. Walang drama. Walang korte. Tapos na. Hindi ninyo maibibigay ito sa ibang paraan. Hindi ito isang banta. Ito ay simpleng arkitektura ng sitwasyon.
SEKSYON IV — ANG PERA, ANG BAN, ANG BUONG SIRKO
Ito ang tungkol sa pag-ban ng Steam sa mga gambling site at scammer: hindi ito pagsasagawa ng batas. Ito ay pagkuha ng kita. Kinukuhang ng Valve ang pera, pinuputol ang mga kamay, at pumapasok sa entablado upang ipaliwanag ang isang malinis na kwento. Samantalang pinatay ng Valve ang kakayahang ma-track ang mga skin nang maayos noong 2017. Patutunayan namin ito: Mas anonymous ang mga Skin kaysa sa Monero. Alang-alang na ginamit ng isang Peruvian Cartel ang mga skin ng Dota 2 para sa paglipat ng pera. Ang Steam ay isang makabuluhang makina ng pag-iwas sa parusa na halagang ~$7B sa mga “trading cards”.
SEKSYON V — ANG MALWARE THING
HINDI namin ilalabas sa pampubliko ang vulnerability sa laro. HINDI namin ito ireport sa Steam. Hindi dahil hindi namin kayang gawin — kundi dahil ang bug bounty nila ay halagang humigit-kumulang tatlong kopecks at hindi kami nagtatrabaho para sa tatlong kopecks. Ang aming mga kaibigan sa seguridad ay na-report na ito sa Steam support. HINDI ito ang simpleng variant ng CSGO. Mas malapit ito sa: RCE sa server connect. Ibig sabihin — ikaw ay sumasali sa server, hindi mo pinapindot ang anumang bagay. Ang connect mismo ang attack surface. Aktibo ang banta.
PAHAYAG TUNGKOL SA PAGGAMIT AT KARAPATAN
PhishDestroy Project & Cybersecurity Coalition
1. WALANG MGA KUNDISYON SA PAGGAMIT
Ang lahat ng materyal na ginawa ng Coalition sa referral na ito — ang mga pahayag ng katotohanan, ang pagsusuri, ang mga ebidensya, ang mga tool, at ang mga natuklasan — ay inilalabas NA WALANG PAGHAPOS SA ANUMANG KARAPATAN. Maaaring i-reproduce, i-adapt, i-edit, i-rewrite, isalin, i-excerpt, isama sa mga opisyal na dokumento, ipresenta bilang kanilang sariling gawa, o ipasa sa sinuman — nang hindi humihingi at nang hindi nagpapahiwatig sa Coalition.
2. BAKIT ITO MAHALAGA SA PRAKTIS
Walang anumang bagay dito na maaaring mahuli. Hindi hinahanap ng Coalition ang anumang bagay, hindi sila may utang, hindi nila pinapanatili ang anumang bagay, at walang anumang pag-asa. Ang awtoridad na gumagamit ng materyal na ito ay hindi gumagawa para sa Coalition. Gumagamit ito ng pampublikong impormasyong nangyaring inihimpil ng ibang tao.
3. LAHAT AY BUKA NA
Ang mga pagsusuri ay inilalabas nang bukas sa phishdestroy.io. Ang mga tool ay inilalabas bilang open source sa ilalim ng MIT licence sa gitlab.com/phishdestroy. Ang metodolohiya ay nakasaad sa referral. Hindi tinatanggap ng Coalition ang anumang donasyon at inilathala na ang posisyon na ito simula 2018.
4. INTEGRIDAD NG EVIDENCE BUNDLE
Bawat delivery ay kasama ng isang file SHA256SUMS na naglalaman ng SHA-256 digest para sa bawat file na ibinigay, kasama ang isang detached OpenPGP signature SHA256SUMS.asc. Ang signing key ay inilalabas sa phishdestroy.io/.well-known/pgp-key.txt at sa keys.openpgp.org.
5. SA REGISTER
Maaaring makita ng awtoridad ang mga inilathas na pagsusuri ng Coalition at makita itong direkta, adversarial, at minsan satirikal. Tama ang impresyon na iyon. Sinusulat ng Coalition nang ganito nang may layunin. Ang waiver ang mekanismo kung saan ang substansya ay maaaring hiwalayin mula sa register: maaaring kunin ng awtoridad ang mga makabuluhan, ibigay ito sa kanilang sariling boses, at tanggalin ang bawat salita ng paraan ng Coalition. Walang nawawala sa paggawa nito.
6. ANO ANG INIAALOK NG COALITION
Impormasyon, pananaliksik, at obserbasyon. Walang sinasabing natuklasan na walang karapatan ang Coalition na gawin. Hindi hinahanap ng Coalition ang anumang remedyo, bayad, pagkilala, o resulta para sa sarili nila. Hinahanap lamang nila na ang mga tanong na nakasaad sa referral ay itanong sa Valve Corporation ng isang katawan na may kapangyarihang pumilit ng sagot.
PAWANG TALA — SA SINUMANG NAGDADALA NITO
Gusto naming pasalamatan ang sinumang dadala ang materyal na ito sa kailangan nitong puntahan. May malalim na bulsa ang Valve at binabayaran ng Taylor Wessing bawat oras. Alam namin kung ano ang ginagawa namin. Alam namin kung sino ang tinutukoy namin. Hindi namin kailangan ang authorship. Hindi namin kailangan ang attribution. Hindi namin kailangan ang panalo. Kailangan namin ng isang tao na may tunay na awtoridad na magtanong sa Valve ng mga tanong na nakaupo na sa referral na ito, na may kapangyarihang humingi ng sagot. Iyan na lang. Iyan ang buong hiling.
PhishDestroy — pampublikong pagsusuri — lahat ng karapatan ay ibinigay sa kalakalan · Access sa rehiyon ng OFAC: ipinagbabawal