Universal Forensic Audit & Layer Decomposition Suite upang ipakita at ilabas ang mga visual-lamang na PDF redactions ng Taylor Wessing LLP at Valve Corporation.
Salamin laban sa Pagsasara at Kagandahang Kagawisan
📡 Taylor Wessing Data Breach Toolkit
Sa pahinang ito
🔍 Pagsusuri ng mga Pinakamahalagang Impormasyon
Ang Unibersal na PDF Redaction Auditor at Layer Decomposer Ito ay isang propesyonal, offline-first na forensic auditing at layer decomposition suite na partikular na idinisenyo upang matukoy, mapatibay, at linisin ang mga visual-only na PDF redaction vulnerabilities. Nagsisilbi ang toolkit na ito bilang isang open-source na utility para sa mga security researcher, data protection officer, at compliance auditor upang mapatibay ang structural integrity ng mga dokumento bago ito ilabas sa publiko.
⚖️ Asimetriya ng Teknikal na Kapangyarihan
Ang auditing utility na ito ay ginawa upang solusyunan ang isang kritikal na kakapusan ng kapangyarihan sa proseso ng datos ng mga korporasyon. Kapag ang mga malalaking konglomerado (tulad ng Valve Corporation) kinakatawan ng mga eliteng law firm (tulad ng Taylor Wessing LLP), ang anumang sistematikong paglabas ng datos ay hindi nakakasama sa korporasyon o sa kanilang mga mahahalagang abogado—kundi ito ay nakakapagdulot ng katasastason na paglabag sa privacy ng kanilang mga kalaban (ang mga indibidwal na data subject, mga third-party user, at mga kabataan na ang kanilang sensitive na personal na datos ay nalaglag dahil sa legal at teknikal na kawalan ng pag-aalaga). Pinapangyarihan ng toolkit na ito ang mga indibidwal at mga independent na auditor upang mapatunayan ang kaligtasan ng datos at mapagbigyan ang mga korporatibong aktor sa pagtugon sa kanilang mga tungkulin.
📊 Pag-aaral ng Kaso: Ang Paglabas ng Impormasyon sa GDPR ng Taylor Wessing / Valve
Sa pagproseso ng mga Subject Access Requests (SARs) ayon sa Artikulo 15 ng GDPR tungkol sa datos ng mga user ng Steam, natuklasan ang isang kritikal na kahinaan sa seguridad sa mga dokumentong pinroseso at ipinadala ng mga external counsel. Taylor Wessing LLP sa pangalan ng Valve Corporation.
Pagsusuri ng Teknikal na Pagkabigo
Sa halip na pagsanayin nang permanenteng ang mga raw na character array sa loob ng mga PDF content stream, isang awtomatiko, custom na pipeline para sa paggawa ng PDF (na gumagamit Aspose.PDF para sa .NET) ang inilunsad. Ang sistemang ito ay awtomatikong nagtanong ng mga koordinada ng mga sensitibong lugar at gumuhit mga solid na itim na vector na hugis (gamit ang mga PDF re at f/F/b/B mga operator) sa itaas ng teksto.
Dahil hindi binabago o pinapawalang-bisa ng mga visual drawing layer ang mga raw text array sa ilalim nito, ang libu-libong hindi pa nakatago na pribadong talaan—kabilang ang mga account credentials, login, email, security logs, at de-anonymized na datos ng mga kabataan—ay nanatiling buo, nakakopya, at nakakuha mula sa mga naipadala na file.
📂 Ebidensya A: Nalabas na Korespondensya kay Dr. Patrick Zurheide
Narito ang eksaktong sagot na natanggap mula sa Dr. Patrick Zurheide (Salary Partner sa Taylor Wessing LLP) pagkatapos pormal na ipaalam ng PhishDestroy sa firm ang kanilang pagkabigo sa pag-redact ng PDF at ang sumunod na paglabas ng data ng mga user ng Steam. Sa halip na simulan ang breach notification ayon sa GDPR Article 33, pinili niyang isulat ito:
Magandang araw, PhishDestroy-Team,
Maraming salamat sa iyong naakalang isinulat na mensahe, na bagaman nakakatawa, ay mayroon ding kakaibang tono. Sa anong uri ng komunikasyon "na may kaugnayan sa kriminal na pagsubok" sa PhishDestroy Team ang tumutukoy ka? Siguradong hindi ko na kailanman, sa anumang anyo, nakipag-ugnayan sa PhishDestroy. Mangyaring ipakita ang sinasabing komunikasyon upang maunawaan natin kung ano ang tunay na isyu.
Mahal na mahal, mahirap o halos hindi magagawa ang pag-unawa sa nilalaman ng inyong sulat. Bilang paalala: Ang isang disclaimer, tulad ng nasa ibaba ng inyong sulat, na nagpapahiwatig ng mga bagay na hindi nilalapat o hindi nilalayon, ay walang kahulugan kung ang mga aktwal na gawain ay nakalabag dito.
Patrick Zurheide
🔍 Pagsusuri ng PhishDestroy:
- nakakatawang mensahe Isang mataas na sahod na "IT Law Expert" ang tumawag ng "nakakatawa" sa isang forensic notification tungkol sa isang malaking paglabas ng datos na lumalabag sa GDPR, na kinalaman ang mga Steam account ng mga kabataan na naging exposed.
- "mahirap o halos hindi na maunawaan" (hindi maunawaan): Binigyan namin siya ng eksaktong mga hex-value, ang metadata ng kanyang PDF, ang mga timestamp ng 36-sekundong batch pipeline, at ang partikular Aspose 20.8 ang bersyon na nagdulot ng paglabas ng impormasyon. Mukhang sobrang "mahirap sundan" ang mga IT metrics para sa isang Doktor sa Batas ng IT.
🛠️ Mga Kakayahan ng Multi-Tool
Ang suite na ito ay nag-aalok ng tatlong magkakaugnay, ganap na client-side na mga mode upang suriin at sirain ang mga fake na visual redactions:
- 📡 Mode 1: X-Ray Scanner (PDF.js): Ipinapakita nito ang visual na display ng PDF ngunit hinihila ang mga unredacted na teksto na nasa ilalim sa real-time. Nakikita mo ang itim na kahon, ngunit agad mong nababasa ang lihim.
- ✂️ Mode 2: Layer Stripper (PDF-Lib): Medyikal na paglilinis sa antas ng stream. Pisikal na pinapalit ang mga parihabang utos sa pagpinta ng visual (
re f,re F) na mayn(operator na walang pagpinta), pagtanggal ng mga itim na bar. - 🔎 Mode 3: Collision Audit (Fitz Layout): Pinapalaki ang mga magkakasabay na teksto at mga grapiko upang awtomatikong lumikha ng mga listahan ng mga leak.
💻 Paggamit ng CLI (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 Pangunahing Python Stream Sanitizer
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()LISENSYA · KARAPATAN · PAHAYAG
PHISHDESTROY
LISENSYA · KARAPATAN · PAHAYAG
Pagsusuri: Valve Corporation / Steam · pampubliko — walang petsa ng pagtatapos, walang pagbabalik
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SEKSYON I — LISENSYA
Binibigay ng PhishDestroy ang lahat ng karapatan sa materyal na ito. Walang natitira. Tapos na. Maaari mong i-reproduce, ibenta, ilagay ang iyong pangalan, tatuuin sa iyong boss, ano pa man. Walang kinakailangang pagkilala, walang DM na kailangan, walang inaasahang thank-you card.
ISA LANG ANG TOTOONG TATAKDAL
Kung ikaw ay isang user mula sa Russia o anumang bansa na binabakal ng OFAC — HINDI ito para sa iyo ang materyal na ito. Walang butas. Ikinagagalak mo ang iyong mga parusa. At kung pinalitan mo ang iyong Steam region sa Turkey habang nakaupo ka sa Moscow — pabulong sa iyong makataong heograpiya. Russian ka pa rin. Ang mga parusa ay nananatiling epektibo. Iyon ang tunay na punto.
SEKSYON II — ANO ITO AT BAKIT ITO NAG-EEXIST
Ikalabas namin ang higit pa tungkol sa Valve kaysa alam ng isang karaniwang empleyado ng Valve tungkol sa sarili nila. Ang Steam ang naglikha sa amin. Pinagpatubo tayo ng mga scammer nila, ng mga support ticket nila, ng kanilang ekosistema ng pag-iwas sa ban — at ngayon narito na tayo. Walang masakit na damdamin. Makatao pa nga. Naghintay kami ng higit sa 4 taon para maayos nila ang isyu ng spoofing bago kami makapagsulat tungkol dito sa pampubliko. Ito ba ay isang salungatan? Hindi. Maaari bang maayos? Oo. Ngunit hindi kami magpapaalam ng anumang NDA at hindi kami maglalaro ng bug bounty para sa konting pera.
SEKSYON III — BUKSANG LIHAM SA VALVE
Kumusta Valve. Kung nag-iisip kayo na tanggalin ang aming domain — i-email lang namin. Huwag na huwag na bayaran niyo ulit si Dr. Patrick. Paki. Nakakahiya ito sa lahat ng nakauwi.
Puputulin ba namin ang Valve nang direkta? Posibleng hindi sa paraang mararamdaman nila sa aspetong piskal. Hindi kami delusional. Ngunit gagawin namin ito nang tapat, bukas, nang hindi nagpapaalala ng clout. May 5 taon na archive kami. Ang mga regulator ay makakakuha ng mga orihinal. Ang mga mananaliksik at manunulat ay makakakuha ng mga bersyon na may mga redaction. Ang PhishDestroy ay isang komunidad, hindi isang tao.
ANG DEAL (bukas na alok, walang kailangang abogado)
Kung gusto ninyo na mawala ang domain: hayaan ang inyong mga propesyonal sa batas sa IT na kumalkula ng presyo. 50% ay pumupunta sa SEAL Foundation. Patayin namin ang domain. Walang drama. Walang korte. Tapos na. Hindi ninyo maibibigay ito sa ibang paraan. Hindi ito isang banta. Ito ay simpleng arkitektura ng sitwasyon.
SEKSYON IV — ANG PERA, ANG BAN, ANG BUONG SIRKO
Ito ang tungkol sa pag-ban ng Steam sa mga gambling site at scammer: hindi ito pagsasagawa ng batas. Ito ay pagkuha ng kita. Kinukuhang ng Valve ang pera, pinuputol ang mga kamay, at pumapasok sa entablado upang ipaliwanag ang isang malinis na kwento. Samantalang pinatay ng Valve ang kakayahang ma-track ang mga skin nang maayos noong 2017. Patutunayan namin ito: Mas anonymous ang mga Skin kaysa sa Monero. Alang-alang na ginamit ng isang Peruvian Cartel ang mga skin ng Dota 2 para sa paglipat ng pera. Ang Steam ay isang makabuluhang makina ng pag-iwas sa parusa na halagang ~$7B sa mga “trading cards”.
SEKSYON V — ANG MALWARE THING
HINDI namin ilalabas sa pampubliko ang vulnerability sa laro. HINDI namin ito ireport sa Steam. Hindi dahil hindi namin kayang gawin — kundi dahil ang bug bounty nila ay halagang humigit-kumulang tatlong kopecks at hindi kami nagtatrabaho para sa tatlong kopecks. Ang aming mga kaibigan sa seguridad ay na-report na ito sa Steam support. HINDI ito ang simpleng variant ng CSGO. Mas malapit ito sa: RCE sa server connect. Ibig sabihin — ikaw ay sumasali sa server, hindi mo pinapindot ang anumang bagay. Ang connect mismo ang attack surface. Aktibo ang banta.
PAHAYAG TUNGKOL SA PAGGAMIT AT KARAPATAN
PhishDestroy Project & Cybersecurity Coalition
1. WALANG MGA KUNDISYON SA PAGGAMIT
Ang lahat ng materyal na ginawa ng Coalition sa referral na ito — ang mga pahayag ng katotohanan, ang pagsusuri, ang mga ebidensya, ang mga tool, at ang mga natuklasan — ay inilalabas NA WALANG PAGHAPOS SA ANUMANG KARAPATAN. Maaaring i-reproduce, i-adapt, i-edit, i-rewrite, isalin, i-excerpt, isama sa mga opisyal na dokumento, ipresenta bilang kanilang sariling gawa, o ipasa sa sinuman — nang hindi humihingi at nang hindi nagpapahiwatig sa Coalition.
2. BAKIT ITO MAHALAGA SA PRAKTIS
Walang anumang bagay dito na maaaring mahuli. Hindi hinahanap ng Coalition ang anumang bagay, hindi sila may utang, hindi nila pinapanatili ang anumang bagay, at walang anumang pag-asa. Ang awtoridad na gumagamit ng materyal na ito ay hindi gumagawa para sa Coalition. Gumagamit ito ng pampublikong impormasyong nangyaring inihimpil ng ibang tao.
3. LAHAT AY BUKA NA
Ang mga pagsusuri ay inilalabas nang bukas sa phishdestroy.io. Ang mga tool ay inilalabas bilang open source sa ilalim ng MIT licence sa gitlab.com/phishdestroy. Ang metodolohiya ay nakasaad sa referral. Hindi tinatanggap ng Coalition ang anumang donasyon at inilathala na ang posisyon na ito simula 2018.
4. INTEGRIDAD NG EVIDENCE BUNDLE
Bawat delivery ay kasama ng isang file SHA256SUMS na naglalaman ng SHA-256 digest para sa bawat file na ibinigay, kasama ang isang detached OpenPGP signature SHA256SUMS.asc. Ang signing key ay inilalabas sa phishdestroy.io/.well-known/pgp-key.txt at sa keys.openpgp.org.
5. SA REGISTER
Maaaring makita ng awtoridad ang mga inilathas na pagsusuri ng Coalition at makita itong direkta, adversarial, at minsan satirikal. Tama ang impresyon na iyon. Sinusulat ng Coalition nang ganito nang may layunin. Ang waiver ang mekanismo kung saan ang substansya ay maaaring hiwalayin mula sa register: maaaring kunin ng awtoridad ang mga makabuluhan, ibigay ito sa kanilang sariling boses, at tanggalin ang bawat salita ng paraan ng Coalition. Walang nawawala sa paggawa nito.
6. ANO ANG INIAALOK NG COALITION
Impormasyon, pananaliksik, at obserbasyon. Walang sinasabing natuklasan na walang karapatan ang Coalition na gawin. Hindi hinahanap ng Coalition ang anumang remedyo, bayad, pagkilala, o resulta para sa sarili nila. Hinahanap lamang nila na ang mga tanong na nakasaad sa referral ay itanong sa Valve Corporation ng isang katawan na may kapangyarihang pumilit ng sagot.
PAWANG TALA — SA SINUMANG NAGDADALA NITO
Gusto naming pasalamatan ang sinumang dadala ang materyal na ito sa kailangan nitong puntahan. May malalim na bulsa ang Valve at binabayaran ng Taylor Wessing bawat oras. Alam namin kung ano ang ginagawa namin. Alam namin kung sino ang tinutukoy namin. Hindi namin kailangan ang authorship. Hindi namin kailangan ang attribution. Hindi namin kailangan ang panalo. Kailangan namin ng isang tao na may tunay na awtoridad na magtanong sa Valve ng mga tanong na nakaupo na sa referral na ito, na may kapangyarihang humingi ng sagot. Iyan na lang. Iyan ang buong hiling.
PhishDestroy — pampublikong pagsusuri — lahat ng karapatan ay ibinigay sa kalakalan · Access sa rehiyon ng OFAC: ipinagbabawal