печальная правда о rudostup
думаю что те кто зашли сюда, знают что такое rudostup. для тех кто не в теме и верит в сказки о бескорыстных спасителях интернета, то ты ошибался реальностью. перед вами классический пример того, как под маской "полезной утилиты" скрывается адварный солитёр (тонко) я как шарящий (не особо) в этой теме, покопался в потрохах этого недоразумения и заявляю: если ты используешь это расширение, то поздравляю. ты часть их сети и на тебе они наживаются. живи с этим. разберу по фактам чтобы не быть голословным. 1. небольшое введение и разбор верхушки все расширения живут в Extensions вашего браузера. мне лень рассказывать детали ибо у вас есть хром. короче говоря у всех расширений есть манифест. а у этого расширения.. ну, первое что бросается в глаза в нём:
расширение запрашивает доступ ко всем сайтам. теоретически оно может не только проксировать, но и инжектить скрипты для кражи куки и/или паролей (оно уже это делает xD) учитывая остальной код, я бы не доверял ему даже историю поиска котиков и почему у меня nullpointerexception на котлине хоят я не насильно присваивал типы 2. service worker в sw.js (основанном на гугловом примере, куда автор присобачил свои костыли) живут функции с прекрасными названиями. функция "addDisclamer" (да, автор не осилил спеллчекер) вешает обработчик на onmouseup. суть проста: скрипт считает клики. когда счётчик i переваливает за лимит, происходит это:
это классический pop-under. скрипт открывает окно с казино, порнухой, или прочей шнягой, и уводит фокус, чтобы ты не сразу заметил новую вкладку, и вуаля. автор получил свою копейку.
функция addIframe:
этот метод ищет на ютубе элемент #secondary-inner #related (блок рекомендаций) и насильно вставляет туда iframe.
в этой части крутится контент с одного из ихних сайтов. сегодня там реклама, а завтра там может быть скрипт, эксплоитящий дыры браузера. 3. скрытый шпионаж и телеметрия (хотя да, в самом хроме или тьфу ты яндекс браузере телеметрии и слежки будет побольше :) ) расширение регулярно стучит на ихний сервер (я не буду его упоминать), отправляя версию и конфиги. оно также делает fetch-запросы к разным хостам, и если они легли, то отправляет репорт на еще один ихний сайт 4. vinos.js этот скрипт подгружается динамически. его задача это сделать так, чтобы реклама вылезла любой ценой че оно делает: детект отладки: код ищет упоминания "toloka.yandex.ru", это чето с отладкой связано. если он понимает что его проверяет модератор или асессор, то засыпает. но от меня это не спасло. невидимые объекты: скрипт создаёт невидимый объект размером 1x1 пиксель в углу экрана. это нужно чтобы обойти блокировщики всплывающих окон. когда кликаешь "мимо", на самом деле ты кликаешь по этому объекту, инициируя открытие рекламы счётчик куки: он хранит состояние кликов в куки чтобы не спамить рекламой слишком часто и не вызывать подозрения сразу. 5. конфиденциальность (которая отсутствует) на странице расширения в магазине хрома и на официальном сайте написано про "моральный кодекс" и отсутствие технической возможности собирать данные код говорит об обратном: техническая возможность инъекции любого js кода через executeScript? есть. сбор данных о посещаемых хостах через pac скрипт? присутствует. динамическая подгрузка рекламных модулей? в наличии. кстати, расширение могут вполне снести из магазина если кто нибудь накидает на него достаточно жалоб. приложение rudostup (для андроида) в целом, в приложении нет ничего такого криминального, потому что ведроид просто не даёт такой свободы действий как расширение для хрома, ведь каждый процесс там по факту изолирован, и rudostup (спасибо идиотскому мобильному редактору который думает что пакет приложения ussr.arhilamer.rudostup это ссылка) не может залезть в ютуб (com.android.google.youtube) чтобы долбануть туда рекламу так что для того кто поставит себе rudostup на телефон не будет ничего особо раздражающего.. кроме того что на ютабе будет реклама потому что это "три буквы за которые сносят статьи по ч. 18 ст. 14.3 коап рф" а не локальная фрагментация пакетов как делают истинные линуксоиды которые не хотят смотреть рекламу на ютубе. но я всё равно обосру реализацию и всякие опасности для автора (ха ха) 1. растр в drawable? мы не в 2007-ом, можно было бы и вектор впихнуть 2. отсутствие тёмной темы. да, представляешь ли, в 2026-ом не каждому захочется травмировать себе зрение 3. постоянная долбёжка на ихний сервер просто так. (ад лицензий) 4. автор использует базу от socksdroid и tun2socks из bad vpn (судя по размеру библеотек), а socksdroid под gplv3, а исходников или какого либо упоминания (ну, вообще неявное упоминания "powered by Socksdroid" есть, но оно не появляется в интерфейсе, в место него есть только footer откуда появляется "powered by RosKomNadzor... шутка", очень смешно, но передать собачее лакомство автору я не могу) нету. так что репо спокойно могут снести с гита :) думайте что скачивать. о и да это всё правда и пожалуйста не удаляйте эту статью админы дтф я не призываю орать на весь интернет о том что это расширение нужно удалить (хотя да, его надо удалить но я не призываю к действию)
з.ы. я нашёл на их сервере ssrf уязвимость :) так что технически если их взломают то тысячи человек будут уязвимы к эксплоиту.
:wq