MAX Mod by JohNick

Модифицированная сборка мессенджера MAX (ru.oneme.app) с набором пользовательских настроек приватности, локальных функций и точечных изменений поведения.

Проект создан для учебных и исследовательских целей в области информационной безопасности. APK статически перепатчены и подписаны ключом разработчика. Описанные ниже меры относятся только к проверенным локальным точкам текущей базы MAX; они не означают полного отключения сбора данных или защиты от всех угроз.

📦 Скачать последнюю сборку →

---

Актуальная версия — 26.37.1 GP V1

Дата выпуска: 2 ноября 2026.

Выпуск обновляет основу MAX и включает масштабную переработку интерфейса настроек, поиск, избранное, локальный архив, персональные обои и локальные названия. Также доработаны E2E, работа с видеокружками и обновлялка.

Ограничения: полный пользовательский smoke и физическая приёмка не завершены. На AVD обнаружены проблема доставки защищённого голосового сообщения (B28), видимая строка контактного E2E при глобальном OFF (U14) и ANR основного приложения и clone (A19). Причины расследуются; camera/video и ряд других сценариев не подтверждены. Обычная передача файлов и фото не является проверкой E2E вложений.

Полный список — RELEASE_NOTES_v26.37.1.1.md. Границы проверки — AUDIT_26.37.1_GP_V1.pdf.

Базовый APK: MAX 26.37.1 GP. Варианты arm64/arm7 и основной/clone доступны в релизе.

Какой APK выбрать

• Для большинства современных устройств — arm64.
• Для 32-битных устройств — arm7.
• Вариант clone устанавливается рядом с основным приложением под отдельным package ID.

Защиты и границы покрытия

Ниже перечислены подтверждённые категории изменений текущей линии мода. Это перечень охваченных точек, а не гарантия, что MAX вообще не собирает соответствующие данные.

Точки защиты, внесённые модом

Статус относится к конкретным патчам/путям, не ко всем сборщикам MAX. Там, где отдельные маркеры или runtime-путь ещё не сверены, это отмечено явно.

• Телеметрия и SDK: заглушены отдельные отправители/инициализаторы AppTracer/Tracer, CallAnalyticsSender, DPS/TraceFlow, а также точки initTracker/trackEvent/flush MyTracker и upload/append/flush OneLog. Их библиотеки остаются в APK; для DPS/TraceFlow нет подтверждённого sentinel в скрипте, а MyTracker/OneLog закрыты точечно.
• WebApp / мини-приложения: блокируется передача MSISDN/phone-hash; заглушена FCP-метрика; мост DeviceStorage/SecureStorage можно блокировать отдельным тумблером (по умолчанию OFF; часть мини-приложений может перестать работать).
• WebRTC и медиа: фильтруется известный публичный srflx IP-кандидат (host/relay-кандидаты не затронуты); отключён известный WebRTC debug-dump; GPS-координаты EXIF обнуляются в проверенном пути.
• PMS / системная телеметрия: в известных путях снижены log-full, log-sensitive, log-violations и сообщения/метаданные чатов; TLS-проверка принудительно включается; DoH и флаги DPS/MyTracker, отправки локации и host-reachability выключаются. Некоторые sentinel/имена PMS-гейтов требуют дополнительной физической сверки.
• Сигналы устройства: в двух известных местах удаляется connection_type и обнуляется MCC/MNC; ещё около 15 потребителей connection_type не разобраны.
• Идентификация/детектирование: отдельные пути root detection, Advertising ID, installer-source и VPN-label имеют точечную подмену/заглушку; эти элементы не все подтверждены свежим sentinel/runtime-тестом.
• Сетевые адреса: реестр содержит начальный список аналитических endpoint’ов (google-analytics.com, app-measurement.com, facebook.com/tr, doubleclick.net, graph.facebook.com, mytracker.com, appsflyer.com, adjust.com). Он неполный и не является доказательством блокирования всей аналитики.
• Локальные пользовательские настройки: синхронизация адресной книги по умолчанию блокируется; доступны отдельные режимы скрытия набора, прочтения, присутствия и просмотра историй.
• E2E: для поддерживаемых личных текстовых сообщений при включённом глобальном E2E и ручном режиме чата «Строгий»; AUDIO-вложения предусмотрены при действующей сессии и поддержке собеседника; в текущем AVD-тесте доставка защищённого голосового не прошла (B28). Закрытый ключ хранится локально, открытые ключи/prekey-пакеты передаются для создания сессии. Группы, каналы, видео-кружки и звонки E2E модом не защищаются.

Открытые, частичные и непроверенные угрозы

• NFC HCE и placeholder разрешения REQUEST_INSTALL_PACKAGES в ForceUpdate.
• Отпечатки du0/wt5, VPN-потребители km4/ssb, фоновой ключ/сокет keep-background-socket.
• Остальные потребители connection_type; список сетевых endpoint’ов выше не исчерпывающий.
• Runtime/sentinel-подтверждение отдельных мер DPS/TraceFlow, VPN labels, installer-source spoof и PMS blacklist gate ещё неполное.
• MAX сохраняет прочие SDK, отправители, сетевые пути и серверную обработку данных; аудит локальных патчей не доказывает отсутствие иных сборщиков или обходов.

Полный план и границы описаны в SECURITY.md, MOD_GUIDE.md, E2E_GUIDE.md и примечаниях к конкретному релизу.

История версий

• 26.37.1 GP V1 — обновление базы MAX, переработка настроек и новые локальные функции; ограничения указаны выше.

Скан новых угроз ещё выполняется; заключение по нему для V1 не заявляется.