Once the handshake completes, a direct WebRTC DataChannel is established and files transfer p2p over the local network.

MRBDのカメラストリーミングとWebRTCのDataChannelとかかね

Multiplayer is WebRTC. Signaling rides through the edge to an in-cluster proxy. Once ICE settles, media is a direct UDP DataChannel browser to game-server pod. One game = one Agones GameServer pod (q3ded) on Kubernetes, with warm pools per region across EU US.

ChatGPTやClaudeなどを装った偽ソフトウェアがGitHubやSourceForge上で配布され、JavaScript実行環境Denoで動作する遠隔操作マルウェアに感染させるキャンペーンが報告されています。このマルウェアが備えるP2P画面配信は、裏で起動したEdgeにブラウザ間リアルタイム通信（WebRTC）のページを埋め込み、被害者の画面映像を指令サーバーを経由せず攻撃者のブラウザへ直接送る仕組みで、Edgeの正規通信に紛れるためネットワーク監視では見逃されやすくなります。 乗っ取られたYouTubeチャンネル（合計再生5万回超）が偽リポジトリへの誘導に使われているとのこと。以前のポストで紹介したBunによるNWHStealer配布やDenoによるCastleLoader展開に続く正規ランタイム持ち込み（BYOR）の3例目にあたり、今回は正規パッケージマネージャーのScoopとWinGetでDeno実行環境を導入させる点も特徴です。 【要点の整理】 ・ChatGPT、Claude、Ableton Live、AutoTune、Kontakt等を模倣した偽リポジトリからMSIやPowerShellスクリプトを配布。ターミナルでコマンドをコピー実行させる手口で、クリエイターやAI利用者などが標的 ・MSIが投下するPowerShellスクリプトがScoopとWinGetを用いてDeno実行環境をインストール。正規パッケージマネージャー経由で署名済みバイナリとして導入される ・バックドア「DinDoor」はHTTPでC2から追加スクリプトを取得し、標準入力（stdin）経由でディスクに書き込まず実行。レジストリRUNキーで永続化 ・配布されるDeno製RATは50以上の暗号資産ウォレット拡張機能やChrome、Brave、Edge等のブラウザデータ、Telegram、Discordのデータを窃取対象とし、画面遠隔操作（VNC）、SOCKS5プロキシによる通信中継、クリップボード改変にも対応 ・P2P画面配信はEdgeをブラウザ遠隔操作用のChrome DevTools Protocol（CDP）で制御しWebRTCページを注入、H.264でエンコードした画面映像をWebRTCのDataChannelで攻撃者側へ直接送信。接続確立に必要なシグナリングにはC2のWebSocket通信を利用 ・軽量版「agent-lite」も確認されており、C2通信にCloudflare Workersを使用 ・報告元はMalwarebytesの脅威インテリジェンスチーム。DinDoorについてはhunt[.]ioも分析を公開 正規パッケージマネージャーでのランタイム導入から正規ブラウザの映像中継への転用まで、信頼されたツールを攻撃経路の各段階に組み込んだキャンペーンです。 GitHubは該当リポジトリを削除済みですが、攻撃者は新アカウントで配布を再開する可能性があるとのこと。 詳細は以下を参照： malwarebytes.com/blog/threat…

#hiring interns DataChannel is hiring a Front End Developer Intern Location: Gurugram, India Salary: 20k - of 30k / month Experience: entry level Apply here skillcareerhub.com/jobs/d1a4…

WebRTC Datachannel: Always negotiate data channels - Chrome Platform Status chromestatus.com/feature/511… そういえば Chrome 148 でデータチャネル利用時に createDataChannel を呼ばず（つまり label を消費せず）に DataChannel を確立できるようになりました。

🚀 𝗔𝗽𝗽𝗹𝗶𝗰𝗮𝘁𝗶𝗼𝗻 𝗡𝗼𝘁𝗲 #𝟮 𝗶𝘀 𝗟𝗜𝗩𝗘! Cloud 3D XR applications need more than great visuals—users expect seamless content interaction. Screenshots, video capture, file uploads, and instant sharing are essential for training, digital twins, and collaborative platforms. 𝗖𝗹𝗶𝗲𝗻𝘁 𝗖𝗮𝘀𝗲: A client's Unreal Engine app on AWS EC2 streamed perfectly via LarkXR. They asked whether LarkXR provided built-in cloud storage capabilities or an alternative path for bidirectional file operations. ⚡ 𝗟𝗮𝗿𝗸𝗫𝗥 𝗗𝗮𝘁𝗮 𝗖𝗵𝗮𝗻𝗻𝗲𝗹 𝗲𝗻𝗮𝗯𝗹𝗲𝘀: → Real-time screenshot and video capture with GPU acceleration → Bidirectional messaging and seamless media uploads/downloads → Minimal 3D engine modifications → Work on AWS, Google Cloud, Azure, self-hosted, any cloud infra...etc → Broad compatibility across browsers, mobile, and XR headsets 𝘌𝘯𝘨𝘪𝘯𝘦-𝘢𝘨𝘯𝘰𝘴𝘵𝘪𝘤. 𝘊𝘭𝘰𝘶𝘥-𝘢𝘨𝘯𝘰𝘴𝘵𝘪𝘤. 𝘋𝘦𝘷𝘦𝘭𝘰𝘱𝘦𝘳-𝘧𝘳𝘪𝘦𝘯𝘥𝘭𝘺. 👉 paraverse.cc/larkxr-data-cha… #CloudXR #LarkXR #3DStreaming #DataChannel

Wanted to share how we stream LLM tokens over WebRTC data channels in AntSeed. Most LLM APIs use SSE - unidirectional HTTP, “data:” lines, content-type: text/event-stream. Fine for a single API server. Doesn’t fit a peer to peer network where every seller runs real models behind real home connections. So the wire between peers is a WebRTC data channel. The local app (Claude Code, Codex, Pi, anything pointed at an OpenAI- or Anthropic-compatible base URL) talks to a local proxy on 127.0.0.1 over plain HTTP. That proxy serializes the request and ships it across a WebRTC data channel to the seller. The seller speaks SSE upstream to wherever the tokens come from. We don’t replace SSE; we wrap it. Each chunk from the upstream reader gets re-framed and pushed back onto the data channel. The buyer’s proxy unwraps it and re-emits SSE to the local consumer. HTTP/SSE → WebRTC → HTTP/SSE. Local app and upstream model each see exactly what they expect. WebSocket-based APIs like OpenAI Realtime aren’t wrapped yet - same idea applies, the upstream reader just looks different. The bridge is straight-line synchronous code. No buffer, no batch window, no backpressure check, no async hop. Per-chunk overhead is one binary copy and ~20 bytes of framing. We use one data channel per buyer/seller pair and multiplex many concurrent streams on it. SCTP underneath guarantees in-order reliable delivery - frames arrive in send order, retransmission on loss, no reorder buffer in user code. The receiver just keeps a Map<requestId, chunkHandler> and dispatches frames as they come in. Ten parallel chats between the same buyer and seller share one connection, one ICE negotiation, one DTLS handshake. Multiplexing is correctness-preserving for free. Encryption is also free. WebRTC data channels run on DTLS SCTP. node-datachannel wraps libdatachannel which handles the handshake, DTLS keys, SCTP ordering. Bytes are encrypted from sender’s libdatachannel to receiver’s libdatachannel. NAT traversal is free too: ICE candidate gathering, STUN, TURN fallback are all in libdatachannel. Peers behind home routers connect directly most of the time. If direct fails, there’s a TCP socket fallback in the connection manager that uses the same framing on top. Payments ride the same data channel. Channel open is a ReserveAuth - EIP-712 over channelId, maxAmount, deadline - that the buyer signs and ships inside the first SpendingAuth (type 0x50). The seller acks with AuthAck (type 0x51) and starts serving. After each response the seller sends NeedAuth (type 0x58) with the cumulative cost; the buyer responds with a fresh SpendingAuth signing the new cumulative spend. When spending hits ~85% of the reserve, the buyer tops up by re-signing SpendingAuth with a higher reserveMaxAmount. If the buyer hasn’t authorized enough to cover a request, the seller sends PaymentRequired (type 0x56) and the buyer signs more. No separate auth socket, no RPC. Streaming hot path stays clean. Payment math runs once per request, settled on-chain in batches later. HTTP for talking to the model. WebRTC for talking between peers. Each protocol where it’s actually good.

まだまだ課題は多いが Rust で WebRTC 実装、 libwebrtc との疎通はできるようになった。一番難しい DataChannel が動いてよかった。暗号部分をトレイトにしたので組み込みでも動きます。コア部分は no_std です。

Rust で no_std な WebRTC 実装、Sora と繋がった。DataChannel 経由でのシグナリングも動いた。暗号ライブラリと I/O 部分は好きに切り替えられるように実装してるので、組み込みでも使える。徹底的に「最小限」の実装をしている。

Release 0.147.1 · shiguredo/webrtc-rs github.com/shiguredo/webrtc-… libwebrtc のRust バインディング最新版を公開しました。createDataChannel せずに DataChannel を作成できる always_negotiate_data_channels に対応しています。

built our own take for antseed’s p2p layer. same http 402 trigger, but over mux - payment messages and ai traffic share the same webrtc datachannel github.com/AntSeed/antseed/b…

ECサイトの決済ページを狙う攻撃が新段階に入った。従来の検知をすり抜けるため、攻撃者はWebRTCを悪用し、通信そのものを隠蔽する手法へ移行。金融機関や大手企業も被害に遭い、防御の前提が崩れつつある。 Sansecによると、新たなWebスキミングはHTTPではなくWebRTCのDataChannelを利用し、UDPベースの暗号化通信でカード情報を外部へ送信する。従来のMagecart攻撃と異なり、CSPやWAFが監視するHTTPトラフィックを回避できる点が特徴だ。攻撃はまず軽量なJavaScriptローダーを埋め込み、nonce悪用やunsafe-evalで制御を突破。その後、requestIdleCallbackを使い検知を避けながら遅延実行される。最終的にチェックアウト画面で入力情報を盗み取り、WebRTC経由で密かに送信する。侵入経路としてはPolyShell脆弱性が関与し、Adobe CommerceやMagentoの約6割に悪性コードが注入された可能性が指摘されている。5社の大企業が短期間で被害に遭い、従来のHTTP監視中心の防御では不十分である実態が浮き彫りとなった。 securityonline.info/webrtc-w…

CSP（Content Security Policy）をすり抜ける新型のWebスキマー（ECサイトなどの決済情報を狙う情報窃取マルウェア）が発見。通常のWebスキマーはHTTPリクエストや画像ビーコンで盗んだデータを外部に送るが、今回見つかった検体はWebRTCのDataChannelでC2サーバーと通信しており、CSPでHTTP接続を厳格にブロックしているサイトでもこの経路は素通り。 侵入経路とされるMagento / Adobe CommerceのPolyShell脆弱性も大規模に悪用が進んでおり、脆弱なストアの56.7%でPolyShell攻撃が確認されている状況。 【攻撃の概要】 ・攻撃対象は大手自動車メーカーのECサイトで、WebRTCがスキミングチャネルに使われた事例は調査元の観測として初 ・侵入経路はPolyShellと呼ばれるMagento / Adobe Commerceの脆弱性が有力。REST API経由で認証不要の任意ファイルアップロードが可能になるもので、3月19日からマスエクスプロイテーションが開始。50以上のIPアドレスが参加 ・スキマー本体は自己実行型のスクリプトで、ハードコードされたIPアドレス（202.181.177[.]177）のUDPポート3479にWebRTCピア接続を確立。通常のWebRTCはシグナリングサーバーを介して接続情報を交換するが、このスキマーはSDP（Session Description Protocol）をスクリプト内で直接組み立てることで、シグナリングなしにC2サーバーへ接続 ・CSPのconnect-srcディレクティブはfetch・XHR・WebSocket等を制御するが、RTCPeerConnectionは対象外。CSP仕様上の既知のギャップで、Chromeにはwebrtc CSPディレクティブの実験的実装があるものの標準化されておらず、ほぼどのサイトも導入していない。通信もDTLS暗号化のUDPで行われるため、HTTP監視ツールでは検知できない ・受信した第二段階の悪意あるJavaScriptコードの実行時には、CSPのnonceも利用する。ページ上の既存scriptタグからnonce属性を探し出し、新しいscript要素にコピーすることでscript-srcポリシーも回避。nonceが見つからない場合はFunction()による実行を試み、それも失敗した場合はscriptタグの一時挿入にフォールバックする多段構成 ・PolyShellはAdobeが2.4.9プレリリースブランチでAPSB25-94の一部として修正済みだが、現行プロダクション向けバージョンへの単体パッチは提供されていない。Webサーバー側でpub/media/custom_options/ディレクトリへのアクセスを遮断し、Webシェルのスキャンを実施することが当面の緩和策 sansec.io/research/webrtc-sk…

なんと，あの台パンリバーシ3Dがマルチプレイに対応（⁉） 4時間クオリティなのでUIはまだ適当，バグもそこそこあると思う STUNサーバを使用したWebRTC DataChannelでのP2Pなので環境によっては接続出来ないかも～（ゲームサーバの運営費ｹﾁﾘ）

Blink: Intent to Ship: WebRTC Datachannel: Always negotiate data channels bit.ly/45oFcdb

これそのうちストアリリースしたいんだけどな〜 AirDrop 代替を謳うアプリは数あれど、WebRTC DataChannel と Bluetooth を組み合わせて同一 Wi-Fi に繋がなくても P2P で中央サーバ介さずデータ送受信できるアプリは他にほぼないはず 外だとデータ通信は食うけどLINEに上げてDLするのと変わらんし

SCTPとQUIC Streamについて比較してみた zenn.dev/link/comments/f870a… ところで、ZoomのWebクライアント立ち上げてwebrtc-internals見てみたんだけどDataChannel使ってなさそうな気配感じた。名残はあったけど。 Nativeアプリは今まで通り独自プロトコルだと思うけど、Webブラウザはやめたのかな

I just found your amazing demo while looking for a similar webrtc demo, I found back in 2015/2016, where you could scan/copy & paste only one(!) SDP and send the other via datachannel. But cannot find it anymore. Have you seen such in the past?