Исходящий запрос ровно один
Раз в сутки: GET https://chatda.dev/update/latest.json. Вместе с ним отправляется только User-Agent: chatda-update/<версия> — ни кук, ни поисковых запросов, ни имён файлов, ни имени компьютера, ни каких-либо идентификаторов. В ответ приходят четыре вещи: номер версии, адрес установщика, SHA-256 и размер. Сам установщик загружается лишь тогда, когда более новая версия действительно есть.
Доверять файлу позволяют две независимые проверки
Первая: SHA-256 должен совпасть с указанным в манифесте. Вторая: подпись Authenticode должна быть действительной, а подписант — PROJECTTEAMFORYOU. Это имя записано в коде программы, а не в манифесте, — тот, кто подменит манифест целиком, всё равно не пройдёт без нашего сертификата. Если хотя бы одна проверка не сходится, загруженный файл удаляется.
Если выключить — это действительно ноль
Выключите в ⋮ Ещё внутри программы или снимите галочку при установке. Тогда проверяющая программа даже не запускается — сокет не открывается. К тому же у поисковой программы вовсе нет кода исходящих соединений: проверка и загрузка живут в отдельном chatda-update.exe, а поиск лишь читает его результат из файла.