Зомби проекти – изтичат данни за потребителите дори след смъртта си

Отново говоря за изтичането на лични данни, но този път ще разкажа малко за задгробния свят на ИТ проекти, като пример ще използвам две recent атаки.

При одита на сигурността на базите данни често се случва да откриеш сървъри (как да търсим бази данни, писах в блога), принадлежащи на проекти, които отдавна (или не толкова отдавна) са напуснали нашия свят. Такива проекти дори продължават да имитират живот (работа), напомняйки на зомби (събирайки лични данни на потребители след смъртта си).

Дисклеймър: цялата информация по-долу е публикувана изключително с образователна цел. Авторът не е получил достъп до лични данни на трети лица и компании. Информацията е взета или от открити източници, или е предоставена на автора от анонимни доброжелатели.

Нека започнем с проект с шумно име «Екипът на Путин» (putinteam.ru).

Сървър с открита MongoDB беше открит на 19.04.2019.

Както може да се забележи, първият, който достигна до тази база, е «изнудвачът»:

В базата няма особено ценни лични данни, но има адреси на електронна поща (по-малко от 1000), имена/фамилии, хеширани пароли, GPS координати (очевидно при регистриране от смартфони), градове на пребиваване и снимки на потребителите на сайта, които са си създали личен акаунт.

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Вадим", 
    "lastName" : "", 
    "city" : "Санкт-Петербург", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

Има много боклук информация и празни записи. Например, кодът за абонамент за новини не проверява, дали е въведен адрес на електронна поща, така че вместо адреса, може да се пише каквото и да е.

Съдейки по авторските права на сайта, проектът е изоставен през 2018 година. Всички опити за свързване с представителите на проекта са били неуспешни. Въпреки това, редки регистрации на сайта продължават – налице е имитация на живот.

Вторият зомби проект в моя днешен анализ е латвийският стартъп «Roamer» (roamerapp.com/ru).

На 21.04.2019 на сървър в Германия беше открита открита база данни MongoDB на мобилното приложение «Roamer».

Базата, с размер 207 Мб, е в открит достъп от 24.11.2018 (по данни на Shodan)!

По всички външни признаци (неработещ адрес на електронна поща на техническата поддръжка, счупени линкове в Google Play, авторски права на сайта от 2016 година и т.н.) - приложението отдавна е изоставено.

Преди време почти всички тематични медии писаха за този стартъп:

• VC: «Латвийският стартъп Roamer — убиец на роуминга»
• the-village: «Roamer: Приложение, намаляващо цената на обажданията от чужбина»
• lifehacker: «Как да намалим разходите за свързаност в роуминга десетократно: Roamer»

«Убиецът» изглежда, че е загинал сам, но дори мъртъв продължава да разкрива личните данни на потребителите си…

Судя по анализа на информацията в базата, много потребители продължават да използват това мобилно приложение. За няколко часа наблюдение са се появили 94 нови записи. А за периода от 27.03.2019 до 10.04.2019 в приложението са се регистрирали 66 нови потребители.

В открит достъп са логовете (повече от 100 хил. записа) на приложението с такава информация като:

• телефонен номер на потребителя
• токени за достъп до историята на обажданията (достъпни по линкове от вида: api3.roamerapp.com/call/history/1553XXXXXX)
• история на обажданията (номера, входящо или изходящо обаждане, цена на обаждането, продължителност, време на обаждане)
• мобилен оператор на потребителя
• IP адреса на потребителя
• модел на телефона на потребителя и версия на мобилната ОС на него (например, iPhone 7 12.1.4)
• имейл адрес на потребителя
• баланс и валута на сметката на потребителя
• страна на потребителя
• текущо местоположение (страна) на потребителя
• промокодове
• и много други.

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

Свързването с притежателите на базата данни, разбира се, не успя. Контактите на сайта не работят, никой не реагира на съобщения в социалните медии.

В Apple App Store приложението все още е налично (itunes.apple.com/app/roamer-roaming-killer/id646368973).

Новини за изтичане на информация и инсайдери винаги можете да намерите в моя Telegram канал «Изтичане на информация»: https://t.me/dataleak.

Източник: habr.com