Проекти за зомбита – изтичане на потребителски данни дори след смъртта им

Отново говоря за изтичане на лични данни, но този път ще ви разкажа малко за задгробния живот на ИТ проектите, използвайки примера на две скорошни находки.

По време на одит на сигурността на база данни често се случва да откриете сървъри (как да търсите в бази данни, написах в блог), принадлежащи към проекти, които отдавна (или не толкова отдавна) са напуснали нашия свят. Такива проекти дори продължават да имитират живот (работа), наподобявайки зомбита (събиране на лични данни на потребители след смъртта им).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Да започнем с проект с гръмкото име „Отборът на Путин“ (putinteam.ru).

Сървър с отворен MongoDB беше открит на 19.04.2019 г.

Както можете да видите, ransomware беше първият, който достигна тази база:

Базата данни не съдържа особено ценни лични данни, но има имейл адреси (по-малко от 1000), собствени имена/фамилии, хеширани пароли, GPS координати (очевидно при регистрация от смартфони), градове на пребиваване и снимки на потребители на сайта, които са създали личната им сметка в него.

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Вадим", 
    "lastName" : "", 
    "city" : "Санкт-Петербург", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

Толкова много боклуци информация и празни записи. Например кодът за абонамент за бюлетин не проверява дали е въведен имейл адрес, така че вместо адрес можете да напишете каквото искате.

Съдейки по авторските права на уебсайта, проектът е изоставен през 2018 г. Всички опити за връзка с представители на проекта бяха неуспешни. В сайта обаче има редки регистрации - има имитация на живот.

Вторият зомби проект в днешния ми анализ е латвийският стартъп „Roamer“ (roamerapp.com/ru).

На 21.04.2019 април XNUMX г. на сървър в Германия беше открита отворена база данни MongoDB на мобилното приложение „Roamer“.

Базата данни с размер 207 MB е публично достъпна от 24.11.2018 ноември XNUMX г. (според Shodan)!

По всички външни признаци (неработещ имейл адрес за техническа поддръжка, повредени връзки към магазина на Google Play, авторски права върху уебсайта от 2016 г. и др.) приложението е изоставено за дълго време.

По едно време почти всички тематични медии писаха за този стартъп:

• VC: "Латвийският стартъп Roamer е роуминг убиец»
• селото: "Roamer: Приложение, което намалява разходите за разговори от чужбина»
• лайфхакер: "Как да намалим разходите за комуникация в роуминг с 10 пъти: Roamer»

„Убиецът“ изглежда се е самоубил, но дори когато е мъртъв, той продължава да разкрива личните данни на своите потребители...

Съдейки по анализа на информацията в базата данни, много потребители продължават да използват това мобилно приложение. В рамките на няколко часа след наблюдение се появиха 94 нови записа. А за периода от 27.03.2019 март 10.04.2019 г. до 66 април XNUMX г. в приложението са се регистрирали XNUMX нови потребители.

Дневници (повече от 100 хиляди записа) на приложението с информация като:

• потребителски телефон
• токени за достъп до хронология на обажданията (достъпни чрез връзки като: api3.roamerapp.com/call/history/1553XXXXXX)
• история на обажданията (номера, входящо или изходящо повикване, цена на обаждането, продължителност, време на повикване)
• мобилния оператор на потребителя
• IP адреси на потребители
• модела на телефона на потребителя и версията на мобилната ОС на него (напр. iPhone 7 12.1.4)
• потребителски имейл адрес
• баланс и валута на потребителския акаунт
• страна на потребителя
• текущото местоположение (държава) на потребителя
• промоционални кодове
• и много повече.

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

Разбира се, не беше възможно да се свържем със собствениците на базата. Контактите в сайта не работят, съобщения в социалните мрежи. никой не реагира в мрежите.

Приложението все още е достъпно в Apple App Store (itunes.apple.com/app/roamer-roaming-killer/id646368973).

Новини за изтичане на информация и вътрешни лица винаги можете да намерите в моя канал в Telegram "Течове на информация" https://t.me/dataleak.

Източник: www.habr.com