জম্বি প্রকল্প - তাদের মৃত্যুর পরেও ব্যবহারকারীর ডেটা ফাঁস করে

আমি ব্যক্তিগত তথ্য ফাঁসের প্রসঙ্গ নিয়ে আবার ফিরে এসেছি, তবে এবার দুটি সাম্প্রতিক আবিষ্কারকে উদাহরণ হিসেবে ব্যবহার করে আইটি প্রকল্পের পরবর্তী প্রভাব সম্পর্কে আপনাদের কিছু বলব।

ডাটাবেস নিরাপত্তা নিরীক্ষা প্রক্রিয়ার সময় প্রায়শই এমন সার্ভার আবিষ্কৃত হয়, (ডাটাবেস কীভাবে অনুসন্ধান করবেন(আমি একটি ব্লগ পোস্টে লিখেছিলাম) এমন সব প্রকল্পের অন্তর্গত যেগুলো অনেক আগেই (বা খুব বেশি দিন আগে নয়) এই পৃথিবী ছেড়ে চলে গেছে। এই ধরনের প্রকল্পগুলো এমনকি জম্বিদের মতো জীবন (কাজ) অনুকরণ করে চলেছে (ব্যবহারকারীদের মৃত্যুর পরেও তাদের ব্যক্তিগত তথ্য সংগ্রহ করে)।

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

চলুন 'পুতিনের টিম' (putinteam.ru) নামের জমকালো প্রকল্পটি দিয়ে শুরু করা যাক।

১৯ এপ্রিল, ২০১৯ তারিখে একটি উন্মুক্ত MongoDB সার্ভার আবিষ্কৃত হয়েছিল।

যেমনটা দেখতে পাচ্ছেন, এই ঘাঁটিতে প্রথম পৌঁছেছিল সেই 'চাঁদাবাজ':

ডেটাবেসটিতে বিশেষভাবে মূল্যবান কোনো ব্যক্তিগত তথ্য নেই, তবে এতে সাইটে ব্যক্তিগত অ্যাকাউন্ট তৈরি করা ব্যবহারকারীদের ইমেল ঠিকানা (১০০০-এর কম), প্রথম ও শেষ নাম, হ্যাশ করা পাসওয়ার্ড, জিপিএস স্থানাঙ্ক (স্পষ্টতই স্মার্টফোন থেকে নিবন্ধনের সময় সংগৃহীত), বসবাসের শহর এবং ছবি রয়েছে।

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Вадим", 
    "lastName" : "", 
    "city" : "Санкт-Петербург", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

অনেক আবর্জনা তথ্য এবং খালি এন্ট্রি। উদাহরণস্বরূপ, নিউজলেটার সাবস্ক্রিপশন কোডটি ইমেল ঠিকানা প্রবেশ করানো হয়েছে কিনা তা পরীক্ষা করে না, তাই আপনি এর পরিবর্তে আপনার ইচ্ছামত যেকোনো কিছু প্রবেশ করাতে পারেন।

ওয়েবসাইটটির কপিরাইট অনুযায়ী, প্রকল্পটি ২০১৮ সালে পরিত্যক্ত হয়েছিল। প্রকল্পটির প্রতিনিধিদের সাথে যোগাযোগের সমস্ত প্রচেষ্টা ব্যর্থ হয়েছে। তবে, সাইটটি এখনও মাঝে মাঝে দেখা যায়—এটি স্পষ্টতই জীবনের একটি অনুকরণ।

আজ আমি দ্বিতীয় যে জম্বি প্রজেক্টটি নিয়ে আলোচনা করতে যাচ্ছি, সেটি হলো লাটভিয়ান স্টার্টআপ 'রোমার' (roamerapp.com/ru)।

২০১৯ সালের ২১শে এপ্রিল, রোমার মোবাইল অ্যাপের একটি অরক্ষিত MongoDB ডেটাবেস জার্মানির একটি সার্ভারে আবিষ্কৃত হয়।

২০৭ মেগাবাইট আকারের এই ডেটাবেসটি ২৪শে নভেম্বর, ২০১৮ থেকে সর্বসাধারণের জন্য উপলব্ধ হয়েছে (শোডানের তথ্য অনুযায়ী)!

সমস্ত বাহ্যিক লক্ষণ (অকার্যকর টেকনিক্যাল সাপোর্ট ইমেল ঠিকানা, গুগল প্লে স্টোরের ভাঙা লিঙ্ক, ওয়েবসাইটে ২০১৬ সালের কপিরাইট ইত্যাদি) দেখে মনে হচ্ছে, অ্যাপটি অনেক আগেই পরিত্যক্ত হয়েছে।

একসময় প্রায় সব প্রাসঙ্গিক সংবাদমাধ্যমই এই স্টার্টআপটি নিয়ে লিখেছিল:

• ভিসি: «লাতভিয়ান স্টার্টআপ রোমার হলো রোমিং-এর এক চরম শত্রু।»
• the-village: «রোমার: এমন একটি অ্যাপ যা আন্তর্জাতিক কলের খরচ কমিয়ে দেয়।»
• লাইফহ্যাকার:আপনার রোমিং খরচ ১০ গুণ কমানোর উপায়: রোমার»

'খুনি' আত্মহত্যা করেছে বলে মনে হচ্ছে, কিন্তু মৃত্যুর পরেও সে তার ব্যবহারকারীদের ব্যক্তিগত তথ্য ফাঁস করে চলেছে...

ডাটাবেস বিশ্লেষণের ভিত্তিতে দেখা গেছে, অনেক ব্যবহারকারী এই মোবাইল অ্যাপটি ব্যবহার করে চলেছেন। কয়েক ঘণ্টার পর্যবেক্ষণে ৯৪টি নতুন এন্ট্রি যুক্ত হয়েছে। এবং ২৭ মার্চ, ২০১৯ থেকে ১০ এপ্রিল, ২০১৯-এর মধ্যে অ্যাপটিতে ৬৬ জন নতুন ব্যবহারকারী নিবন্ধন করেছেন।

অ্যাপ্লিকেশনটির লগগুলো (এক লক্ষেরও বেশি এন্ট্রি) সর্বজনীনভাবে উপলব্ধ, যাতে নিম্নলিখিত তথ্যগুলো রয়েছে:

• ব্যবহারকারীর ফোন নম্বর
• কল হিস্ট্রি অ্যাক্সেস টোকেন (এই ধরনের লিঙ্কের মাধ্যমে পাওয়া যায়: api3.roamerapp.com/call/history/1553XXXXXX)
• কলের ইতিহাস (নম্বর, ইনকামিং বা আউটগোয়িং কল, কলের খরচ, সময়কাল, কলের সময়)
• ব্যবহারকারীর মোবাইল অপারেটর
• ব্যবহারকারীর আইপি ঠিকানা
• ব্যবহারকারীর ফোনের মডেল এবং এতে থাকা মোবাইল ওএস-এর সংস্করণ (উদাহরণস্বরূপ, iPhone 7 12.1.4)
• ব্যবহারকারীর ইমেল ঠিকানা
• ব্যবহারকারীর অ্যাকাউন্টের ব্যালেন্স এবং মুদ্রা
• ব্যবহারকারীর দেশ
• ব্যবহারকারীর বর্তমান অবস্থান (দেশ)
• প্রচার কোড
• এবং আরো অনেক কিছু

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

স্বাভাবিকভাবেই, আমরা ঘাঁটিটির মালিকদের সাথে যোগাযোগ করতে পারিনি। ওয়েবসাইটে দেওয়া যোগাযোগের তথ্য অকার্যকর, এবং সামাজিক যোগাযোগ মাধ্যমে পাঠানো বার্তারও কেউ সাড়া দেয়নি।

অ্যাপটি এখনও অ্যাপল অ্যাপ স্টোরে পাওয়া যাচ্ছে (itunes.apple.com/app/roamer-roaming-killer/id646368973)।

তথ্য ফাঁস এবং অভ্যন্তরীণ সম্পর্কে খবর সর্বদা আমার টেলিগ্রাম চ্যানেলে পাওয়া যাবে "তথ্য ফাঁস" https://t.me/dataleak.

উত্স: www.habr.com