Hablo de nuevo sobre filtraciones de datos personales, pero esta vez compartiré un poco sobre el más allá de los proyectos de TI, tomando como ejemplo dos hallazgos recientes.
En el proceso de auditoría de seguridad de bases de datos, a menudo ocurre que se descubren servidores (, escribí en el blog), pertenecientes a proyectos que han dejado nuestro mundo hace mucho (o no tanto). Estos proyectos incluso continúan simulando la vida (la actividad), asemejándose a zombis (recopilando datos personales de los usuarios tras su muerte).
Descargo de responsabilidad: toda la información a continuación se publica exclusivamente con fines educativos. El autor no ha tenido acceso a datos personales de terceros ni a empresas. La información fue extraída o de fuentes abiertas o proporcionada al autor por anónimos bienintencionados.Comencemos con un proyecto con un nombre llamativo: “Equipo de Putin” (putinteam.ru).
Se descubrió un servidor con MongoDB abierta el 19.04.2019.
Como se puede notar, el primero en acceder a esta base fue un “ransomware”:
En la base no hay datos personales especialmente valiosos, pero hay direcciones de correo electrónico (menos de 1000), nombres/apellidos, contraseñas hash, coordenadas GPS (aparentemente registradas desde teléfonos inteligentes), ciudades de residencia y fotos de los usuarios del sitio que crearon su cuenta personal.
{
"_id" : ObjectId("5c99c5d08000ec500c21d7e1"),
"role" : "USER",
"avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg",
"firstName" : "Vadim",
"lastName" : "",
"city" : "San Petersburgo",
"about" : "",
"mapMessage" : "",
"isMapMessageVerify" : "0",
"pushIds" : [
],
"username" : "5c99c5d08000ec500c21d7e1",
"__v" : NumberInt(0),
"coordinates" : {
"lng" : 30.315868,
"lat" : 59.939095
}
}
{
"_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"),
"type" : "BASE",
"email" : "***@yandex.ru",
"password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426",
"user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"),
"__v" : NumberInt(0)
}Hay muchos basura de información y registros vacíos. Por ejemplo, el código de suscripción al boletín no verifica si se ha introducido una dirección de correo electrónico, por lo que se puede escribir cualquier cosa en lugar de una dirección válida.
Según el aviso de derechos en el sitio, el proyecto fue abandonado en 2018. Todos los intentos de contactar a los representantes del proyecto fueron infructuosos. Sin embargo, se siguen realizando rarezas registros en el sitio: hay clara simulación de vida.
El segundo proyecto zombi en mi análisis de hoy es la startup letona “Roamer” (roamerapp.com/ru).
El 21.04.2019 se descubrió una base de datos MongoDB abierta en el servidor en Alemania para la aplicación móvil “Roamer”.
La base, de 207 MB, ha estado accesible públicamente desde el 24.11.2018 (según datos de Shodan)!
Aparentemente, por todos los signos externos (la dirección de correo electrónico de soporte técnico no funciona, enlaces rotos en Google Play, el aviso de derechos en el sitio es de 2016, etc.) – la aplicación ha sido abandonada hace tiempo.
En su momento, prácticamente todos los medios especializados escribieron sobre esta startup:
- VC: «La startup letona Roamer — el asesino del roaming»
- the-village: «Roamer: Una aplicación que reduce el costo de las llamadas desde el extranjero»
- lifehacker: «Cómo reducir los gastos de comunicación en roaming en 10 veces: Roamer»
«El asesino» parece haberse autodestruido, pero incluso muerto sigue divulgando datos personales de sus usuarios…
Según el análisis de la información en la base de datos, muchos usuarios continúan utilizando esta aplicación móvil. En pocas horas de observación, se registraron 94 nuevas entradas. Y durante el período del 27.03.2019 al 10.04.2019, se registraron 66 nuevos usuarios en la aplicación.
Están disponibles públicamente los registros (más de 100 mil entradas) de la aplicación con información como:
- teléfono del usuario
- tokens de acceso al historial de llamadas (disponibles en enlaces del tipo: api3.roamerapp.com/call/history/1553XXXXXX)
- historial de llamadas (números, llamada entrante o saliente, costo de la llamada, duración, hora de la llamada)
- operador móvil del usuario
- direcciones IP del usuario
- modelo del teléfono del usuario y versión del sistema operativo móvil en él (por ejemplo, iPhone 7 12.1.4)
- dirección de correo electrónico del usuario
- saldo y moneda de la cuenta del usuario
- país del usuario
- ubicación actual (país) del usuario
- códigos promocionales
- y mucho más.
{
"_id" : ObjectId("5c9a49b2a1f7da01398b4569"),
"url" : "api3.roamerapp.com/call/history/*******5049",
"ip" : "67.80.1.6",
"method" : NumberLong(1),
"response" : {
"calls" : [
{
"start_time" : NumberLong(1553615276),
"number" : "7495*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869601)
},
{
"start_time" : NumberLong(1553615172),
"number" : "7499*******",
"accepted" : true,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(63),
"cost" : 0.03,
"call_id" : NumberLong(18869600)
},
{
"start_time" : NumberLong(1553615050),
"number" : "7985*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869599)
}
]
},
"response_code" : NumberLong(200),
"post" : [
],
"headers" : {
"Host" : "api3.roamerapp.com",
"X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e",
"Accept" : "application/json",
"X-Sim-Operator" : "311480",
"X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"",
"Accept-Encoding" : "gzip, deflate",
"Accept-Language" : "en-us",
"Content-Type" : "application/json",
"X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC",
"User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4",
"Connection" : "keep-alive",
"X-App-Build" : "511",
"X-Lang" : "EN",
"X-Connection" : "WiFi"
},
"created_at" : ISODate("2019-03-26T15:48:02.583+0000"),
"user_id" : "888689"
}No se pudo contactar con los propietarios de la base de datos. Los contactos en el sitio no funcionan y nadie responde a los mensajes en redes sociales.
La aplicación sigue disponible en el Apple App Store (itunes.apple.com/app/roamer-roaming-killer/id646368973).
Siempre se pueden encontrar noticias sobre filtraciones de información e informantes en mi canal de Telegram «»: .
Fuente: habr.com
