Zombi projektid – lekivad kasutajate andmed isegi pärast surma

Ma jälle räägin isikuandmete lekkimisest, kuid seekord tutvustan natuke IT-projektide pärast elu, kasutades kahe hiljutise avastuse näidet.

Andmebaaside turveauditi käigus juhtub sageli, et avastad serverid (kuidas otsida andmebaase, nagu ma olen oma blogis kirjutanud), mis kuuluvad projektidele, mis on juba ammu (või mitte nii ammu) meie maailmast lahkunud. Sellised projektid jätkavad isegi elu (töötamist) imiteerimist, olles nagu zombid (kogudes kasutajate isikuandmeid pärast oma surma).

Distsipliin: kogu allpool olev teave avaldatakse ainult hariduslikel eesmärkidel. Autor ei ole saanud juurdepääsu kolmandate isikute ja ettevõtete isikuandmetele. Teave on saadud kas avatud allikatest või on autori käes anonüümsete headest soovidest.

Alustame projektist nimega „Putini meeskond“ (putinteam.ru).

Avastatud oli avatud MongoDB server 19.04.2019.

Kuidas näha, et esimene, kes selle andmebaasini jõudis, oli „lunavaras“:

Andmebaasis pole eriti väärtuslikke isikuandmeid, kuid seal on e-posti aadresse (alla 1000), nimesid/perekonnanimesid, hashitud paroole, GPS-koordinaate (tõenäoliselt nutitelefoniga registreerimisel), elukohti ja fotosid veebisaidi kasutajatelt, kes on seal oma isikliku konto loonud.

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Vadim", 
    "lastName" : "", 
    "city" : "Peterburi", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

Väga palju prügi teavet ja tühje kirjeid. Näiteks uudiskirja tellimiskood ei kontrolli, et sisestatud oleks e-posti aadress, seega võib sinna kirjutada kõike, mida iganes.

Veebisaidi autoriõiguse järgi on projekt hüljatud 2018. aastal. Kõik katsed ühendust võtta projekti esindajatega on ebaõnnestunud. Siiski toimub veebisaidil harva registreerimisi – elu imiteerimine on ilmselge.

Teine zombi-projekt minu tänases analüüsis on Läti idufirma „Roamer“ (roamerapp.com/ru).

21.04.2019 leiti Saksamaa serverist avatud MongoDB andmebaas mobiilirakenduse „Roamer“ jaoks.

Andmebaasi suurus on 207 MB ja see on olnud avatud alates 24.11.2018 (Shodani andmetel)!

Kõigi väliste märkide kohaselt (mitte töötav tehnilise toe e-posti aadress, katki lingid Google Play poodi, veebisaidi copyright aastast 2016 jne) – rakendus on ammu hüljatud.

Aegadel on sellest idufirmast kirjutanud praktiliselt kõik spetsialiseeritud meediakavad:

• VC: «Läti idufirma Roamer – rände tapja»
• the-village: «Roamer: Rakendus, mis vähendab välisriigist helistamise kulusid»
• lifehacker: «Kuidas vähendada rändekulusid 10 korda: Roamer»

«Tapja» näib juba surnud, kuid isegi surres jätkab ta oma kasutajate isikuandmete avaldamist…

Andmete analüüsi põhjal jätkavad paljud kasutajad selle mobiilirakenduse kasutamist. Paari tunni jooksul ilmnes 94 uut sissekannet. Ja ajavahemikus 27.03.2019 kuni 10.04.2019 registreerus rakenduses 66 uut kasutajat.

Avalikult on kergesti kätte saadavad logid (üle 100 tuhande sissekande) rakendusega, kus on selline teave nagu:

• kasutaja telefon
• kutsed, mis sisaldavad ligipääsuvõtmeid helistamise ajaloole (saadaval linkidel nagu: api3.roamerapp.com/call/history/1553XXXXXX)
• helistamise ajalugu (numbrid, sissetulev või väljuv kõne, kõne hind, kestus, kõne aeg)
• kasutaja mobiilioperaator
• kasutaja IP-aadressid
• kasutaja telefoni mudel ja selle mobiilse OS versioon (näiteks, iPhone 7 12.1.4)
• kasutaja e-posti aadress
• kasutaja saldo ja konto valuuta
• kasutaja riik
• kasutaja praegune asukoht (riik)
• promokoodid
• ja palju muud.

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

Võtmeside omanikega ei õnnestunud loomulikult luua. Kontaktid saidil ei toimi, sotsiaalmeediasse saadetud sõnumitele ei reageerita.

Apple App Store'is on rakendus endiselt saadaval (itunes.apple.com/app/roamer-roaming-killer/id646368973).

Infot andmelekkete ja siseinfo kohta saab alati leida minu Telegrami kanalist „Andmelekked»: https://t.me/dataleak.

Allikas: habr.com