Zombi projektid – lekivad kasutajate andmed isegi pärast oma surma

Ma räägin taas isikuandmete leketest, kuid seekord tutvustan IT-projektide surmajärgsest maailmast kaht hiljutist leid.

Andmebaaside turvaauditite käigus juhtub sageli, et avastatakse servereid (kuidas andmebaase otsida, nagu ma oma blogis kirjutasin), mis kuuluvad projektidele, mis on ammu (või mitte nii ammu) meie maailmast lahkunud. Need projektid näivad endiselt elavat (töötavat), olles nagu zombid, kes koguvad pärast oma surma kasutajate isikuandmeid.

Muu info: kõik allolev teave on avaldatud ainult hariduslikel eesmärkidel. Autor ei ole saanud juurdepääsu kolmandate isikute ja ettevõtete isiklikele andmetele. Teave on saadud avatud allikatest või on autorile esitatud anonüümsete headest soovijatelt.

Alustame projektist nimega "Putini meeskond" (putinteam.ru).

Avastatud avatud MongoDB server oli 19.04.2019.

Nagu näha, jõudis esimesena selle andmebaasini "lunastaja":

Andmebaasis pole palju väärtuslikke isikuandmeid, kuid seal on e-posti aadresse (alla 1000), ees- ja perekonnanimesid, krüpteeritud paroole, GPS-koordinaate (näib, et need on registreerimise ajal nutitelefonidest saadud), elukohtade linnu ja kasutajate pilte, kes on loonud seal oma isikliku konto.

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Vadim", 
    "lastName" : "", 
    "city" : "Peterburi", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

Väga palju prügine infot ja tühje kirjeid. Näiteks ei kontrolli uudiskirja tellimise kood, et saadud e-posti aadress on korrektne, nii et selle asemel, et aadress sisse kirjutada, võib sisestada absoluutselt mida iganes.

Vaatamata saidi autoriõigusele, mis viitab, et projekt on hüljatud 2018. aastal, ei õnnestunud mitmed katsed projekti esindajatega ühendust võtta. Siiski võib märgata haruldasi registreerimisi saidil – elu imiteeritakse.

Teine zombi-projekt, mille kohta ma täna räägin, on Läti start-up "Roamer" (roamerapp.com/ru).

21.04.2019 avastati Saksamaal avatud MongoDB andmebaas mobiilirakenduse "Roamer" jaoks.

Andmebaasi suurus on 207 MB ja see on olnud avalikult kättesaadav alates 24.11.2018 (Shodani andmetel)!

Kõik välised tunnused (mitte töötav tehnilise toe e-posti aadress, purunenud lingid Google Play poodidesse, saidi autoriõigus aastast 2016 jne) viitavad sellele, et rakendus on ammu hüljatud.

Sel ajal kirjutas sellest start-up'ist praktiliselt kõik erialased meediumid:

• VC: "Läti start-up Roamer — rikkaime hulgas»
• the-village: "Roamer: Rakendus, mis vähendab välisriigist helistamise maksumust»
• lifehacker: "Kuidas vähendada rikkaimide kulutusi välistele kõnedele 10 korda: Roamer»

"Tappja" näib end tapnud, kuid isegi surnuna jätkab ta oma kasutajate isikuandmete levitamist...

Andmete analüüsi põhjal on paljud kasutajad endiselt seda mobiilirakendust kasutamas. Mitme tunni jooksul jälgimise käigus ilmus 94 uut kirjet. Ajavahemikul 27.03.2019 kuni 10.04.2019 registreerus rakenduses 66 uut kasutajat.

Avalikult kättesaadavad on rakenduse logid (üle 100 000 kirje) koos sellise infoga nagu:

• kasutaja telefon
• juurdepääs tokenid kõnede ajaloo jaoks (saadaval linkide kaudu, mis näevad välja nagu: api3.roamerapp.com/call/history/1553XXXXXX)
• kõnede ajalugu (numbrid, sissetulev või väljaminev kõne, kõne maksumus, kestus, kõne aeg)
• kasutaja mobiilne operaator
• kasutaja IP-aadress
• kasutaja telefonimudel ja sellel olev mobiilne OS (nt, iPhone 7 12.1.4)
• kasutaja e-posti aadress
• kasutaja saldo ja valuuta
• kasutaja riik
• kasutaja praegune asukoht (riik)
• sooduskoodid
• ja palju muud.

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

Kahjuks ei õnnestunud andmebaasi omanikke kätte saada. Lisaks ei toimi saidil kontaktandmed ning keegi ei reageeri sotsiaalmeedia sõnumitele.

Apple App Store'is on rakendus endiselt saadaval (itunes.apple.com/app/roamer-roaming-killer/id646368973).

Uudiseid infolekete ja siseringide kohta leiate alati minu Telegrami kanalilt „Infolekked»: https://t.me/dataleak.

Allikas: habr.com