ફરીથી:સ્ટોર, સેમસંગ, સોની સેન્ટર, નાઇકી, લેગો અને સ્ટ્રીટ બીટ સ્ટોર્સમાંથી ગ્રાહક ડેટાનું લીકેજ

છેલ્લા અઠવાડિયે Kommersant જાણ કરી, કે "સ્ટ્રીટ બીટ અને સોની સેન્ટરના ક્લાયન્ટ બેઝ સાર્વજનિક ડોમેનમાં હતા," પરંતુ વાસ્તવમાં બધું લેખમાં લખવામાં આવ્યું છે તેના કરતા ઘણું ખરાબ છે.

મેં આ લીકનું વિગતવાર તકનીકી વિશ્લેષણ પહેલેથી જ કર્યું છે. ટેલિગ્રામ ચેનલમાં, તેથી અહીં આપણે ફક્ત મુખ્ય મુદ્દાઓ પર જઈશું.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

અનુક્રમણિકાઓ સાથેનું અન્ય સ્થિતિસ્થાપક શોધ સર્વર મુક્તપણે ઉપલબ્ધ હતું:

• graylog2_0
• રીડમી
• unauth_text
• http:
• graylog2_1

В graylog2_0 નવેમ્બર 16.11.2018, 2019 થી માર્ચ XNUMX સુધીના લૉગ્સ અને ઇન graylog2_1 - માર્ચ 2019 થી 04.06.2019/XNUMX/XNUMX સુધી લોગ. Elasticsearch ની ઍક્સેસ બંધ ન થાય ત્યાં સુધી, માં રેકોર્ડ્સની સંખ્યા graylog2_1 વધ્યું

શોદાન સર્ચ એન્જિન મુજબ, આ ઇલાસ્ટિકસર્ચ નવેમ્બર 12.11.2018, 16.11.2018 થી મુક્તપણે ઉપલબ્ધ છે (ઉપર લખ્યા પ્રમાણે, લોગમાં પ્રથમ એન્ટ્રીઓ નવેમ્બર XNUMX, XNUMXની છે).

લોગમાં, ક્ષેત્રમાં gl2_remote_ip IP સરનામાં 185.156.178.58 અને 185.156.178.62 DNS નામો સાથે નિર્દિષ્ટ કરવામાં આવ્યાં હતાં srv2.inventive.ru и srv3.inventive.ru:

મેં જાણ કરી સંશોધનાત્મક રિટેલ જૂથ (www.inventive.ru) 04.06.2019/18/25 ના રોજ 22:30 (મોસ્કો સમય) પર સમસ્યા વિશે અને XNUMX:XNUMX સુધીમાં સર્વર "શાંતિપૂર્વક" જાહેર ઍક્સેસમાંથી ગાયબ થઈ ગયું.

સમાવિષ્ટ લૉગ્સ (બધો ડેટા અંદાજિત છે, ડુપ્લિકેટ્સ ગણતરીમાંથી દૂર કરવામાં આવ્યાં નથી, તેથી વાસ્તવિક લીક થયેલી માહિતીની સંખ્યા મોટે ભાગે ઓછી છે):

• પુનઃસ્ટોર, સેમસંગ, સ્ટ્રીટ બીટ અને લેગો સ્ટોરમાંથી ગ્રાહકોના 3 મિલિયનથી વધુ ઈમેલ એડ્રેસ
• પુનઃસ્ટોર, સોની, નાઇકી, સ્ટ્રીટ બીટ અને લેગો સ્ટોરમાંથી ગ્રાહકોના 7 મિલિયનથી વધુ ફોન નંબર
• સોની અને સ્ટ્રીટ બીટ સ્ટોર્સના ખરીદદારોના વ્યક્તિગત ખાતામાંથી 21 હજારથી વધુ લોગિન/પાસવર્ડ જોડી.
• ફોન નંબરો અને ઈમેઈલ સાથેના મોટાભાગના રેકોર્ડમાં સંપૂર્ણ નામો (ઘણી વખત લેટિનમાં) અને લોયલ્ટી કાર્ડ નંબરો પણ હોય છે.

નાઇકી સ્ટોર ક્લાયંટને લગતા લોગમાંથી ઉદાહરણ (બધો સંવેદનશીલ ડેટા “X” અક્ષરોથી બદલાયો):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

અને અહીં વેબસાઇટ્સ પર ખરીદદારોના વ્યક્તિગત એકાઉન્ટ્સમાંથી લોગિન અને પાસવર્ડ્સ કેવી રીતે સંગ્રહિત કરવામાં આવ્યા તેનું ઉદાહરણ છે sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

આ ઘટના પર IRGનું સત્તાવાર નિવેદન વાંચી શકાય છે અહીં, તેમાંથી અવતરણ:

અમે આ મુદ્દાની અવગણના કરી શક્યા નહીં અને કપટપૂર્ણ હેતુઓ માટે વ્યક્તિગત એકાઉન્ટમાંથી ડેટાનો સંભવિત ઉપયોગ ટાળવા માટે, ક્લાયન્ટના વ્યક્તિગત એકાઉન્ટના પાસવર્ડને કામચલાઉ એકાઉન્ટમાં બદલી દીધા. કંપની સ્ટ્રીટ-બીટ.રૂ ક્લાયંટના વ્યક્તિગત ડેટાના લીકની પુષ્ટિ કરતી નથી. ઇન્વેન્ટિવ રિટેલ ગ્રૂપના તમામ પ્રોજેક્ટની પણ ચકાસણી કરવામાં આવી હતી. ક્લાયંટના વ્યક્તિગત ડેટા માટે કોઈ ધમકીઓ મળી નથી.

તે ખરાબ છે કે IRG એ સમજી શકતું નથી કે શું લીક થયું છે અને શું નથી. સ્ટ્રીટ બીટ સ્ટોર ક્લાયન્ટથી સંબંધિત લોગમાંથી અહીં એક ઉદાહરણ છે:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

જો કે, ચાલો ખરેખર ખરાબ સમાચાર તરફ આગળ વધીએ અને સમજાવીએ કે શા માટે આ IRG ક્લાયંટનો વ્યક્તિગત ડેટા લીક છે.

જો તમે આ મુક્તપણે ઉપલબ્ધ Elasticsearch ના અનુક્રમણિકાઓને નજીકથી જોશો, તો તમે તેમાં બે નામો જોશો: રીડમી и unauth_text. આ ઘણી રેન્સમવેર સ્ક્રિપ્ટોમાંથી એકની લાક્ષણિકતા છે. તેણે વિશ્વભરના 4 હજારથી વધુ Elasticsearch સર્વર્સને અસર કરી. સામગ્રી રીડમી આના જેવું લાગે છે:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

જ્યારે IRG લૉગ્સ સાથેનું સર્વર મુક્તપણે ઍક્સેસિબલ હતું, ત્યારે રેન્સમવેર સ્ક્રિપ્ટે ચોક્કસપણે ક્લાયન્ટની માહિતીની ઍક્સેસ મેળવી હતી અને તે જે સંદેશો છોડ્યો હતો તે મુજબ, ડેટા ડાઉનલોડ કરવામાં આવ્યો હતો.

વધુમાં, મને કોઈ શંકા નથી કે આ ડેટાબેઝ મારી પહેલાં મળી આવ્યો હતો અને તે પહેલાથી જ ડાઉનલોડ કરવામાં આવ્યો હતો. હું એમ પણ કહીશ કે મને આની ખાતરી છે. તેમાં કોઈ રહસ્ય નથી કે આવા ખુલ્લા ડેટાબેઝ હેતુપૂર્વક શોધવામાં આવે છે અને બહાર કાઢવામાં આવે છે.

માહિતી લીક અને આંતરિક બાબતો વિશેના સમાચાર હંમેશા મારી ટેલિગ્રામ ચેનલ પર મળી શકે છે "માહિતી લીક" https://t.me/dataleak.

સોર્સ: www.habr.com