Ponovo govorim o curenju osobnih podataka, ali ovaj put ću malo pričati o zagrobnom svijetu IT projekata na primjeru dva nedavna otkrića.
Tijekom audita sigurnosti baza podataka često se dogodi da otkrijete poslužitelje (, pisao sam u blogu), koji pripadaju projektima koji su davno (ili ne tako davno) napustili naš svijet. Takvi projekti even imaju tendenciju imitirati život (rad), nalikujući zombijima (prikupljajući osobne podatke korisnika nakon svoje smrti).
Odričemo se odgovornosti: sve informacije u nastavku objavljuju se isključivo u obrazovne svrhe. Autor nije imao pristup osobnim podacima trećih strana i kompanija. Informacije su preuzete ili iz otvorenih izvora ili su ih autoru dostavili anonimni доброжелатели.Započet ćemo s projektom s upečatljivim imenom „Ekipa Putina” (putinteam.ru).
Poslužitelj s otvorenom MongoDB otkriven je 19.04.2019.
Kao što možete primijetiti, prvi do ove baze došao je „otmičar”:
U bazi nema posebno dragocjenih osobnih podataka, ali postoje adrese e-pošte (manje od 1000), imena/prezimena, hashirani lozinke, GPS koordinate (očigledno prilikom registracije sa pametnih telefona), gradovi prebivališta i fotografije korisnika web stranice koji su na njoj stvorili svoj korisnički račun.
{
"_id" : ObjectId("5c99c5d08000ec500c21d7e1"),
"role" : "USER",
"avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg",
"firstName" : "Vadim",
"lastName" : "",
"city" : "Sankt Peterburg",
"about" : "",
"mapMessage" : "",
"isMapMessageVerify" : "0",
"pushIds" : [
],
"username" : "5c99c5d08000ec500c21d7e1",
"__v" : NumberInt(0),
"coordinates" : {
"lng" : 30.315868,
"lat" : 59.939095
}
}
{
"_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"),
"type" : "BASE",
"email" : "***@yandex.ru",
"password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426",
"user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"),
"__v" : NumberInt(0)
}Puno je smeća informacije i prazne zapise. Na primjer, kod za pretplatu na bilten ne provjerava je li unesena adresa e-pošte, tako da umjesto adrese, možete upisati što god želite.
Sudeći po autorskim pravima na web stranici, projekt je napušten 2018. godine. Svi pokušaji kontakta s predstavnicima projekta bili su neuspješni. Međutim, rijetke registracije na web stranici se nastavljaju – očita je imitacija života.
Drugi zombijski projekt u mojoj današnjoj analizi je latvijski startup „Roamer” (roamerapp.com/ru).
21.04.2019. na poslužitelju u Njemačkoj otkrivena je otvorena baza podataka MongoDB mobilne aplikacije „Roamer”.
Baza, veličine 207 MB, dostupna je od 24.11.2018 (prema podacima Shodan)!
Prema svim vanjskim znakovima (nefunkcionalna adresa e-pošte tehničke podrške, slomljene veze do Google Play trgovine, autorska prava na web stranici iz 2016. godine itd.) – aplikacija je davno napuštena.
U svoje vrijeme o ovom startapu pisali su praktički svi specijalizirani mediji:
- VC: «Latvijski startap Roamer — ubojica roaminga»
- the-village: «Roamer: Aplikacija koja smanjuje troškove poziva iz inozemstva»
- lifehacker: «Kako smanjiti troškove na komunikaciji u roamingu za 10 puta: Roamer»
«Ubojica» se čini da je sam sebe ubio, ali čak i mrtav nastavlja otkrivati osobne podatke svojih korisnika…
Sudeći po analizi informacija u bazi, mnogi korisnici i dalje koriste ovu mobilnu aplikaciju. Tijekom nekoliko sati promatranja dodano je 94 novih zapisa. A u razdoblju od 27.03.2019 do 10.04.2019 aplikaciji se registriralo 66 novih korisnika.
Javni su dostupni logovi (više od 100 tisuća zapisa) aplikacije s informacijama kao što su:
- telefon korisnika
- tokeni pristupa povijesti poziva (dostupni putem linkova poput: api3.roamerapp.com/call/history/1553XXXXXX)
- povijest poziva (brojevi, dolazni ili odlazni poziv, trošak poziva, trajanje, vrijeme poziva)
- mobilni operater korisnika
- IP adrese korisnika
- model telefona korisnika i verzija mobilnog OS-a na njemu (npr., iPhone 7 12.1.4)
- adresa elektroničke pošte korisnika
- stanje i valuta računa korisnika
- zemlja korisnika
- trenutna lokacija (zemlja) korisnika
- promokodovi
- i još mnogo toga.
{
"_id" : ObjectId("5c9a49b2a1f7da01398b4569"),
"url" : "api3.roamerapp.com/call/history/*******5049",
"ip" : "67.80.1.6",
"method" : NumberLong(1),
"response" : {
"calls" : [
{
"start_time" : NumberLong(1553615276),
"number" : "7495*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869601)
},
{
"start_time" : NumberLong(1553615172),
"number" : "7499*******",
"accepted" : true,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(63),
"cost" : 0.03,
"call_id" : NumberLong(18869600)
},
{
"start_time" : NumberLong(1553615050),
"number" : "7985*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869599)
}
]
},
"response_code" : NumberLong(200),
"post" : [
],
"headers" : {
"Host" : "api3.roamerapp.com",
"X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e",
"Accept" : "application/json",
"X-Sim-Operator" : "311480",
"X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"",
"Accept-Encoding" : "gzip, deflate",
"Accept-Language" : "en-us",
"Content-Type" : "application/json",
"X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC",
"User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4",
"Connection" : "keep-alive",
"X-App-Build" : "511",
"X-Lang" : "EN",
"X-Connection" : "WiFi"
},
"created_at" : ISODate("2019-03-26T15:48:02.583+0000"),
"user_id" : "888689"
}Naravno, nismo mogli kontaktirati vlasnike baze. Kontaktni podaci na web stranici ne rade, nitko ne odgovara na poruke na društvenim mrežama.
Aplikacija je i dalje dostupna u Apple App Storeu (itunes.apple.com/app/roamer-roaming-killer/id646368973).
Vijesti o curenjima informacija i insajderima uvijek možete pronaći na mom Telegram kanalu „»: .
Izvor: habr.com
