🥇Zombi projektek – felhasználói adatokat árulnak el, még a haláluk után is

Ismét a személyes adatok kiszivárgásáról szeretnék beszélni, de ezúttal az IT-projektek alvilágáról mesélek két friss felfedezés példáján keresztül.

A biztonsági audit során gyakran találkozunk olyan szerverekkel (hogyan kereshetünk adatbázisokat, amiről a blogomban már írtam), amelyek régi (vagy nem olyan régi) projekteket szolgálnak, amelyek már régóta elhagyták a világunkat. Ezek a projektek még mindig életet (munkát) imitálnak, mint a zombik (felhasználók személyes adatait gyűjtik haláluk után).

Megjegyzés: az alábbi információk kizárólag oktatási célokra kerülnek közzétételre. A szerző nem férhetett hozzá harmadik felek és cégek személyes adataihoz. Az információk nyílt forrásokból származnak, vagy a szerzőnek anonim jóakarók által lettek biztosítva.

Kezdjük a „Putin csapata” (putinteam.ru) nevű projekt bemutatásával.

Egy nyitott MongoDB-t 2019.04.19-én találtak.

Ahogy észlelhető, elsőként egy „zsaroló” jutott el ehhez az adatbázishoz:

Az adatbázisban nincsenek különösen értékes személyes adatok, de található benne e-mail cím (kevesebb mint 1000), nevek, vezetéknevek, hashelt jelszavak, GPS-koordináták (valószínűleg okostelefonos regisztráció során), lakóhely városai és a weboldalon a saját fiókjukat létrehozó felhasználók fényképei.

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Vadim", 
    "lastName" : "", 
    "city" : "Szentpétervár", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

nemzeti park szemét információk és üres bejegyzések. Például a hírlevelekre való feliratkozás kódja nem ellenőrzi, hogy valódi e-mail cím került-e beírásra, így bármilyen szöveg megadható.

A weboldalon található szerzői jogi információk szerint a projekt 2018-ban elhagyta a világot. Minden próbálkozás a projekt képviselőivel való kapcsolatfelvételre sikertelen volt. Mindazonáltal ritka regisztrációk még mindig történnek az oldalon – nyilvánvalóan élet imitációja zajlik.

A második zombiprojekt, amelyet a mai elemzésemben bemutatok, a lette startup „Roamer” (roamerapp.com/hu).

2019.04.21-én egy németországi szerveren egy nyitott MongoDB adatbázist találtak a „Roamer” mobilalkalmazáshoz.

Az adatbázis, amelynek mérete 207 MB, 2018.11.24 óta nyilvános (a Shodan adatai szerint)!

Minden külső jel szerint (a műszaki támogatás e-mail címe nem működik, hibás linkek a Google Play áruházhoz, a weboldalon 2016-os szerzői jog, stb.) – az alkalmazás régóta elhagyatott.

A maga idejében szinte minden szakmai sajtó megírta ezt a startupot:

VC: «A lett Roamer startup – a roaming gyilkosa»
the-village: «Roamer: Egy alkalmazás, ami csökkenti a külföldi hívások költségét»
lifehacker: «Hogyan csökkentsük a roaming díjak költségeit 10-szer: Roamer»

A „gyilkos” úgy tűnik, hogy elhalálozott, de még halottan is folytatja felhasználói személyes adatainak kiszivárogtatását…

Az adatbázis információinak elemzése alapján sok felhasználó továbbra is használja ezt a mobilalkalmazást. Néhány órás megfigyelés alatt 94 új bejegyzés született. 2019. március 27. és 2019. április 10. között pedig 66 új felhasználó regisztrált az alkalmazásban.

Nyilvánosan hozzáférhetőek az alkalmazás naplói (több mint 100 ezer bejegyzés), amelyek olyan információkat tartalmaznak, mint:

a felhasználó telefonszáma
a hívási előzményekhez való hozzáférés tokenjei (amik elérhetők az alábbi linkeken: api3.roamerapp.com/call/history/1553XXXXXX)
hívási előzmények (számok, bejövő vagy kimenő hívás, hívás költsége, időtartam, hívás időpontja)
a felhasználó mobil szolgáltatója
a felhasználó IP-címe
a felhasználó telefonjának modellje és a rajta futó mobil OS verzió (például: iPhone 7 12.1.4)
a felhasználó e-mail címe
a felhasználó számlaegyenlege és valuta
a felhasználó országa
a felhasználó aktuális tartózkodási helye (ország)
promóciós kódok
Őszintén szólva, nem értem, hogyan került el ez a hír a Habr elől. Ebben a cikkben röviden leírjuk, hogyan használhatjuk az API-t, és bemutatunk néhány gyakorlati példát

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

A kapcsolatfelvétel a tulajdonosokkal sajnos nem sikerült. A weboldalon található elérhetőségek nem működnek, a közösségi médiában írt üzenetekre senki sem reagál.

Az Apple App Store-ban az alkalmazás továbbra is elérhető (itunes.apple.com/app/roamer-roaming-killer/id646368973).

Hírek az információszivárgásokról és az insider-ekről mindig megtalálhatók a Telegram-csatornámon „Információszivárgások»: https://t.me/dataleak.

Forrás: habr.com

Zombi-projektek – a felhasználói adatokat még a haláluk után is kiszivárogtatják.

Kezdjük a „Putin csapata” (putinteam.ru) nevű projekt bemutatásával.

A második zombiprojekt, amelyet a mai elemzésemben bemutatok, a lette startup „Roamer” (roamerapp.com/hu).