Parlo ancora di fughe di dati personali, ma questa volta vi racconterò un po' del mondo oltre la vita dei progetti IT prendendo come esempio due recenti scoperte.
Durante l'audit della sicurezza dei database, spesso succede di imbattersi in server (, ne ho scritto nel blog), appartenenti a progetti che hanno già lasciato il nostro mondo (o lo hanno fatto non molto tempo fa). Questi progetti continuano persino a simulare la vita (il lavoro), ricordando degli zombi (raccolgono dati personali degli utenti anche dopo la loro morte).
Dichiarazione: tutte le informazioni seguenti sono pubblicate esclusivamente a scopo educativo. L'autore non ha avuto accesso a dati personali di terzi e aziende. Le informazioni provengono da fonti aperte o sono state fornite all'autore da anonymous benefattori.Iniziamo con un progetto dal nome altisonante "Team di Putin" (putinteam.ru).
Un server con MongoDB aperta è stato scoperto il 19.04.2019.
Come si può notare, il primo ad accedere a questo database è stato un "ransomware":
Nel database non ci sono dati personali particolarmente preziosi, ma ci sono indirizzi email (meno di 1000), nomi/cognomi, password hashate, coordinate GPS (presumibilmente registrate da smartphone), città di residenza e fotografie degli utenti del sito che hanno creato il loro profilo.
{
"_id" : ObjectId("5c99c5d08000ec500c21d7e1"),
"role" : "USER",
"avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg",
"firstName" : "Vadim",
"lastName" : "",
"city" : "San Pietroburgo",
"about" : "",
"mapMessage" : "",
"isMapMessageVerify" : "0",
"pushIds" : [
],
"username" : "5c99c5d08000ec500c21d7e1",
"__v" : NumberInt(0),
"coordinates" : {
"lng" : 30.315868,
"lat" : 59.939095
}
}
{
"_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"),
"type" : "BASE",
"email" : "***@yandex.ru",
"password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426",
"user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"),
"__v" : NumberInt(0)
}Troppo spazzatura informativa e registrazioni vuote. Ad esempio, il codice di iscrizione alla newsletter non verifica che sia stato inserito un indirizzo email, quindi è possibile scrivere qualsiasi cosa al posto dell'indirizzo.
Dallo copyright presente sul sito, il progetto è stato abbandonato nel 2018. Tutti i tentativi di contattare i rappresentanti del progetto sono stati infruttuosi. Tuttavia, ci sono registrazioni rare sul sito - è chiara un'imitazione della vita.
Il secondo progetto zombie nella mia analisi odierna è lo startup lettone "Roamer" (roamerapp.com/ru).
Il 21.04.2019 è stato scoperto un database MongoDB aperto del mobile app "Roamer" su un server in Germania.
Il database, grande 207 MB, è accessibile pubblicamente dal 24.11.2018 (secondo i dati di Shodan)!
Da tutti i segnali esterni (indirizzo email del supporto tecnico non funzionante, link rotti al Google Play Store, copyright sul sito del 2016, ecc.) – l'app sembra essere stata abbandonata da tempo.
All'epoca, praticamente tutti i media specializzati hanno parlato di questa startup:
- VC: «La startup lettone Roamer – l'assassino del roaming»
- the-village: «Roamer: un'applicazione che riduce i costi delle chiamate dall'estero»
- lifehacker: «Come ridurre le spese di comunicazione in roaming di 10 volte: Roamer»
L'«assassino» sembra essersi distrutto da solo, ma anche da morto continua a diffondere i dati personali dei suoi utenti…
Secondo l'analisi delle informazioni nel database, molti utenti continuano a utilizzare questa applicazione mobile. In poche ore di osservazione sono state registrate 94 nuove voci. E nel periodo dal 27.03.2019 al 10.04.2019, si sono registrati 66 nuovi utenti nell'app.
Sono disponibili pubblicamente i log (oltre 100.000 registrazioni) dell'app con le seguenti informazioni:
- numero di telefono dell'utente
- token di accesso alla cronologia delle chiamate (disponibili tramite link del tipo: api3.roamerapp.com/call/history/1553XXXXXX)
- cronologia delle chiamate (numeri, chiamata in arrivo o in uscita, costo della chiamata, durata, orario della chiamata)
- operatore mobile dell'utente
- indirizzi IP dell'utente
- modello del telefono dell'utente e versione delle OS mobili (ad esempio, iPhone 7 12.1.4)
- indirizzo email dell'utente
- saldo e valuta del conto dell'utente
- paese dell'utente
- posizione attuale (paese) dell'utente
- codici promozionali
- e molto altro.
{
"_id" : ObjectId("5c9a49b2a1f7da01398b4569"),
"url" : "api3.roamerapp.com/call/history/*******5049",
"ip" : "67.80.1.6",
"method" : NumberLong(1),
"response" : {
"calls" : [
{
"start_time" : NumberLong(1553615276),
"number" : "7495*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869601)
},
{
"start_time" : NumberLong(1553615172),
"number" : "7499*******",
"accepted" : true,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(63),
"cost" : 0.03,
"call_id" : NumberLong(18869600)
},
{
"start_time" : NumberLong(1553615050),
"number" : "7985*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869599)
}
]
},
"response_code" : NumberLong(200),
"post" : [
],
"headers" : {
"Host" : "api3.roamerapp.com",
"X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e",
"Accept" : "application/json",
"X-Sim-Operator" : "311480",
"X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"",
"Accept-Encoding" : "gzip, deflate",
"Accept-Language" : "en-us",
"Content-Type" : "application/json",
"X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC",
"User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4",
"Connection" : "keep-alive",
"X-App-Build" : "511",
"X-Lang" : "EN",
"X-Connection" : "WiFi"
},
"created_at" : ISODate("2019-03-26T15:48:02.583+0000"),
"user_id" : "888689"
}Contattare i proprietari del database è stato ovviamente impossibile. I contatti sul sito non funzionano, e nessuno risponde ai messaggi sui social.
L'app è ancora disponibile su Apple App Store (itunes.apple.com/app/roamer-roaming-killer/id646368973).
Le notizie su fughe di informazioni e insider possono sempre essere trovate sul mio canale Telegram «»: .
Fonte: habr.com
