მომხმარებელთა მონაცემების გაჟონვა re:Store, Samsung, Sony Centre, Nike, LEGO და Street Beat მაღაზიებიდან

გასულ კვირას კომერსანტი იტყობინება, რომ „სტრიტ ბიტისა და სონის ცენტრის კლიენტთა ბაზები საჯარო დომენში იყო“, მაგრამ სინამდვილეში ყველაფერი გაცილებით უარესია, ვიდრე სტატიაში წერია.

მე უკვე გავაკეთე ამ გაჟონვის დეტალური ტექნიკური ანალიზი. ტელეგრამის არხზე, ასე რომ, აქ მხოლოდ მთავარ პუნქტებს გადავიტანთ.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

სხვა Elasticsearch სერვერი ინდექსებით თავისუფლად იყო ხელმისაწვდომი:

• graylog2_0
• წამიკითხე
• unauth_text
• http:
• graylog2_1

В graylog2_0 შეიცავდა ჟურნალებს 16.11.2018 წლის 2019 ნოემბრიდან XNUMX წლის მარტამდე და ქ graylog2_1 - ჟურნალი 2019 წლის მარტიდან 04.06.2019/XNUMX/XNUMX წლამდე. სანამ Elasticsearch-ზე წვდომა დაიხურება, ჩანაწერების რაოდენობა შედის graylog2_1 გაიზარდა.

Shodan-ის საძიებო სისტემის მიხედვით, ეს Elasticsearch თავისუფლად ხელმისაწვდომია 12.11.2018 წლის 16.11.2018 ნოემბრიდან (როგორც ზემოთ აღინიშნა, ჟურნალებში პირველი ჩანაწერები დათარიღებულია XNUMX წლის XNUMX ნოემბრით).

ჟურნალებში, მინდორში gl2_remote_ip მითითებული იყო IP მისამართები 185.156.178.58 და 185.156.178.62, DNS სახელებით srv2.inventive.ru и srv3.inventive.ru:

შევატყობინე გამომგონებელი საცალო ჯგუფი (www.inventive.ru) პრობლემის შესახებ 04.06.2019/18/25 22:30 (მოსკოვის დროით) და XNUMX:XNUMX საათისთვის სერვერი „ჩუმად“ გაქრა საჯარო წვდომიდან.

ჟურნალები შეიცავს (ყველა მონაცემი არის შეფასებები, დუბლიკატები არ იყო ამოღებული გამოთვლებიდან, ამიტომ რეალური გაჟონილი ინფორმაციის რაოდენობა სავარაუდოდ ნაკლებია):

• მომხმარებელთა 3 მილიონზე მეტი ელექტრონული ფოსტის მისამართი re:Store, Samsung, Street Beat და Lego მაღაზიებიდან
• 7 მილიონზე მეტი მომხმარებლის ტელეფონის ნომერი re:Store, Sony, Nike, Street Beat და Lego მაღაზიებიდან
• 21 ათასზე მეტი შესვლა/პაროლის წყვილი Sony-სა და Street Beat-ის მაღაზიების მყიდველების პირადი ანგარიშებიდან.
• ტელეფონის ნომრებითა და ელექტრონული ფოსტით ჩანაწერების უმეტესობა ასევე შეიცავდა სრულ სახელებს (ხშირად ლათინურად) და ლოიალობის ბარათის ნომრებს.

მაგალითი Nike მაღაზიის კლიენტთან დაკავშირებული ჟურნალიდან (ყველა სენსიტიური მონაცემი ჩანაცვლებულია „X“ სიმბოლოებით):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

და აქ არის მაგალითი იმისა, თუ როგორ ინახებოდა შესვლა და პაროლები მყიდველების პირადი ანგარიშებიდან ვებსაიტებზე sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

IRG-ის ოფიციალური განცხადება ამ ინციდენტთან დაკავშირებით შეგიძლიათ წაიკითხოთ აქ, ამონარიდი მისგან:

ჩვენ არ შეგვეძლო უგულებელვყოთ ეს წერტილი და შევცვალეთ კლიენტების პირადი ანგარიშების პაროლები დროებით, რათა თავიდან ავიცილოთ პირადი ანგარიშებიდან მონაცემების შესაძლო გამოყენება თაღლითური მიზნებისთვის. კომპანია არ ადასტურებს street-beat.ru კლიენტების პერსონალური მონაცემების გაჟონვას. Inventive Retail Group-ის ყველა პროექტი დამატებით შემოწმდა. კლიენტების პერსონალურ მონაცემებზე საფრთხე არ გამოვლენილა.

ცუდია, რომ IRG ვერ ხვდება რა გაჟონა და რა არა. აქ არის მაგალითი Street Beat მაღაზიის კლიენტთან დაკავშირებული ჟურნალიდან:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

თუმცა, გადავიდეთ ნამდვილად ცუდ ამბებზე და განვმარტოთ, რატომ არის ეს IRG-ის კლიენტების პერსონალური მონაცემების გაჟონვა.

თუ ყურადღებით დააკვირდებით ამ თავისუფლად ხელმისაწვდომი Elasticsearch-ის ინდექსებს, შეამჩნევთ მათში ორ სახელს: წამიკითხე и unauth_text. ეს არის მრავალი გამოსასყიდის სკრიპტის ერთ-ერთი დამახასიათებელი ნიშანი. მან გავლენა მოახდინა 4 ათასზე მეტ Elasticsearch სერვერზე მთელს მსოფლიოში. შინაარსი წამიკითხე ასე გამოიყურება:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

მიუხედავად იმისა, რომ სერვერი IRG ჟურნალებით იყო თავისუფლად წვდომა, გამოსასყიდი პროგრამის სკრიპტმა ნამდვილად მოიპოვა წვდომა კლიენტების ინფორმაციაზე და, მის მიერ დატოვებული შეტყობინების მიხედვით, მონაცემები ჩამოიტვირთა.

გარდა ამისა, ეჭვი არ მეპარება, რომ ეს მონაცემთა ბაზა ჩემამდე იქნა ნაპოვნი და უკვე გადმოწერილი იყო. მე კი ვიტყოდი, რომ ამაში დარწმუნებული ვარ. საიდუმლო არ არის, რომ ასეთი ღია მონაცემთა ბაზები მიზანმიმართულად იძებნება და ამოტუმბავს.

სიახლეები ინფორმაციის გაჟონვისა და ინსაიდერების შესახებ ყოველთვის შეგიძლიათ ნახოთ ჩემს Telegram არხზე.ინფორმაციის გაჟონვა" https://t.me/dataleak.

წყარო: www.habr.com