ការលេចធ្លាយទិន្នន័យអតិថិជនពីហាង Re:Store, Samsung, Sony Centre, Nike, LEGO និងហាង Street Beat

កាលពីសប្តាហ៍មុន Kommersant រាយការណ៍ថា "មូលដ្ឋានអតិថិជនរបស់ Street Beat និង Sony Center ស្ថិតនៅក្នុងដែនសាធារណៈ" ប៉ុន្តែការពិតអ្វីៗគឺអាក្រក់ជាងអ្វីដែលបានសរសេរនៅក្នុងអត្ថបទទៅទៀត។

ខ្ញុំបានធ្វើការវិភាគបច្ចេកទេសលម្អិតអំពីការលេចធ្លាយនេះរួចហើយ។ នៅក្នុងឆានែល Telegramដូច្នេះនៅទីនេះ យើងនឹងលើកយកតែចំណុចសំខាន់ៗប៉ុណ្ណោះ។

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

ម៉ាស៊ីនមេ Elasticsearch មួយផ្សេងទៀតដែលមានលិបិក្រមអាចរកបានដោយសេរី៖

• greylog2_0
• README
• unauth_text
• http:
• greylog2_1

В greylog2_0 មានកំណត់ហេតុចាប់ពីថ្ងៃទី 16.11.2018 ខែវិច្ឆិកា ឆ្នាំ 2019 ដល់ខែមីនា ឆ្នាំ XNUMX និងនៅក្នុង greylog2_1 - កំណត់ហេតុចាប់ពីខែមីនា ឆ្នាំ ២០១៩ ដល់ថ្ងៃទី ០៦/០៤/២០១៩។ រហូតដល់ការចូលប្រើ Elasticsearch ត្រូវបានបិទ ចំនួននៃកំណត់ត្រាចូល greylog2_1 បានកើនឡើង។

យោងតាមម៉ាស៊ីនស្វែងរក Shodan Elasticsearch នេះអាចរកបានដោយសេរីចាប់តាំងពីថ្ងៃទី 12.11.2018 ខែវិច្ឆិកា ឆ្នាំ 16.11.2018 (ដូចដែលបានសរសេរខាងលើ ធាតុដំបូងនៅក្នុងកំណត់ហេតុគឺចុះថ្ងៃទី XNUMX ខែវិច្ឆិកា ឆ្នាំ XNUMX)។

នៅក្នុងកំណត់ហេតុ, នៅក្នុងវាល gl2_remote_ip អាសយដ្ឋាន IP 185.156.178.58 និង 185.156.178.62 ត្រូវបានបញ្ជាក់ ដោយមានឈ្មោះ DNS srv2.inventive.ru и srv3.inventive.ru:

ខ្ញុំបានជូនដំណឹង ក្រុមលក់រាយច្នៃប្រឌិត (www.inventive.ru) អំពីបញ្ហានៅថ្ងៃទី 04.06.2019/18/25 វេលាម៉ោង 22:30 (ម៉ោងនៅទីក្រុងមូស្គូ) ហើយត្រឹមម៉ោង XNUMX:XNUMX នោះម៉ាស៊ីនមេ "ស្ងាត់" បាត់ពីការចូលប្រើជាសាធារណៈ។

កំណត់ហេតុដែលមាន (ទិន្នន័យទាំងអស់គឺជាការប៉ាន់ស្មាន ការស្ទួនមិនត្រូវបានដកចេញពីការគណនាទេ ដូច្នេះចំនួនព័ត៌មានលេចធ្លាយពិតប្រាកដទំនងជាតិចជាង)៖

• អាសយដ្ឋានអ៊ីមែលជាង 3 លានរបស់អតិថិជនមកពីហាង Re: Store, Samsung, Street Beat និង Lego
• លេខទូរស័ព្ទអតិថិជនជាង 7 លាននាក់ពីហាង Re: Store, Sony, Nike, Street Beat និង Lego
• ជាង 21 ពាន់គូការចូល / ពាក្យសម្ងាត់ពីគណនីផ្ទាល់ខ្លួនរបស់អ្នកទិញហាង Sony និង Street Beat ។
• កំណត់ត្រាភាគច្រើនដែលមានលេខទូរស័ព្ទ និងអ៊ីមែលក៏មានឈ្មោះពេញផងដែរ (ជាញឹកញាប់ជាភាសាឡាតាំង) និងលេខកាតភាពស្មោះត្រង់។

ឧទាហរណ៍ពីកំណត់ហេតុដែលទាក់ទងនឹងអតិថិជនហាង Nike (ទិន្នន័យរសើបទាំងអស់ត្រូវបានជំនួសដោយតួអក្សរ "X")៖

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

ហើយនេះគឺជាឧទាហរណ៍អំពីរបៀបដែលការចូល និងពាក្យសម្ងាត់ពីគណនីផ្ទាល់ខ្លួនរបស់អ្នកទិញនៅលើគេហទំព័រត្រូវបានរក្សាទុក sc-store.ru и ផ្លូវ-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

សេចក្តីថ្លែងការណ៍ផ្លូវការរបស់ IRG ស្តីពីឧប្បត្តិហេតុនេះអាចអានបាន។ នៅទីនេះ, ដកស្រង់ចេញពីវា៖

យើងមិនអាចព្រងើយកន្តើយចំពោះចំណុចនេះទេ ហើយបានប្តូរពាក្យសម្ងាត់ទៅគណនីផ្ទាល់ខ្លួនរបស់អតិថិជនទៅជាគណនីបណ្តោះអាសន្ន ដើម្បីជៀសវាងការប្រើប្រាស់ទិន្នន័យដែលអាចកើតមានពីគណនីផ្ទាល់ខ្លួនសម្រាប់គោលបំណងក្លែងបន្លំ។ ក្រុមហ៊ុនមិនបញ្ជាក់ពីការលេចធ្លាយទិន្នន័យផ្ទាល់ខ្លួនរបស់អតិថិជន street-beat.ru ទេ។ គម្រោងទាំងអស់របស់ក្រុមហ៊ុន Inventive Retail Group ត្រូវបានត្រួតពិនិត្យបន្ថែម។ គ្មានការគំរាមកំហែងចំពោះទិន្នន័យផ្ទាល់ខ្លួនរបស់អតិថិជនត្រូវបានរកឃើញទេ។

វាជាការអាក្រក់ដែល IRG មិនអាចដឹងពីអ្វីដែលបានលេចធ្លាយ និងអ្វីដែលមិនមាន។ នេះជាឧទាហរណ៍ពីកំណត់ហេតុដែលទាក់ទងនឹងអតិថិជនហាង Street Beat៖

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

ទោះជាយ៉ាងណាក៏ដោយ សូមបន្តទៅព័ត៌មានដ៏អាក្រក់ និងពន្យល់ពីមូលហេតុដែលនេះគឺជាការលេចធ្លាយទិន្នន័យផ្ទាល់ខ្លួនរបស់អតិថិជន IRG ។

ប្រសិនបើអ្នកក្រឡេកមើលសន្ទស្សន៍នៃ Elasticsearch ដែលអាចរកបានដោយសេរីនេះ អ្នកនឹងសម្គាល់ឃើញឈ្មោះពីរនៅក្នុងពួកវា៖ README и unauth_text. នេះគឺជាសញ្ញាលក្ខណៈមួយនៃស្គ្រីប ransomware ជាច្រើន។ វាប៉ះពាល់ដល់ម៉ាស៊ីនមេ Elasticsearch ជាង 4 ពាន់នៅជុំវិញពិភពលោក។ មាតិកា README មើលទៅដូចនេះ:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

ខណៈពេលដែលម៉ាស៊ីនមេដែលមានកំណត់ហេតុ IRG អាចចូលប្រើបានដោយសេរី ស្គ្រីប ransomware ប្រាកដជាទទួលបានព័ត៌មានរបស់អតិថិជន ហើយយោងទៅតាមសារដែលវាបានចាកចេញ ទិន្នន័យត្រូវបានទាញយក។

លើសពីនេះទៀត ខ្ញុំមិនមានការងឿងឆ្ងល់ទេថា មូលដ្ឋានទិន្នន័យនេះត្រូវបានរកឃើញមុនខ្ញុំ ហើយត្រូវបានទាញយករួចហើយ។ ខ្ញុំថែមទាំងអាចនិយាយថាខ្ញុំប្រាកដអំពីរឿងនេះ។ វាគ្មានអាថ៌កំបាំងទេដែលមូលដ្ឋានទិន្នន័យបើកចំហបែបនេះត្រូវបានស្វែងរកដោយគោលបំណង និងបូមចេញ។

ព័ត៌មានអំពីការលេចធ្លាយព័ត៌មាន និងព័ត៌មានខាងក្នុងអាចរកបាននៅលើបណ្តាញ Telegram របស់ខ្ញុំជានិច្ច"ការលេចធ្លាយព័ត៌មាន»: https://t.me/dataleak.

ប្រភព: www.habr.com