ການຮົ່ວໄຫລຂອງຂໍ້ມູນລູກຄ້າຈາກ Re:Store, Samsung, Sony Centre, Nike, LEGO ແລະ Street Beat stores

ອາທິດທີ່ຜ່ານມາ Kommersant ລາຍງານ, ວ່າ "ຖານລູກຄ້າຂອງ Street Beat ແລະ Sony Center ແມ່ນຢູ່ໃນສາທາລະນະ," ແຕ່ໃນຄວາມເປັນຈິງແລ້ວທຸກສິ່ງທຸກຢ່າງແມ່ນຮ້າຍແຮງກວ່າສິ່ງທີ່ຂຽນຢູ່ໃນບົດຄວາມ.

ຂ້າພະເຈົ້າໄດ້ເຮັດການວິເຄາະດ້ານວິຊາການຢ່າງລະອຽດກ່ຽວກັບການຮົ່ວໄຫລນີ້ແລ້ວ. ໃນຊ່ອງ Telegram, ສະນັ້ນໃນທີ່ນີ້ພວກເຮົາຈະໄປໃນໄລຍະພຽງແຕ່ຈຸດຕົ້ນຕໍ.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

ເຊີບເວີ Elasticsearch ອື່ນທີ່ມີດັດສະນີສາມາດໃຊ້ໄດ້ຢ່າງເສລີ:

• greylog2_0
• readme
• unauth_text
• http:
• greylog2_1

В greylog2_0 ມີໄມ້ທ່ອນຕັ້ງແຕ່ວັນທີ 16.11.2018 ພະຈິກ 2019 ຫາ ເດືອນມີນາ XNUMX, ແລະໃນ greylog2_1 - ບັນທຶກຕັ້ງແຕ່ເດືອນມີນາ 2019 ຫາ 04.06.2019/XNUMX/XNUMX. ຈົນກ່ວາການເຂົ້າເຖິງ Elasticsearch ໄດ້ຖືກປິດ, ຈໍານວນບັນທຶກໃນ greylog2_1 ຂະຫຍາຍຕົວ.

ອີງຕາມເຄື່ອງຈັກຊອກຫາຂອງ Shodan, Elasticsearch ນີ້ສາມາດໃຊ້ໄດ້ຢ່າງເສລີຕັ້ງແຕ່ເດືອນພະຈິກ 12.11.2018, 16.11.2018 (ແລະ, ດັ່ງທີ່ຂຽນໄວ້ຂ້າງເທິງ, ລາຍການທໍາອິດໃນບັນທຶກແມ່ນລົງວັນທີ XNUMX ພະຈິກ XNUMX).

ໃນບັນທຶກ, ໃນພາກສະຫນາມ gl2_remote_ip ທີ່ຢູ່ IP 185.156.178.58 ແລະ 185.156.178.62 ຖືກລະບຸ, ດ້ວຍຊື່ DNS srv2.inventive.ru и srv3.inventive.ru:

ຂ້າພະເຈົ້າໄດ້ແຈ້ງ Inventive Retail Group (www.inventive.ru) ກ່ຽວກັບບັນຫາໃນວັນທີ 04.06.2019/18/25 ເວລາ 22:30 ໂມງ (ເວລາ Moscow) ແລະ ມາຮອດເວລາ XNUMX:XNUMX ໂມງ ເຊີບເວີ "ງຽບ" ຫາຍໄປຈາກການເຂົ້າເຖິງສາທາລະນະ.

ບັນທຶກທີ່ບັນຈຸ (ຂໍ້ມູນທັງຫມົດແມ່ນການຄາດຄະເນ, ຊໍ້າກັນບໍ່ໄດ້ຖືກໂຍກຍ້າຍອອກຈາກການຄິດໄລ່, ດັ່ງນັ້ນປະລິມານຂອງຂໍ້ມູນຮົ່ວໄຫຼທີ່ແທ້ຈິງແມ່ນຫນ້ອຍທີ່ສຸດ):

• ຫຼາຍກວ່າ 3 ລ້ານທີ່ຢູ່ອີເມວຂອງລູກຄ້າຈາກຮ້ານ Re:Store, Samsung, Street Beat ແລະ Lego
• ຫຼາຍກວ່າ 7 ລ້ານເບີໂທລະສັບຂອງລູກຄ້າຈາກຮ້ານ Re:Store, Sony, Nike, Street Beat ແລະ Lego
• ຫຼາຍກ່ວາ 21 ພັນຄູ່ເຂົ້າສູ່ລະບົບ/ລະຫັດຜ່ານຈາກບັນຊີສ່ວນຕົວຂອງຜູ້ຊື້ຂອງຮ້ານ Sony ແລະ Street Beat.
• ບັນທຶກສ່ວນໃຫຍ່ທີ່ມີເບີໂທລະສັບ ແລະອີເມລ໌ຍັງມີຊື່ເຕັມ (ມັກເປັນພາສາລະຕິນ) ແລະໝາຍເລກບັດຄວາມສັດຊື່.

ຕົວຢ່າງຈາກບັນທຶກທີ່ກ່ຽວຂ້ອງກັບລູກຄ້າຮ້ານ Nike (ຂໍ້ມູນລະອຽດອ່ອນທັງໝົດຖືກແທນທີ່ດ້ວຍຕົວອັກສອນ “X”):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

ແລະນີ້ແມ່ນຕົວຢ່າງຂອງວິທີການເຂົ້າສູ່ລະບົບແລະລະຫັດຜ່ານຈາກບັນຊີສ່ວນບຸກຄົນຂອງຜູ້ຊື້ຢູ່ໃນເວັບໄຊທ໌ໄດ້ຖືກເກັບໄວ້ sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

ຖະແຫຼງການຢ່າງເປັນທາງການຂອງ IRG ກ່ຽວກັບເຫດການນີ້ສາມາດອ່ານໄດ້ ທີ່ນີ້, excerpt ຈາກມັນ:

ພວກ​ເຮົາ​ບໍ່​ສາ​ມາດ​ລະ​ເລີຍ​ຈຸດ​ນີ້​ແລະ​ໄດ້​ປ່ຽນ​ລະ​ຫັດ​ຜ່ານ​ບັນ​ຊີ​ສ່ວນ​ບຸກ​ຄົນ​ຂອງ​ລູກ​ຄ້າ​ໄປ​ເປັນ​ການ​ຊົ່ວ​ຄາວ​, ເພື່ອ​ຫຼີກ​ເວັ້ນ​ການ​ນໍາ​ໃຊ້​ຂໍ້​ມູນ​ທີ່​ເປັນ​ໄປ​ໄດ້​ຈາກ​ບັນ​ຊີ​ສ່ວນ​ບຸກ​ຄົນ​ເພື່ອ​ຈຸດ​ປະ​ສົງ​ການ​ສໍ້​ໂກງ​. ບໍລິສັດບໍ່ໄດ້ຢືນຢັນການຮົ່ວໄຫລຂອງຂໍ້ມູນສ່ວນບຸກຄົນຂອງລູກຄ້າ street-beat.ru. ໂຄງການທັງໝົດຂອງ Inventive Retail Group ໄດ້ຖືກກວດກາຕື່ມອີກ. ບໍ່ພົບໄພຂົ່ມຂູ່ຕໍ່ຂໍ້ມູນສ່ວນຕົວຂອງລູກຄ້າ.

ມັນບໍ່ດີທີ່ IRG ບໍ່ສາມາດຄິດໄລ່ສິ່ງທີ່ຮົ່ວໄຫຼແລະສິ່ງທີ່ບໍ່ແມ່ນ. ນີ້ແມ່ນຕົວຢ່າງຈາກບັນທຶກທີ່ກ່ຽວຂ້ອງກັບລູກຄ້າຮ້ານ Street Beat:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

ຢ່າງໃດກໍຕາມ, ໃຫ້ພວກເຮົາກ້າວໄປສູ່ຂ່າວທີ່ບໍ່ດີແທ້ໆແລະອະທິບາຍວ່າເປັນຫຍັງນີ້ແມ່ນການຮົ່ວໄຫລຂອງຂໍ້ມູນສ່ວນບຸກຄົນຂອງລູກຄ້າ IRG.

ຖ້າທ່ານເບິ່ງຢ່າງໃກ້ຊິດຢູ່ໃນດັດຊະນີຂອງ Elasticsearch ທີ່ມີຢູ່ຢ່າງເສລີ, ທ່ານຈະສັງເກດເຫັນສອງຊື່ໃນພວກມັນ: readme и unauth_text. ນີ້ແມ່ນສັນຍານລັກສະນະຂອງຫນຶ່ງໃນຫຼາຍ scripts ransomware. ມັນໄດ້ຮັບຜົນກະທົບຫຼາຍກວ່າ 4 ພັນເຄື່ອງແມ່ຂ່າຍ Elasticsearch ທົ່ວໂລກ. ເນື້ອໃນ readme ເບິ່ງຄືວ່ານີ້:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

ໃນຂະນະທີ່ເຄື່ອງແມ່ຂ່າຍທີ່ມີບັນທຶກ IRG ແມ່ນສາມາດເຂົ້າເຖິງໄດ້ຢ່າງເສລີ, script ransomware ແນ່ນອນໄດ້ຮັບການເຂົ້າເຖິງຂໍ້ມູນຂອງລູກຄ້າແລະ, ອີງຕາມຂໍ້ຄວາມທີ່ມັນໄວ້, ຂໍ້ມູນໄດ້ຖືກດາວໂຫຼດ.

ນອກຈາກນັ້ນ, ຂ້າພະເຈົ້າບໍ່ມີຄວາມສົງໃສວ່າຖານຂໍ້ມູນນີ້ໄດ້ຖືກພົບເຫັນກ່ອນຂ້າພະເຈົ້າແລະໄດ້ຖືກດາວໂຫຼດແລ້ວ. ຂ້າ​ພະ​ເຈົ້າ​ເຖິງ​ແມ່ນ​ວ່າ​ຈະ​ເວົ້າ​ວ່າ​ຂ້າ​ພະ​ເຈົ້າ​ມີ​ຄວາມ​ຫມັ້ນ​ໃຈ​ໃນ​ເລື່ອງ​ນີ້. ບໍ່ມີຄວາມລັບວ່າຖານຂໍ້ມູນທີ່ເປີດດັ່ງກ່າວຖືກຄົ້ນຫາຢ່າງຕັ້ງໃຈແລະຖືກສະກັດອອກ.

ຂ່າວກ່ຽວກັບການຮົ່ວໄຫລຂອງຂໍ້ມູນຂ່າວສານແລະພາຍໃນສາມາດພົບໄດ້ຕະຫຼອດເວລາຢູ່ໃນຊ່ອງທາງ Telegram ຂອງຂ້ອຍ "ຂໍ້ມູນຮົ່ວໄຫຼ" https://t.me/dataleak.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com