സ്റ്റോർ, സാംസങ്, സോണി സെന്റർ, നൈക്ക്, ലെഗോ, സ്ട്രീറ്റ് ബീറ്റ് സ്റ്റോറുകളിൽ നിന്നുള്ള ഉപഭോക്തൃ ഡാറ്റ ചോർച്ച

കഴിഞ്ഞ ആഴ്ച കൊമ്മർസന്റ് റിപ്പോർട്ട് ചെയ്തു, "സ്ട്രീറ്റ് ബീറ്റിന്റെയും സോണി സെന്ററിന്റെയും ക്ലയന്റ് ബേസുകൾ പൊതുസഞ്ചയത്തിലായിരുന്നു", എന്നാൽ വാസ്തവത്തിൽ എല്ലാം ലേഖനത്തിൽ എഴുതിയിരിക്കുന്നതിനേക്കാൾ വളരെ മോശമാണ്.

ഈ ചോർച്ചയുടെ വിശദമായ സാങ്കേതിക വിശകലനം ഞാൻ ഇതിനകം നടത്തിയിട്ടുണ്ട്. ടെലിഗ്രാം ചാനലിൽ, അതിനാൽ ഇവിടെ നമ്മൾ പ്രധാന പോയിന്റുകളിലേക്ക് മാത്രം പോകും.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

സൂചികകളുള്ള മറ്റൊരു ഇലാസ്റ്റിക് സെർച്ച് സെർവർ സൗജന്യമായി ലഭ്യമാണ്:

• ഗ്രേലോഗ്2_0
• മീ
• unauth_text
• HTTP:
• ഗ്രേലോഗ്2_1

В ഗ്രേലോഗ്2_0 നവംബർ 16.11.2018, 2019 മുതൽ മാർച്ച് XNUMX വരെയുള്ള ലോഗുകൾ അടങ്ങിയിരിക്കുന്നു ഗ്രേലോഗ്2_1 - 2019 മാർച്ച് മുതൽ 04.06.2019/XNUMX/XNUMX വരെയുള്ള ലോഗുകൾ. ഇലാസ്റ്റിക് സെർച്ചിലേക്കുള്ള ആക്‌സസ് അവസാനിപ്പിക്കുന്നത് വരെ, റെക്കോർഡുകളുടെ എണ്ണം ഗ്രേലോഗ്2_1 വളർന്നു.

ഷോഡാൻ സെർച്ച് എഞ്ചിൻ അനുസരിച്ച്, ഈ ഇലാസ്റ്റിക് തിരയൽ 12.11.2018 നവംബർ 16.11.2018 മുതൽ സൗജന്യമായി ലഭ്യമാണ് (മുകളിൽ എഴുതിയത് പോലെ, ലോഗുകളിലെ ആദ്യ എൻട്രികൾ നവംബർ XNUMX, XNUMX തീയതിയിലാണ്).

ലോഗുകളിൽ, വയലിൽ gl2_remote_ip ഐപി വിലാസങ്ങൾ 185.156.178.58, 185.156.178.62 എന്നിവ ഡിഎൻഎസ് പേരുകളോടെ വ്യക്തമാക്കിയിട്ടുണ്ട്. srv2.inventive.ru и srv3.inventive.ru:

ഞാൻ അറിയിച്ചു ഇൻവെന്റീവ് റീട്ടെയിൽ ഗ്രൂപ്പ് (www.inventive.ru) 04.06.2019/18/25 ന് 22:30 ന് (മോസ്കോ സമയം) പ്രശ്നത്തെക്കുറിച്ച്, XNUMX:XNUMX ആയപ്പോഴേക്കും "നിശബ്ദമായി" സെർവർ പൊതു പ്രവേശനത്തിൽ നിന്ന് അപ്രത്യക്ഷമായി.

ലോഗുകൾ അടങ്ങിയിരിക്കുന്നു (എല്ലാ ഡാറ്റയും എസ്റ്റിമേറ്റ് ആണ്, ഡ്യൂപ്ലിക്കേറ്റുകൾ കണക്കുകൂട്ടലുകളിൽ നിന്ന് നീക്കം ചെയ്തിട്ടില്ല, അതിനാൽ യഥാർത്ഥ ചോർച്ച വിവരങ്ങളുടെ അളവ് വളരെ കുറവായിരിക്കും):

• സ്റ്റോർ, സാംസങ്, സ്ട്രീറ്റ് ബീറ്റ്, ലെഗോ സ്റ്റോറുകളിൽ നിന്നുള്ള ഉപഭോക്താക്കളുടെ 3 ദശലക്ഷത്തിലധികം ഇമെയിൽ വിലാസങ്ങൾ
• സ്റ്റോർ, സോണി, നൈക്ക്, സ്ട്രീറ്റ് ബീറ്റ്, ലെഗോ സ്റ്റോറുകളിൽ നിന്ന് 7 ദശലക്ഷത്തിലധികം ഉപഭോക്താക്കളുടെ ഫോൺ നമ്പറുകൾ
• സോണി, സ്ട്രീറ്റ് ബീറ്റ് സ്റ്റോറുകൾ വാങ്ങുന്നവരുടെ സ്വകാര്യ അക്കൗണ്ടുകളിൽ നിന്ന് 21 ആയിരത്തിലധികം ലോഗിൻ/പാസ്‌വേഡ് ജോഡികൾ.
• ഫോൺ നമ്പറുകളും ഇമെയിലും ഉള്ള മിക്ക റെക്കോർഡുകളിലും മുഴുവൻ പേരുകളും (പലപ്പോഴും ലാറ്റിനിൽ) ലോയൽറ്റി കാർഡ് നമ്പറുകളും അടങ്ങിയിരിക്കുന്നു.

Nike സ്റ്റോർ ക്ലയന്റുമായി ബന്ധപ്പെട്ട ലോഗിൽ നിന്നുള്ള ഉദാഹരണം (എല്ലാ സെൻസിറ്റീവ് ഡാറ്റയും "X" പ്രതീകങ്ങൾ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നു):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

വെബ്‌സൈറ്റുകളിൽ വാങ്ങുന്നവരുടെ സ്വകാര്യ അക്കൗണ്ടുകളിൽ നിന്നുള്ള ലോഗിനുകളും പാസ്‌വേഡുകളും എങ്ങനെ സംഭരിച്ചു എന്നതിന്റെ ഒരു ഉദാഹരണം ഇതാ sc-store.ru и Street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

ഈ സംഭവത്തെക്കുറിച്ചുള്ള ഔദ്യോഗിക IRG പ്രസ്താവന വായിക്കാം ഇവിടെ, അതിൽ നിന്നുള്ള ഉദ്ധരണി:

വഞ്ചനാപരമായ ഉദ്ദേശ്യങ്ങൾക്കായി വ്യക്തിഗത അക്കൗണ്ടുകളിൽ നിന്നുള്ള ഡാറ്റയുടെ സാധ്യമായ ഉപയോഗം ഒഴിവാക്കുന്നതിന്, ഞങ്ങൾക്ക് ഈ പോയിന്റ് അവഗണിക്കാൻ കഴിയില്ല, കൂടാതെ ക്ലയന്റുകളുടെ സ്വകാര്യ അക്കൗണ്ടുകളിലേക്കുള്ള പാസ്‌വേഡുകൾ താൽക്കാലിക അക്കൗണ്ടുകളാക്കി മാറ്റുകയും ചെയ്തു. Street-beat.ru ക്ലയന്റുകളുടെ സ്വകാര്യ ഡാറ്റയുടെ ചോർച്ച കമ്പനി സ്ഥിരീകരിക്കുന്നില്ല. ഇൻവെന്റീവ് റീട്ടെയിൽ ഗ്രൂപ്പിന്റെ എല്ലാ പ്രോജക്ടുകളും അധികമായി പരിശോധിച്ചു. ക്ലയന്റുകളുടെ സ്വകാര്യ ഡാറ്റയ്ക്ക് ഭീഷണികളൊന്നും കണ്ടെത്തിയില്ല.

എന്താണ് ചോർന്നതെന്നും അല്ലാത്തത് എന്താണെന്നും ഐആർജിക്ക് കണ്ടെത്താനാകാത്തത് മോശമാണ്. സ്ട്രീറ്റ് ബീറ്റ് സ്റ്റോർ ക്ലയന്റുമായി ബന്ധപ്പെട്ട ലോഗിൽ നിന്നുള്ള ഒരു ഉദാഹരണം ഇതാ:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

എന്നിരുന്നാലും, നമുക്ക് ശരിക്കും മോശം വാർത്തയിലേക്ക് പോകാം, എന്തുകൊണ്ടാണ് ഇത് IRG ക്ലയന്റുകളുടെ സ്വകാര്യ ഡാറ്റ ചോർന്നതെന്ന് വിശദീകരിക്കാം.

സൗജന്യമായി ലഭ്യമായ ഈ ഇലാസ്റ്റിക് സെർച്ചിന്റെ സൂചികകൾ നിങ്ങൾ സൂക്ഷ്മമായി പരിശോധിച്ചാൽ, അവയിൽ രണ്ട് പേരുകൾ നിങ്ങൾ ശ്രദ്ധിക്കും: മീ и unauth_text. നിരവധി ransomware സ്‌ക്രിപ്റ്റുകളിൽ ഒന്നിന്റെ ഒരു സ്വഭാവ ചിഹ്നമാണിത്. ലോകമെമ്പാടുമുള്ള നാലായിരത്തിലധികം ഇലാസ്റ്റിക് സെർച്ച് സെർവറുകളെ ഇത് ബാധിച്ചു. ഉള്ളടക്കം മീ ഇത് പോലെ തോന്നുന്നു:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

IRG ലോഗുകളുള്ള സെർവർ സൗജന്യമായി ആക്‌സസ് ചെയ്യാവുന്നതാണെങ്കിലും, ഒരു ransomware സ്‌ക്രിപ്റ്റ് തീർച്ചയായും ക്ലയന്റുകളുടെ വിവരങ്ങളിലേക്ക് ആക്‌സസ് നേടുകയും അത് അയച്ച സന്ദേശം അനുസരിച്ച് ഡാറ്റ ഡൗൺലോഡ് ചെയ്യുകയും ചെയ്തു.

ഇതുകൂടാതെ, ഈ ഡാറ്റാബേസ് എനിക്ക് മുമ്പേ കണ്ടെത്തിയതാണെന്നും ഇതിനകം ഡൗൺലോഡ് ചെയ്തതാണെന്നും എനിക്ക് സംശയമില്ല. എനിക്ക് ഇത് ഉറപ്പാണെന്ന് പോലും ഞാൻ പറയും. അത്തരം ഓപ്പൺ ഡാറ്റാബേസുകൾ ആസൂത്രിതമായി തിരയുകയും പമ്പ് ചെയ്യുകയും ചെയ്യുന്നു എന്നതിൽ രഹസ്യമില്ല.

വിവര ചോർച്ചയെക്കുറിച്ചും അകത്തുള്ളവരെക്കുറിച്ചുമുള്ള വാർത്തകൾ എപ്പോഴും എന്റെ ടെലിഗ്രാം ചാനലിൽ കാണാം "വിവരങ്ങൾ ചോരുന്നു" https://t.me/dataleak.

അവലംബം: www.habr.com