पुन्हा:स्टोअर, सॅमसंग, सोनी सेंटर, नायके, लेगो आणि स्ट्रीट बीट स्टोअर्समधून ग्राहकांच्या डेटाची गळती

गेल्या आठवड्यात Kommersant अहवाल दिला, "स्ट्रीट बीट आणि सोनी सेंटरचे क्लायंट बेस सार्वजनिक डोमेनमध्ये होते," परंतु प्रत्यक्षात सर्वकाही लेखात लिहिलेल्यापेक्षा खूपच वाईट आहे.

मी आधीच या लीकचे तपशीलवार तांत्रिक विश्लेषण केले आहे. टेलिग्राम चॅनेलमध्ये, म्हणून येथे आपण फक्त मुख्य मुद्दे पाहू.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

निर्देशांकांसह आणखी एक इलास्टिकसर्च सर्व्हर मुक्तपणे उपलब्ध होता:

• graylog2_0
• मला वाचा
• unauth_text
• http:
• graylog2_1

В graylog2_0 16.11.2018 नोव्हेंबर 2019 ते मार्च XNUMX पर्यंतचे लॉग समाविष्ट आहेत graylog2_1 - मार्च 2019 ते 04.06.2019/XNUMX/XNUMX पर्यंत लॉग. Elasticsearch मध्ये प्रवेश बंद होईपर्यंत, रेकॉर्डची संख्या graylog2_1 वाढले

Shodan शोध इंजिनच्या मते, हा Elasticsearch 12.11.2018 नोव्हेंबर 16.11.2018 पासून मुक्तपणे उपलब्ध आहे (वर लिहिल्याप्रमाणे, नोंदींमधील पहिल्या नोंदी XNUMX नोव्हेंबर XNUMX रोजीच्या आहेत).

नोंदी मध्ये, शेतात gl2_remote_ip DNS नावांसह 185.156.178.58 आणि 185.156.178.62 IP पत्ते निर्दिष्ट केले होते srv2.inventive.ru и srv3.inventive.ru:

मी कळवले कल्पक रिटेल गट (www.inventive.ru).

नोंदी समाविष्ट आहेत (सर्व डेटा अंदाजे आहेत, डुप्लिकेट गणनामधून काढले गेले नाहीत, त्यामुळे वास्तविक लीक झालेल्या माहितीचे प्रमाण कमी असण्याची शक्यता आहे):

• री:स्टोअर, सॅमसंग, स्ट्रीट बीट आणि लेगो स्टोअरमधील ग्राहकांचे 3 दशलक्षाहून अधिक ईमेल पत्ते
• re:Store, Sony, Nike, Street Beat आणि Lego Store मधील ग्राहकांचे 7 दशलक्षाहून अधिक फोन नंबर
• सोनी आणि स्ट्रीट बीट स्टोअर्सच्या खरेदीदारांच्या वैयक्तिक खात्यांमधून 21 हजाराहून अधिक लॉगिन/पासवर्ड जोड्या.
• फोन नंबर आणि ईमेलसह बहुतेक रेकॉर्डमध्ये पूर्ण नावे (बहुतेकदा लॅटिनमध्ये) आणि लॉयल्टी कार्ड नंबर असतात.

Nike स्टोअर क्लायंटशी संबंधित लॉगमधील उदाहरण (सर्व संवेदनशील डेटा “X” वर्णांनी बदलला):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

आणि वेबसाइट्सवरील खरेदीदारांच्या वैयक्तिक खात्यांमधील लॉगिन आणि पासवर्ड कसे संग्रहित केले गेले याचे उदाहरण येथे आहे sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

या घटनेबद्दल IRG चे अधिकृत विधान वाचले जाऊ शकते येथे, त्यातील उतारा:

आम्ही या मुद्द्याकडे दुर्लक्ष करू शकलो नाही आणि फसव्या हेतूंसाठी वैयक्तिक खात्यांमधून डेटाचा संभाव्य वापर टाळण्यासाठी क्लायंटच्या वैयक्तिक खात्यांचे पासवर्ड तात्पुरत्या खात्यांमध्ये बदलले. कंपनी street-beat.ru क्लायंटच्या वैयक्तिक डेटाच्या लीकची पुष्टी करत नाही. इन्व्हेंटिव्ह रिटेल ग्रुपचे सर्व प्रकल्प अतिरिक्तपणे तपासले गेले. क्लायंटच्या वैयक्तिक डेटाला कोणताही धोका आढळला नाही.

काय लीक झाले आहे आणि काय नाही हे IRG शोधू शकत नाही हे वाईट आहे. स्ट्रीट बीट स्टोअर क्लायंटशी संबंधित लॉगमधील एक उदाहरण येथे आहे:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

तथापि, चला खरोखर वाईट बातमीकडे वळूया आणि हे IRG क्लायंटच्या वैयक्तिक डेटाचे लीक का आहे हे स्पष्ट करूया.

तुम्ही या मुक्तपणे उपलब्ध असलेल्या इलास्टिकसर्चच्या निर्देशांकांकडे बारकाईने पाहिल्यास, तुम्हाला त्यातील दोन नावे लक्षात येतील: मला वाचा и unauth_text. हे अनेक रॅन्समवेअर स्क्रिप्टपैकी एक वैशिष्ट्यपूर्ण चिन्ह आहे. याचा जगभरातील 4 हजाराहून अधिक Elasticsearch सर्व्हरवर परिणाम झाला. सामग्री मला वाचा असे दिसते:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

IRG लॉगसह सर्व्हर मुक्तपणे प्रवेश करण्यायोग्य असताना, रॅन्समवेअर स्क्रिप्टने निश्चितपणे क्लायंटच्या माहितीमध्ये प्रवेश मिळवला आणि तो सोडलेल्या संदेशानुसार, डेटा डाउनलोड केला गेला.

याव्यतिरिक्त, मला शंका नाही की हा डेटाबेस माझ्या आधी सापडला होता आणि आधीच डाउनलोड केला गेला होता. मला याची खात्री आहे असेही मी म्हणेन. असे खुले डेटाबेस हेतुपुरस्सर शोधले जातात आणि बाहेर काढले जातात हे रहस्य नाही.

माझ्या टेलिग्राम चॅनेलवर माहिती लीक आणि आतल्या गोष्टींबद्दलच्या बातम्या नेहमी आढळू शकतात "माहिती लीक" https://t.me/dataleak.

स्त्रोत: www.habr.com