पुन: स्टोर, सैमसंग, सोनी सेन्टर, नाइके, लेगो र स्ट्रिट बीट स्टोरहरूबाट ग्राहक डेटाको चुहावट

गत हप्ता Kommersant रिपोर्ट गरियो, कि "सडक बीट र सोनी केन्द्रका ग्राहक आधारहरू सार्वजनिक डोमेनमा थिए," तर वास्तवमा लेखमा लेखिएको भन्दा सबै कुरा धेरै खराब छ।

मैले यस लीकको विस्तृत प्राविधिक विश्लेषण गरिसकेको छु। टेलिग्राम च्यानलमा, त्यसैले यहाँ हामी केवल मुख्य बिन्दुहरूमा जानेछौं।

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

अनुक्रमणिकाको साथ अर्को Elasticsearch सर्भर स्वतन्त्र रूपमा उपलब्ध थियो:

• graylog2_0
• रीडमी
• unauth_text
• http:
• graylog2_1

В graylog2_0 नोभेम्बर 16.11.2018, 2019 देखि मार्च XNUMX सम्मका लगहरू समावेश छन्, र भित्र graylog2_1 - मार्च 2019 देखि 04.06.2019/XNUMX/XNUMX सम्म लगहरू। Elasticsearch मा पहुँच बन्द नभएसम्म, रेकर्ड संख्या मा graylog2_1 बढ्यो।

Shodan खोज इन्जिनका अनुसार, यो Elasticsearch नोभेम्बर 12.11.2018, 16.11.2018 देखि स्वतन्त्र रूपमा उपलब्ध छ (माथि लेखिए अनुसार, लगहरूमा पहिलो प्रविष्टिहरू नोभेम्बर XNUMX, XNUMX मिति हो)।

लगहरूमा, फिल्डमा gl2_remote_ip IP ठेगानाहरू 185.156.178.58 र 185.156.178.62 निर्दिष्ट गरिएको थियो, DNS नामहरू सहित srv2.inventive.ru и srv3.inventive.ru:

मैले सूचित गरें आविष्कारशील खुद्रा समूह (www.inventive.ru) 04.06.2019/18/25 मा 22:30 (मस्को समय) मा समस्या बारे र XNUMX:XNUMX सम्म सर्भर "चुपचाप" सार्वजनिक पहुँचबाट गायब भयो।

लगहरू समावेश छन् (सबै डाटा अनुमानित छन्, डुप्लिकेटहरू गणनाबाट हटाइएनन्, त्यसैले वास्तविक लीक जानकारीको मात्रा प्रायः कम छ):

• पुन: स्टोर, सैमसंग, स्ट्रीट बीट र लेगो स्टोरहरूबाट ग्राहकहरूको 3 मिलियन भन्दा बढी इमेल ठेगानाहरू
• पुन: स्टोर, सोनी, नाइके, स्ट्रीट बीट र लेगो स्टोरहरूबाट ग्राहकहरूको 7 मिलियन भन्दा बढी फोन नम्बरहरू
• Sony र Street Beat स्टोरका खरिदकर्ताहरूको व्यक्तिगत खाताबाट २१ हजारभन्दा बढी लगइन/पासवर्ड जोडीहरू।
• फोन नम्बर र इमेल भएका धेरैजसो रेकर्डहरूमा पूरा नामहरू (प्रायः ल्याटिनमा) र लोयल्टी कार्ड नम्बरहरू समावेश हुन्छन्।

नाइके स्टोर क्लाइन्टसँग सम्बन्धित लगबाट उदाहरण (सबै संवेदनशील डेटा "X" क्यारेक्टरहरूसँग प्रतिस्थापन गरिएको छ):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

र यहाँ कसरी वेबसाइटहरूमा खरिदकर्ताहरूको व्यक्तिगत खाताहरूबाट लगइनहरू र पासवर्डहरू भण्डारण गरिएको थियो भन्ने उदाहरण छ sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

यस घटनामा IRG को आधिकारिक बयान पढ्न सकिन्छ यहाँ, यसको अंश:

हामीले यस बिन्दुलाई बेवास्ता गर्न सकेनौं र जालसाजी उद्देश्यका लागि व्यक्तिगत खाताहरूबाट डाटाको सम्भावित प्रयोगबाट बच्नका लागि ग्राहकहरूको व्यक्तिगत खाताहरूमा पासवर्डहरू अस्थायीमा परिवर्तन गर्यौं। कम्पनीले street-beat.ru ग्राहकहरूको व्यक्तिगत डाटा लीक भएको पुष्टि गर्दैन। आविष्कारशील रिटेल समूहका सबै परियोजनाहरू थप जाँच गरियो। ग्राहकहरूको व्यक्तिगत डेटामा कुनै खतराहरू फेला परेनन्।

यो नराम्रो छ कि IRG ले के लीक भयो र के छैन भनेर पत्ता लगाउन सक्दैन। यहाँ स्ट्रीट बीट स्टोर ग्राहकसँग सम्बन्धित लगबाट एउटा उदाहरण छ:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

जे होस्, साँच्चै खराब समाचारमा जानुहोस् र यो IRG ग्राहकहरूको व्यक्तिगत डेटाको चुहावट किन हो भनेर व्याख्या गरौं।

यदि तपाईंले यो स्वतन्त्र रूपमा उपलब्ध Elasticsearch को अनुक्रमणिकाहरू नजिकबाट हेर्नुभयो भने, तपाईंले तिनीहरूमा दुई नामहरू देख्नुहुनेछ: रीडमी и unauth_text। यो धेरै ransomware स्क्रिप्ट मध्ये एक को एक विशेषता संकेत हो। यसले विश्वभरका ४ हजारभन्दा बढी इलास्टिकसर्च सर्भरलाई असर गरेको छ। सामग्री रीडमी यो जस्तो देखिन्छ:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

IRG लगहरू भएको सर्भर स्वतन्त्र रूपमा पहुँचयोग्य हुँदा, एक ransomware स्क्रिप्टले निश्चित रूपमा ग्राहकहरूको जानकारीमा पहुँच प्राप्त गर्यो र, यसले छोडेको सन्देश अनुसार, डाटा डाउनलोड गरिएको थियो।

थप रूपमा, मलाई कुनै शंका छैन कि यो डाटाबेस मेरो अगाडि फेला परेको थियो र पहिले नै डाउनलोड गरिएको थियो। म यो कुरामा ढुक्क छु भनेर पनि भन्न चाहन्छु। त्यहाँ कुनै गोप्य छैन कि त्यस्ता खुला डाटाबेसहरू उद्देश्यपूर्वक खोजी गरिन्छ र बाहिर निकालिन्छ।

सूचना चुहावट र भित्री कुराहरू बारे समाचार सधैं मेरो टेलिग्राम च्यानलमा फेला पार्न सकिन्छ "सूचना चुहावट" https://t.me/dataleak.

स्रोत: www.habr.com