Estou novamente falando sobre vazamentos de dados pessoais, mas desta vez vou comentar um pouco sobre o além-vida dos projetos de TI usando como exemplo duas descobertas recentes.
Durante a auditoria de segurança de bancos de dados, muitas vezes encontramos servidores (, escrevi no blog), pertencentes a projetos que já deixaram este mundo há muito tempo (ou não tanto). Esses projetos continuam a imitar a vida (atividade), lembrando zumbis (coletando dados pessoais de usuários mesmo após suas mortes).
Isenção de responsabilidade: todas as informações abaixo são publicadas exclusivamente para fins educacionais. O autor não teve acesso a dados pessoais de terceiros e empresas. As informações foram obtidas de fontes abertas ou foram fornecidas anonimamente por benfeitores.Começarei com um projeto de nome sonoro "Equipe Putin" (putinteam.ru).
Um servidor com MongoDB aberto foi descoberto em 19.04.2019.
Como se pode notar, o primeiro a chegar a este banco foi um "ransomware":
No banco de dados não há dados pessoais particularmente valiosos, mas existem endereços de e-mail (menos de 1000), nomes/sobrenomes, senhas hash, coordenadas GPS (aparentemente coletadas durante o registro via smartphones), cidades de residência e fotografias de usuários do site que criaram uma conta pessoal nele.
{
"_id" : ObjectId("5c99c5d08000ec500c21d7e1"),
"role" : "USER",
"avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg",
"firstName" : "Vadim",
"lastName" : "",
"city" : "São Petersburgo",
"about" : "",
"mapMessage" : "",
"isMapMessageVerify" : "0",
"pushIds" : [
],
"username" : "5c99c5d08000ec500c21d7e1",
"__v" : NumberInt(0),
"coordinates" : {
"lng" : 30.315868,
"lat" : 59.939095
}
}
{
"_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"),
"type" : "BASE",
"email" : "***@yandex.ru",
"password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426",
"user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"),
"__v" : NumberInt(0)
}Muita informação inútil e entradas vazias. Por exemplo, o código de inscrição para o boletim informativo não verifica se um endereço de e-mail foi inserido, portanto, ao invés de um endereço, pode-se escrever qualquer coisa.
Pelo copyright no site, o projeto foi abandonado em 2018. Todas as tentativas de contatar os representantes do projeto foram infrutíferas. No entanto, raras inscrições no site continuam a ocorrer – há uma clara imitação da vida.
O segundo projeto zumbi na minha análise de hoje é a startup letã "Roamer" (roamerapp.com/ru).
Em 21.04.2019, uma base de dados MongoDB do aplicativo móvel "Roamer" foi descoberta em um servidor na Alemanha.
A base, com tamanho de 207 MB, está disponível publicamente desde 24.11.2018 (de acordo com dados do Shodan)!
Por todas as evidências externas (endereço de e-mail da assistência técnica inativo, links quebrados para a loja Google Play, copyright no site de 2016 etc.) – o aplicativo foi abandonado há muito tempo.
Na sua época, quase todos os meios de comunicação especializados escreveram sobre este startup:
- VC: "O startup letão Roamer — o assassino do roaming»
- the-village: "Roamer: Um aplicativo que reduz o custo de chamadas do exterior»
- lifehacker: "Como reduzir os gastos com comunicação em roaming em 10 vezes: Roamer»
"O 'assassino' parece ter se autodestruído, mas mesmo morto continua a divulgar os dados pessoais de seus usuários…
De acordo com a análise das informações da base, muitos usuários continuam a usar este aplicativo móvel. Em poucas horas de observação, surgiram 94 novos registros. E no período de 27.03.2019 a 10.04.2019, 66 novos usuários se registraram no aplicativo.
Os logs (mais de 100 mil registros) do aplicativo estão disponíveis publicamente com as seguintes informações:
- telefone do usuário
- tokens de acesso ao histórico de chamadas (disponíveis através de links do tipo: api3.roamerapp.com/call/history/1553XXXXXX)
- histórico de chamadas (números, chamada recebida ou efetuada, custo da chamada, duração, horário da chamada)
- operadora móvel do usuário
- endereços IP do usuário
- modelo do telefone do usuário e versão dos sistemas operacionais móveis (por exemplo, iPhone 7 12.1.4)
- endereço de e-mail do usuário
- saldo e moeda da conta do usuário
- país do usuário
- localização atual (país) do usuário
- códigos promocionais
- e muito mais.
{
"_id" : ObjectId("5c9a49b2a1f7da01398b4569"),
"url" : "api3.roamerapp.com/call/history/*******5049",
"ip" : "67.80.1.6",
"method" : NumberLong(1),
"response" : {
"calls" : [
{
"start_time" : NumberLong(1553615276),
"number" : "7495*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869601)
},
{
"start_time" : NumberLong(1553615172),
"number" : "7499*******",
"accepted" : true,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(63),
"cost" : 0.03,
"call_id" : NumberLong(18869600)
},
{
"start_time" : NumberLong(1553615050),
"number" : "7985*******",
"accepted" : false,
"incoming" : false,
"internet" : true,
"duration" : NumberLong(0),
"cost" : 0.0,
"call_id" : NumberLong(18869599)
}
]
},
"response_code" : NumberLong(200),
"post" : [
],
"headers" : {
"Host" : "api3.roamerapp.com",
"X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e",
"Accept" : "application/json",
"X-Sim-Operator" : "311480",
"X-Wsse" : "UsernameToken Username=\"/******S19a2RzV9cqY7b/RXPA=\", PasswordDigest=\"******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=\", Nonce=\"******c1MzE1NTM2MTUyODIuNDk2NDEz\", Created=\"Tue, 26 Mar 2019 15:48:01 GMT\"",
"Accept-Encoding" : "gzip, deflate",
"Accept-Language" : "en-us",
"Content-Type" : "application/json",
"X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC",
"User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4",
"Connection" : "keep-alive",
"X-App-Build" : "511",
"X-Lang" : "EN",
"X-Connection" : "WiFi"
},
"created_at" : ISODate("2019-03-26T15:48:02.583+0000"),
"user_id" : "888689"
}Não foi possível entrar em contato com os proprietários da base. Os contatos no site não funcionam e ninguém responde nas mensagens nas redes sociais.
O aplicativo ainda está disponível na Apple App Store (itunes.apple.com/app/roamer-roaming-killer/id646368973).
Notícias sobre vazamentos de informações e insiders sempre podem ser encontradas no meu canal do Telegram «»: .
Fonte: habr.com
