Zombiprojekt – läcker användardata även efter sin död

Jag återkommer till problemet med läckor av personuppgifter, men den här gången kommer jag att berätta lite om IT-projektens andra värld genom två nyligen funna exempel.

Under säkerhetsgranskningen av databaser händer det ofta att man upptäcker servrar (hur man hittar databaser, som jag skrev om i bloggen), som tillhör projekt som länge (eller inte så länge) har lämnat vår värld. Dessa projekt fortsätter till och med att efterlikna liv (arbete), som zombier (samlar in användarnas personuppgifter efter sin död).

Opublicerat meddelande: all information nedan publiceras uteslutande i utbildningssyfte. Författaren har inte fått tillgång till personuppgifter om tredje part eller företag. Informationen är hämtad antingen från öppna källor eller har tillhandahållits författaren av anonyma välvilliga källor.

Låt oss börja med projektet med det slående namnet "Putins Team" (putinteam.ru).

En server med en öppen MongoDB upptäcktes den 19.04.2019.

Som man kan se, var det ransomware som först nådde denna databas:

Databasen innehåller inte särskilt värdefulla personuppgifter, men det finns e-postadresser (mindre än 1000), namn/efternamn, hashade lösenord, GPS-koordinater (mycket troligt vid registrering från smartphones), bostadstäder och fotografier av användare på sajten som har skapat sin personliga profil.

{ 
    "_id" : ObjectId("5c99c5d08000ec500c21d7e1"), 
    "role" : "USER", 
    "avatar" : "https://fs.putinteam.ru/******sLnzZokZK75V45-1553581654386.jpeg", 
    "firstName" : "Vadim", 
    "lastName" : "", 
    "city" : "Sankt Petersburg", 
    "about" : "", 
    "mapMessage" : "", 
    "isMapMessageVerify" : "0", 
    "pushIds" : [

    ], 
    "username" : "5c99c5d08000ec500c21d7e1", 
    "__v" : NumberInt(0), 
    "coordinates" : {
        "lng" : 30.315868, 
        "lat" : 59.939095
    }
}

{ 
    "_id" : ObjectId("5cb64b361f82ec4fdc7b7e9f"), 
    "type" : "BASE", 
    "email" : "***@yandex.ru", 
    "password" : "c62e11464d1f5fbd54485f120ef1bd2206c2e426", 
    "user" : ObjectId("5cb64b361f82ec4fdc7b7e9e"), 
    "__v" : NumberInt(0)
}

Det finns väldigt många skräp information och tomma poster. Till exempel kontrollerar inte koden för nyhetsbrevsprenumerationen om en e-postadress har angivits, så istället för en adress kan man skriva vad som helst.

Enligt copyrightnotisen på sajten övergavs projektet 2018. Alla försök att komma i kontakt med projektets representanter har misslyckats. Det pågår dock sporadiska registreringar på sajten – tydlig efterlikning av liv.

Det andra zombieprojektet i min dagens genomgång är den lettiska startupen "Roamer" (roamerapp.com/ru).

Den 21.04.2019 upptäcktes en öppen databas MongoDB för mobilapplikationen "Roamer" på en server i Tyskland.

Databasen, som är 207 MB stor, har varit öppen för allmänheten sedan 24.11.2018 (enligt Shodan)!

Vid första anblick verkar det (en icke fungerande e-postadress för teknisk support, trasiga länkar till Google Play-butiken, copyright på sajten från 2016 osv.) – applikationen har länge övergivits.

Vid sin tid skrev praktiskt taget alla branschtidskrifter om denna startup:

• VC: «Den lettiska startupen Roamer – en killer för roaming»
• the-village: «Roamer: En app som sänker kostnaden för samtal från utlandet»
• lifehacker: «Hur man kan minska kostnaderna för kommunikation vid roaming med 10 gånger: Roamer»

«Killer» verkar ha dött, men även i döden fortsätter det att avslöja sina användares personuppgifter...

Enligt analysen av informationen i databasen fortsätter många användare att använda denna mobilapp. Under några timmar av observation registrerades 94 nya poster. Mellan 27.03.2019 och 10.04.2019 registrerade sig 66 nya användare i appen.

Loggar (över 100 000 poster) med sådan information som är offentligt tillgängliga:

• användarens telefon
• åtkomsttoken till samtalshistorik (tillgängliga via länkar som: api3.roamerapp.com/call/history/1553XXXXXX)
• samtalshistorik (nummer, inkommande eller utgående samtal, kostnad för samtal, längd, tid för samtal)
• användarens mobiloperatör
• användarens IP-adresser
• användarens telefonmodell och version av mobila OS på den (till exempel, iPhone 7 12.1.4)
• användarens e-postadress
• användarens saldo och valuta
• användarens land
• användarens aktuella plats (land)
• kampanjkoder
• och mycket mer.

{ 
    "_id" : ObjectId("5c9a49b2a1f7da01398b4569"), 
    "url" : "api3.roamerapp.com/call/history/*******5049", 
    "ip" : "67.80.1.6", 
    "method" : NumberLong(1), 
    "response" : {
        "calls" : [
            {
                "start_time" : NumberLong(1553615276), 
                "number" : "7495*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869601)
            }, 
            {
                "start_time" : NumberLong(1553615172), 
                "number" : "7499*******", 
                "accepted" : true, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(63), 
                "cost" : 0.03, 
                "call_id" : NumberLong(18869600)
            }, 
            {
                "start_time" : NumberLong(1553615050), 
                "number" : "7985*******", 
                "accepted" : false, 
                "incoming" : false, 
                "internet" : true, 
                "duration" : NumberLong(0), 
                "cost" : 0.0, 
                "call_id" : NumberLong(18869599)
            }
        ]
    }, 
    "response_code" : NumberLong(200), 
    "post" : [

    ], 
    "headers" : {
        "Host" : "api3.roamerapp.com", 
        "X-App-Id" : "a9ee0beb8a2f6e6ef3ab77501e54fb7e", 
        "Accept" : "application/json", 
        "X-Sim-Operator" : "311480", 
        "X-Wsse" : "UsernameToken Username="/******S19a2RzV9cqY7b/RXPA=", PasswordDigest="******NTA4MDhkYzQ5YTVlZWI5NWJkODc5NjQyMzU2MjRjZmIzOWNjYzY3MzViMTY1ODY4NDBjMWRkYjdiZTQxOGI4ZDcwNWJmOThlMTA1N2ExZjI=", Nonce="******c1MzE1NTM2MTUyODIuNDk2NDEz", Created="Tue, 26 Mar 2019 15:48:01 GMT"", 
        "Accept-Encoding" : "gzip, deflate", 
        "Accept-Language" : "en-us", 
        "Content-Type" : "application/json", 
        "X-Request-Id" : "FB103646-1B56-4030-BF3A-82A40E0828CC", 
        "User-Agent" : "Roamer;iOS;511;en;iPhone 7;12.1.4", 
        "Connection" : "keep-alive", 
        "X-App-Build" : "511", 
        "X-Lang" : "EN", 
        "X-Connection" : "WiFi"
    }, 
    "created_at" : ISODate("2019-03-26T15:48:02.583+0000"), 
    "user_id" : "888689"
}

Att kontakta ägarna av databasen var förstås omöjligt. Kontaktinformationen på webbplatsen fungerar inte, och ingen reagerar på meddelanden i sociala medier.

Appen är fortfarande tillgänglig i Apple App Store (itunes.apple.com/app/roamer-roaming-killer/id646368973).

Nyheter om dataläckor och visselblåsare kan alltid hittas på min Telegram-kanal «Dataintrång»: https://t.me/dataleak.

Källa: habr.com