पुन: स्टोर, सैमसंग, सोनी सेंटर, नाइके, लेगो और स्ट्रीट बीट शॉपर्स डेटा लीक

पिछले हफ्ते, कोमर्सेंट ने बताया कि "स्ट्रीट बीट और सोनी सेंटर के ग्राहक आधार सार्वजनिक रूप से उपलब्ध थे," लेकिन वास्तव में, लेख जो कहता है, उससे भी बदतर सब कुछ है।

मैंने पहले ही अपने टेलीग्राम चैनल में इस लीक का विस्तृत तकनीकी विश्लेषण किया था, इसलिए यहां हम केवल मुख्य बिंदुओं पर ही जाएंगे।

:        .           .      ,      . 

इंडेक्सस के साथ अगला एलिटिक्स खोज सर्वर फ्री एक्सेस में निकला:

• graylog2_0
• रीडमी
• unauth_text
• http:
• graylog2_1

Graylog2_0 में 11/16/2018 से मार्च 2019 तक लॉग्स थे, और ग्रेब्लॉग 2_1 में मार्च 2019 से 06/04/2019 तक लॉग थे। एलिस्टिक्स की पहुंच के करीब आने तक, ग्रेग्लोग 2_1 में प्रविष्टियों की संख्या बढ़ती गई।

शोडान खोज इंजन के अनुसार, यह इलास्टिक्स खोज 11/12/2018 से सार्वजनिक डोमेन में है (इस मामले में, जैसा कि ऊपर वर्णित है, पहले लॉग प्रविष्टियां दिनांक 16/11/2018 हैं)।

लॉग में, gl2_remote_ip फ़ील्ड ने DNS पते srv2.inventive.ru और srv3.inventive.ru के साथ IP पते 185.156.178.58 और 185.156.178.62 का संकेत दिया:

मैंने 06.04/ 2019 को 18:25 (GMT) पर समस्या के बारे में इन्वेंटिव रिटेल ग्रुप ( www.inventive.ru ) को सूचित किया और 22:30 तक सर्वर "चुपचाप" नि: शुल्क एक्सेस से गायब हो गया।

यह लॉग्स में निहित था (सभी डेटा का अनुमान है, गणना से डुप्लिकेट हटाए नहीं गए थे, इसलिए वास्तविक लीक की गई जानकारी की मात्रा सबसे कम होने की संभावना है):

• री शॉपर्स के लिए 3 मिलियन से अधिक ईमेल पते: स्टोर, सैमसंग, स्ट्रीट बीट और लेगो
• पुनः खरीदारों के 7 मिलियन से अधिक फोन: स्टोर, सोनी, नाइके, स्ट्रीट बीट और लेगो स्टोर
• सोनी और स्ट्रीट बीट स्टोर के खरीदारों के व्यक्तिगत खातों से 21 हजार से अधिक जोड़े लॉगिन / पासवर्ड।
• अधिकांश टेलीफोन और ईमेल रिकॉर्ड में पूर्ण नाम (अक्सर लैटिन अक्षरों में) और लॉयल्टी कार्ड नंबर भी होते थे।

नाइके स्टोर के ग्राहक से संबंधित लॉग से उदाहरण (सभी संवेदनशील डेटा "एक्स" वर्णों द्वारा प्रतिस्थापित किया गया है):

 "message": "{\"MESSAGE\":\"[URI] /personal/profile/[ ] contact[ POST] Array\\n(\\n [contact[phone]] => +7985026XXXX\\n [contact[email]] => XXX@mail.ru\\n [contact[channel]] => \\n [contact[subscription]] => 0\\n)\\n[ GET] Array\\n(\\n [digital_id] => 27008290\\n [brand] => NIKE\\n)\\n[ ]   - 200[ ] stdClass Object\\n(\\n [result] => success\\n [contact] => stdClass Object\\n (\\n [phone] => +7985026XXXX\\n [email] => XXX@mail.ru\\n [channel] => 0\\n [subscription] => 0\\n )\\n\\n)\\n\",\"DATE\":\"31.03.2019 12:52:51\"}", 

यहाँ इस बात का एक उदाहरण है कि sc-store.ru और street-beat.ru पर ग्राहकों के व्यक्तिगत खातों से लॉग में पासवर्ड और पासवर्ड कैसे संग्रहीत किए गए थे:

 "message":"{\"MESSAGE\":\"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[ ] personal[ GET] Array\\n(\\n [digital_id] => 26725117\\n [brand]=> SONY\\n)\\n[ ]   - [ ] \",\"DATE\":\"22.04.2019 21:29:09\"}" 

इस घटना पर आधिकारिक IRG बयान यहाँ पढ़ा जा सकता है , इसके कुछ अंश:

कपटपूर्ण उद्देश्यों के लिए व्यक्तिगत डैशबोर्ड से डेटा के संभावित उपयोग से बचने के लिए, हम इस क्षण को अप्राप्य नहीं छोड़ सकते हैं और ग्राहकों के व्यक्तिगत डैशबोर्ड के लिए पासवर्ड बदल सकते हैं। कंपनी स्ट्रीट-beat.ru ग्राहकों के व्यक्तिगत डेटा के लीक होने की पुष्टि नहीं करती है। इन्वेंटिव रिटेल ग्रुप की सभी परियोजनाओं को तुरंत अतिरिक्त रूप से जांचा गया। ग्राहकों के व्यक्तिगत डेटा को कोई खतरा नहीं मिला।

यह बुरा है कि आईआरजी यह पता नहीं लगा सकता है कि क्या लीक हुआ है और क्या नहीं है। यहां स्ट्रीट बीट स्टोर ग्राहक से संबंधित लॉग का एक उदाहरण दिया गया है:

 "message": "{\"MESSAGE\":\"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,' ' = contact,' POST' = Array\\n(\\n [contact[phone]] => 7915545XXXX\\n)\\n,' GET' =\\n\\t\\tArray\\n(\\n [digital_id] => 27016686\\n [brand] => STREETBEAT\\n)\\n,' ' = '  - '200,'RESPONCE' = stdClass Object\\n(\\n [result] => success\\n [contact] => stdClass Object\\n (\\n [phone] => +7915545XXXX\\n [email] => XXX@gmail.com\",\"\":\"01.04.2019 08:33:48\"}", 

हालांकि, हम बहुत बुरी खबरों की ओर रुख करते हैं और बताते हैं कि यह आईआरजी ग्राहकों के व्यक्तिगत डेटा का ठीक-ठीक लीक क्यों है।

यदि आप इस स्वतंत्र रूप से उपलब्ध इलास्टिक्स खोज के सूचकांकों को करीब से देखते हैं, तो आप उनमें से दो नामों को नोटिस कर सकते हैं: रीडमी और अनथुथेक्स । यह कई रैंसमवेयर लिपियों में से एक की विशेषता है। उन्होंने दुनिया भर में 4 हज़ार से अधिक एलिटिक्स खोज सर्वरों को मारा। रीडमी सामग्री इस तरह दिखती है:

 "ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY" 

जबकि IRG लॉग वाला सर्वर सार्वजनिक डोमेन में था, रैंसमवेयर स्क्रिप्ट को निश्चित रूप से क्लाइंट की जानकारी तक पहुंच प्राप्त हुई और, यदि आप इसके द्वारा छोड़े गए संदेश को मानते हैं, तो डेटा डाउनलोड किया गया था।

इसके अलावा, मुझे कोई संदेह नहीं है कि यह डेटाबेस मेरे सामने पाया गया था और पहले से ही डाउनलोड किया गया था। मैं यहां तक ​​कहूंगा कि मुझे इस पर यकीन है। ऐसा कोई रहस्य नहीं है कि ऐसे खुले ठिकानों को उद्देश्यपूर्ण तरीके से खोजा और पंप किया जाता है।

सूचना लीक और अंदरूनी सूत्रों के बारे में समाचार हमेशा मेरे टेलीग्राम चैनल " सूचना लीक ": https://t.me/dataleak पर मिल सकते हैं ।