Xakep #305. Многошаговые SQL-инъекции
Ранее на этой неделе в даркнете, на торговой площадке Dream Market, были выставлены на продажу данные 620 миллионов пользователей 16 крупных сайтов. За этот дамп злоумышленники суммарно просили около 20 000 долларов (в биткоинах).
В подборку злоумышленников вошла информация о пользователях следующих ресурсов: Dubsmash (162 млн), MyFitnessPal (151 млн), MyHeritage (92 млн), ShareThis (41 млн), HauteLook (28 млн), Animoto (25 млн), EyeEm (22 млн), 8fit (20 млн), Whitepages (18 млн), Fotolog (16 млн), 500px (15 млн), Armor Games (11 млн), BookMate (8 млн), CoffeeMeetsBagel (6 млн), Artsy (1 млн), а также DataCamp (700 000).
После того как информация о дампе попала в СМИ, многие из перечисленных компаний вынуждены были признать, что действительно пострадали от атак и начали уведомлять о случившемся пользователей или даже принудительно сбрасывать пароли. Так, расследования начали проводить компании Dubsmash, 500px, EyeEm, CoffeeMeetsBagel, DataCamp.
Теперь издание TechCrunch сообщило, что те же преступники, скрывающиеся под псевдонимом Gnosticplayers (возможно, это не группа, а один человек), продают на Dream Market новый сборник данных, в который вошли 127 000 000 записей о пользователях еще 8 скомпрометированных компаний. Суммарно за этот дамп просят 14 500 долларов в криптовалюте. Равно как и прошлый раз, базы можно приобрести отдельно или вместе. Цена зависит от ценности самих данных и сложности взлома парольных хешей. В дамп входят:
- Ge.tt (файлообменный сервис) — 1,83 млн аккаунтов, 0,16 BTC;
- Ixigo (путешествия и букинг) 18 млн аккаунтов, 0,262 BTC;
- Rollnet (игровой сервис) — 4 млн аккаунтов, 0,0582 BTC;
- Houzz (дизайн интерьеров) — 57 млн аккаунтов, 2,91 BTC;
- Coinmama (криптовалютный обменник) — 420 000 аккаунтов, 0,3497 BTC;
- Younow (стриминг) — 40 млн аккаунтов, 0,131 BTC;
- StrongHoldKingdoms (игровой сервис) — 5 млн аккаунтов, 0,291 BTC;
- Petflow (доставка кормов для животных) — 1 млн аккаунтов, 0,1777 BTC.
Из всех перечисленных в списке компаний об утечке данных пока сообщала только Houzz.
Напомню, что в ходе беседы с журналистами The Register продавец первого дампа рассказывал, что в общей сложности в его распоряжении имеется порядка 20 различных баз, некоторые из которых он собирается выставить на продажу, а другие приберегает для личного пользования. По его словам, суммарно эти «сборники» включают в себя информацию примерно о миллиарде различных аккаунтов, а самые старые утечки датированы еще 2012 годом.
