Сайт коммерческой спайвари pcTattletale взломан, а внутренние данные компании опубликованы в открытом доступе. За несколько дней до этого ИБ-исследователь Эрик Дейгл (Eric Daigle) обнаружил, что API pcTattletale имел уязвимость и раскрывал данные о гостях и пользователях систем регистрации отелей Wyndham.
PcTattletale представляет собой приложение для удаленного доступа и относится к разряду так называемого сталкерского ПО, так как может использоваться для слежки за людьми без их ведома или согласия. Человек, установивший приложение, может удаленно следить за устройствами на базе Android и Windows, получая данные с них из любой точки мира. Разработчики pcTattletale утверждают, что их продукт «незаметно работает в фоновом режиме и не может быть обнаружен».
Хотя разработчики описывают свой продукт как коммерческую спайварь, Microsoft относит pcTattletale как к угрозе и предупреждает, что программа «следит за тем, что вы делаете на своем компьютере, как правило, перехватывая нажатия клавиш и делая скриншоты», а также предупреждает, что pcTattletale «пытается похитить важную и конфиденциальную информацию».
На прошлой неделе ИБ-исследователь Эрик Дейгл предупреждал, что обнаружил уязвимость в шпионском приложении, через которую утекали скриншоты с устройств с установленным pcTattletale. Изначально эксперт не стал публиковать детальную информацию о проблеме, поскольку разработчики приложения проигнорировали все его попытки выйти на связь, и уязвимость еще не была устранена. В настоящее время информация об уязвимости уже раскрыта полностью.
Интересно, что по информации издания TechCrunch, приложение pcTattletale, к тому же, было обнаружено системах регистрации трех отелей сети Wyndham. Спайварь тайно делала скриншоты систем отелей, на которые попадали личные сведения о гостях и информация о клиентах (включая частичные номера платежных карт).
Дейгл писал, что благодаря уязвимости в API спайвари эти скриншоты доступны всем желающим, а не только предполагаемым операторам pcTattletale.
При этом до сих пор неизвестно, кто установил приложение на компьютеры отелей. Возможно, злоумышленники обманным путем вынудили сотрудников установить pcTattletale. Но также вероятно, что руководство отелей использовало шпионское ПО для наблюдением за работой своих сотрудников. В Wyndham отказались комментировать ситуацию.
Вскоре после публикации упомянутого предупреждения Дейгла и статьи TechCrunch сайт pcTattletale взломали и дефейснули. Хакер разместил на сайте спайвари сообщение, заявив, что скомпрометировал серверы разработки спайвари. Также он опубликовал ссылки на 20 архивов с исходными кодами и БД pcTattletale, в которых, судя по всему, содержались украденные данные людей, за которыми наблюдали при помощи приложения.
При этом взломщик сообщил, что не использовал уязвимость, обнаруженную Дейглом. По его словам, из-за бага в API серверы pcTattletale и без этого можно было вынудить предоставить приватные ключи от учетной записи Amazon Web Services, что давало доступ к операциям спайвари.
Позже взломщик опубликовал видео, на котором владелец сайта pcTattletale якобы пытается восстановить его через FTP. Хакер с сарказмом отмечал, что это видео снято с помощью самой спайвари pcTattleTale, которая установлена на устройстве владельца.
В настоящее время сайт pcTattletale отключен, а агрегатор утечек Have I Been Pwned (HIBP) уже опубликовал предупреждение для пострадавших от этого инцидента.
Как пишет основатель и владелец HIBP, Трой Хант (Troy Hunt), в общей сложности утекло порядка 100 ГБ данных, которые содержали информацию об устройствах, пароли с хэшем MD5, SMS-сообщения и около 139 000 уникальных email-адресов.
