MORELE.NET HISTORIA BY XARM

Cześć wykopkowicze. Ostatnio natknąłem się na pewien otwarty serwer i był to serwer morele net, niezabezpieczone żadne porty, otwarty phpmyadmin i najcudowniejszy framework na świecie, który jest wystawiany na światło dzienne. Udało mi się całą bazę danych, całe 2.2 mln danych użytkowników, do...

Cześć wykopkowicze. Ostatnio natknąłem się na pewien otwarty serwer i był to serwer morele net, niezabezpieczone żadne porty, otwarty phpmyadmin i najcudowniejszy framework na świecie, który jest wystawiany na światło dzienne.

Udało mi się całą bazę danych, całe 2.2 mln danych użytkowników, do tego kilkadziesiat tysiecy peseli, pare tysiecy zeskanowanych dowodów osobistych, zazwyczaj były to dwie strony.

Przykładowy log z bazych danych wygląda nastepująco(wykop nie usuwaj proszę)

(2478371,'J****','Boj**uk','jboj**[e-mail]','$1$owLbC*****DRkZJMh78U7g1','510***509',3,3,32**,722**43,3,3,'2018-10-0923:56:58','2018-10-1333:00:08',0)

Dołączyłem układ kolumn, tak aby upewnić ich, że jestem w posiadaniu. Pare dni wcześniej JACYŚ LUDZIE robili kampanie phishingowe z użyciem fałszywej bramky dotpay, z czego wynika że posiadali również telefony numerów (możliwe, że z panelu do którego dostęp mogli uzyskać poprzez zcrackowanie haseł z bazy danych - a jak wiadomo, porty były otwarte) ale o tym tylko slyszalem ;))

Dołączyłem również pare hashów i loginów jednych z zatrudnionych.

Okej. Fajnie odpowiedzieli, jedziemy dalej.

Zaoferowałem im 15 BTC, wiadomo, wszystko ma swoją cene, chcialem zachowac cisze, doradzic, zakopac gleboko tak aby to nie wyszlo.

Mają 10k+ zamówień dziennie, a nie maja jak załatwić 15 bitcoinów, naprawdę morele? Wysłanie 200 000 bez dokumentu też całkiem spoko propozycja, ciekawe czy legalna?

Wiadomo, mówie jaki jest układ, te 300k chciałem przelać na jakiś szczytny cel na świeta, niech coś ktoś ma od takich rzeczy ;) 

Tutaj widać nieudolną próbę prawdopodobnie policjanta cyberka który liczy na awans przez swoje manewry. 

Na początku sie zaśmiałem mocno, że próbuja ogarnąć 15 BTC bez prezesa, ale no co zrobić, chyba ktoś oberwie po premii ;)

Łukasz dla mnie osobiście jest osobą nie myśląca racjonalnie i nieodpowiednia na swoje stanowisko. Może ja bym je zajął?

Po tej wiadomosci skontaktował się ze mną CEO Morele.

Przy okazji, napisałem wiadomość do niebezpiecznika - orientacyjna czy są zainteresowani. Otrzymałem wiadomość zwrotną dopiero kiedy morele same ogłosiło, że był wyciek.

Wiadomość od CEO. Musieli chyba mieć szajbe w robocie - szukali winnego spośród własnych pracowników, ciekawe kto oberwał po głowie, może pan Ł?

Otrzymałem propozycję pracy fajnie w sumie, może się zatrudnie. Ciekawe czy mam od razu się spakować i pojechać do ich biura? Czy to może oni przyjdą do mnie na ciasteczka? 

Wiecie jak jest, umowa to umowa, zgodzili się. Z3s jest już poinformowane o całej sytuacji wraz ze screenami. Artykuł pojawi sie do weekendu. Morele - słabo!! 

300K NIE UDAŁO SIĘ ZDOBYĆ ALE MOŻECIE NAKARMIĆ PIESKA :)

https://www.olx.pl/lp/nakarm-p...

I c--j, wszystko. Miłej zabawy

[milo1000]

Mnie to wygląda na szantaż, za to też się idzie do więzienia.

[Dorodny_Wieprz]

Totalna amatorka. Jedyne co z tego wynika to to, ze wiele osob moglo pobrac baze danych morele.

[s.....g]

Te dopiski, że to na paczki świąteczne i na cele charytatywne, to wyglądają na próbę usprawiedliwienia się i tłumaczenia w sytuacji niepowodzenia. Żenujące to.

[LITWIN]

@sweeting: I tak też było. Gdyby od razu napisał, by przelali na jakąś instytucję charytatywną to wyglądałoby inaczej. Olali go, to próbował się wybielić by potem ładnie wyglądało pod publiczkę gdy zamierzał opublikować treść korespondencji ;)

[xxxmen]

chwalisz sie szantazem? Ciebie czlowieku do reszty p------o ( ͡° ͜ʖ ͡°)

[Hansiu]

Nie rozumiem. Wjechac komuś do sklepu tylnymi drzwiami, bo zapomniał je zamknąć a następnie ukraść jakieś kwity by na koniec straszyć odpowiedzialnościa za niedopilnowanie i żądać kasy za zwrot. Dla mnie urwanie jajec przy samym łbie.
Spółka z o.o. nie może wypłacić ot tak sobie pieniędzy byle komu. Ja na miejscu jej władz, wyasygnowałbym raczej kwotę dla konkurencyjnej bandy w celu złapania tej pierwszej. W ogóle ten poddańczy to to żenada. Każdy

[dybligliniaczek]

Jako ciekawostkę podam przypadek, w którym doszło do rewizji w firmie, bo dostała przypadkiem mejla, którego nie powinna dostać. Co bardziej wrażliwi piszą, że mejl jest adresowany tylko do adresata i nikogo poza nim. Wskutek błędu w adresie (domenie kraju) wiadomość trafiła do nie tego kogo trzeba (bo mieli catch all). Nazwisko się nie zgadzało - to po pierwsze. Po drugie - była klauzula typu; "jeżeli nie jesteś odbiorcą wiadomości - natychmiast

[simperium]

Po drugie - była klauzula typu; "jeżeli nie jesteś odbiorcą wiadomości - natychmiast ją skasuj, oraz powiadom nadawce o takim fakcie"

@Hansiu: że co? Od kiedy wpis w randomowym mejlu, to prawnie działająca klauzula?

[SuzySheep]

I przyszedłeś tu kutasie chwalić się, że sprzedasz nasze dane? Mam nadzieję, że cię złapią.

[wojna]

Za dużo filmów widzę że miałeś nadzieje że pan jeżdżący w koło ronda z wywieszoną koszulą przez okno, przywiezie Tobie kasę za dane które wykradłeś nielegalnie :) Ehhh....

[BratProgramisty]

@wojna da sie wykrasc legalnie?

[BratProgramisty]

@wojna aa to ok

[Farentis]

@xArm szykuj szczoteczkę ;) Ja nie żartuję. Mało tego: współczuję ci bardzo, bo wiem, że właśnie przegrałeś życie stulejarzu ( ͡º ͜ʖ͡º)

[hu-nows]

@Farentis: @xArm: ciekawi mnie jak zacierałeś ślady przy tych wszystkich operacjach i korespondencji, czy to jest coś w rodzaju psychozy jak w Mr. Robot, że nawet niszczysz nośniki danych i wszystko idzie przez pierdyliard pośrednich serwerów, historia pokazuje, że nie takich kozaków łapano co im się wydawało, że są nieuchwytni i sprytniejsi od policyjnych speców IT. W zasadzie już popełniłeś pierwszy błąd, pochwaliłeś się światu..

[Jazz-III]

15btc od spółki za honorowe słowo stulejarza ( ͡º ͜ʖ͡º)
Niby taki mądrala a jednak taki debil.

[JBZDY]

@Jazz-III: stuleje mają swój honor!