MORELE.NET HISTORIA BY XARM

Cześć wykopkowicze. Ostatnio natknąłem się na pewien otwarty serwer i był to serwer morele net, niezabezpieczone żadne porty, otwarty phpmyadmin i najcudowniejszy framework na świecie, który jest wystawiany na światło dzienne. Udało mi się całą bazę danych, całe 2.2 mln danych użytkowników, do...

Cześć wykopkowicze. Ostatnio natknąłem się na pewien otwarty serwer i był to serwer morele net, niezabezpieczone żadne porty, otwarty phpmyadmin i najcudowniejszy framework na świecie, który jest wystawiany na światło dzienne.

Udało mi się całą bazę danych, całe 2.2 mln danych użytkowników, do tego kilkadziesiat tysiecy peseli, pare tysiecy zeskanowanych dowodów osobistych, zazwyczaj były to dwie strony.

Przykładowy log z bazych danych wygląda nastepująco(wykop nie usuwaj proszę)

(2478371,'J****','Boj**uk','jboj**[e-mail]','$1$owLbC*****DRkZJMh78U7g1','510***509',3,3,32**,722**43,3,3,'2018-10-0923:56:58','2018-10-1333:00:08',0)

Dołączyłem układ kolumn, tak aby upewnić ich, że jestem w posiadaniu. Pare dni wcześniej JACYŚ LUDZIE robili kampanie phishingowe z użyciem fałszywej bramky dotpay, z czego wynika że posiadali również telefony numerów (możliwe, że z panelu do którego dostęp mogli uzyskać poprzez zcrackowanie haseł z bazy danych - a jak wiadomo, porty były otwarte) ale o tym tylko slyszalem ;))

Dołączyłem również pare hashów i loginów jednych z zatrudnionych.

Okej. Fajnie odpowiedzieli, jedziemy dalej.

Zaoferowałem im 15 BTC, wiadomo, wszystko ma swoją cene, chcialem zachowac cisze, doradzic, zakopac gleboko tak aby to nie wyszlo.

Mają 10k+ zamówień dziennie, a nie maja jak załatwić 15 bitcoinów, naprawdę morele? Wysłanie 200 000 bez dokumentu też całkiem spoko propozycja, ciekawe czy legalna?

Wiadomo, mówie jaki jest układ, te 300k chciałem przelać na jakiś szczytny cel na świeta, niech coś ktoś ma od takich rzeczy ;) 

Tutaj widać nieudolną próbę prawdopodobnie policjanta cyberka który liczy na awans przez swoje manewry. 

Na początku sie zaśmiałem mocno, że próbuja ogarnąć 15 BTC bez prezesa, ale no co zrobić, chyba ktoś oberwie po premii ;)

Łukasz dla mnie osobiście jest osobą nie myśląca racjonalnie i nieodpowiednia na swoje stanowisko. Może ja bym je zajął?

Po tej wiadomosci skontaktował się ze mną CEO Morele.

Przy okazji, napisałem wiadomość do niebezpiecznika - orientacyjna czy są zainteresowani. Otrzymałem wiadomość zwrotną dopiero kiedy morele same ogłosiło, że był wyciek.

Wiadomość od CEO. Musieli chyba mieć szajbe w robocie - szukali winnego spośród własnych pracowników, ciekawe kto oberwał po głowie, może pan Ł?

Otrzymałem propozycję pracy fajnie w sumie, może się zatrudnie. Ciekawe czy mam od razu się spakować i pojechać do ich biura? Czy to może oni przyjdą do mnie na ciasteczka? 

Wiecie jak jest, umowa to umowa, zgodzili się. Z3s jest już poinformowane o całej sytuacji wraz ze screenami. Artykuł pojawi sie do weekendu. Morele - słabo!! 

300K NIE UDAŁO SIĘ ZDOBYĆ ALE MOŻECIE NAKARMIĆ PIESKA :)

https://www.olx.pl/lp/nakarm-p...

I c--j, wszystko. Miłej zabawy

[1severian]

Jak już cie wypuszczą z pierdla to zrób ama.

[t.....y]

@XARM jesteś debilem. Szantażujesz spółkę - i zostaniesz z niczym, pójdziesz, mam nadzieję siedzieć. O wiele więcej byś zyskał informując ich o nie zabezpieczonych danych.

[DaxterPoker]

Dzięki temu, że mamy RODO
wystarczy ze uzupełnicie ten wzór : https://www.infor.pl/prawo/prawa-konsumenta/konsument-w-sieci/785163,Zadanie-usuniecia-danych-wzor.html

Wyślecie OP'owi i on będzie musiał usunąć Wasze dane :)

[g.....o]

@DaxterPoker: z pewnością usunie ( ͡° ͜ʖ ͡°)

[DaxterPoker]

@godoto musi przecież...

[kretu]

cenę podniósł do 20 BTC po tym, jak Morele próbowały zaszyć kod śledzący miejsce otwarcie emaila w swojej odpowiedzi (nie miałem możliwości weryfikacji),

Powie ktoś o co chodzi z tym kodem śledzącym w @

[Cuddi]

@kretu: W stopce był obrazek pobierany z zewnętrznego serwera. Potem w logach tego serwera można zobaczyć z jakiego adresu IP był pobierany ten obrazek.

[PrawieJakBordo]

@kretu: Przestępcy czasami popełniają błędy - zapewne liczyli że i autor znaleziska taki błąd popełnił. Polecę wykład Adama Heartle o tym jak wpadali przestępcy komputerowi ;)

[S.....k]

@xArm
Weź usuń konto. Nie chcemy tu przestępców.

[RRybak]

@Scharnvirk: no weź, co Ty nie powiesz! ʕ•ᴥ•ʔ

[S.....0]

@RRybak: bialkov Cię chyba zminusowal XD

[Ranger]

Zaoferowałem im 15 BTC

I spodziewałeś się, że zapłacą w BTC? Skąd mieliby wziąć na to pieniądze (kwestia księgowania) i dlaczego mieliby zapłacić anonimowemu ziomeczkowi z internetów? XD

[julianhungry]

@Ranger: Ludzie w stresie potrafią robić dziwne rzeczy, a skoro aż tak tam nie ogarniali.. :) Jakkolwiek nie spodziewam się, żeby ktokolwiek przy zdrowych zmysłach na to poszedł.

[BajongCzesiek]

@julianhungry: Tak na prawdę to nie wiadomo czy nie ogarniali. Równie dobrze, ktoś z ekipy morele podał namiary na panel i jakieś hasło. Ludzie są różni i dla kasy zrobią wiele rzeczy.

[g.....n]

@xArm: chciałeś od Morele pieniądze na "szczytny" cel

te 300k chciałem przelać na jakiś szczytny cel na świeta

dlaczego zatem nie powiedziałeś im że przekażesz im informacje jak zobaczysz potwierdzony przelew który zrobią np. dla Wielkiej orkiestry? Oni mieli by formalnie czysto bo zrobili by darowiznę a ty miałbyś to co chciałeś. Czy jednak chodziło o to żaby zarobić na czyjejś niewiedzy? Jeśli tak to nie pisz głodnych kawałków o

[g.....n]

@xArm: chciałem tylko wypunktować twoją obłudę!

[Jazz-III]

@xArm: Czas zapieprza
Świat się zmienia
Ciągle ten sam
Ból istnienia
Ból przegrywów
Wciąż rozpędza
Karuzelę S----------a

[moonraker]

no siema panie morelas

@Cointreau: hola hermano!

[Cointreau]

@moonraker ( ͡º ͜ʖ͡º)

[m.....q]

@xArm otwarte porty, phpMyAdmin i udajesz wielkiego bandziorka a za moich czasów nazywaliśmy takich jak ty script kiddie. Za co Ty 200k chciałeś? Za informacje, że mieli publiczny serwer z otwartymi portami?

Prezes zaoferował fajną ugodę, ofertę, w ciągu roku mógł byś więcej zarobić niż te 200k ale jesteś dzbanem i prawdopodobnie już Cie szukają. Wielu moich kolegów zostało złapanych i pracują teraz dla służb cyberbezpieczeństwa i wierz mi, że są

[cacum3]

@musq: @xArm jest nie tylko dzbanem ale i przestępcą.

[Silvestre_Cucumeris]

Prezes zaoferował fajną ugodę, ofertę, w ciągu roku mógł byś więcej zarobić niż te 200k ale jesteś dzbanem i prawdopodobnie już Cie szukają.

@musq: no na pewno, prezes by go przywitał z otwartymi rękami (a może bardziej z kajdankami?) :) I płaciłby mu 200k+ za bycie script kiddie i skanowanie portów nmapem :D Sam sobie przeczysz.

[typowy_lobuz]

@xArm Prawda jest taka że bawisz się prywatnością ludzi pod przykrywką że nakarmisz pieska ze schroniska. Jesteś po prostu przestępcą a nie Robin Hoodem.