MORELE.NET HISTORIA BY XARM

Cześć wykopkowicze. Ostatnio natknąłem się na pewien otwarty serwer i był to serwer morele net, niezabezpieczone żadne porty, otwarty phpmyadmin i najcudowniejszy framework na świecie, który jest wystawiany na światło dzienne. Udało mi się całą bazę danych, całe 2.2 mln danych użytkowników, do...

Cześć wykopkowicze. Ostatnio natknąłem się na pewien otwarty serwer i był to serwer morele net, niezabezpieczone żadne porty, otwarty phpmyadmin i najcudowniejszy framework na świecie, który jest wystawiany na światło dzienne.

Udało mi się całą bazę danych, całe 2.2 mln danych użytkowników, do tego kilkadziesiat tysiecy peseli, pare tysiecy zeskanowanych dowodów osobistych, zazwyczaj były to dwie strony.

Przykładowy log z bazych danych wygląda nastepująco(wykop nie usuwaj proszę)

(2478371,'J****','Boj**uk','jboj**[e-mail]','$1$owLbC*****DRkZJMh78U7g1','510***509',3,3,32**,722**43,3,3,'2018-10-0923:56:58','2018-10-1333:00:08',0)

Dołączyłem układ kolumn, tak aby upewnić ich, że jestem w posiadaniu. Pare dni wcześniej JACYŚ LUDZIE robili kampanie phishingowe z użyciem fałszywej bramky dotpay, z czego wynika że posiadali również telefony numerów (możliwe, że z panelu do którego dostęp mogli uzyskać poprzez zcrackowanie haseł z bazy danych - a jak wiadomo, porty były otwarte) ale o tym tylko slyszalem ;))

Dołączyłem również pare hashów i loginów jednych z zatrudnionych.

Okej. Fajnie odpowiedzieli, jedziemy dalej.

Zaoferowałem im 15 BTC, wiadomo, wszystko ma swoją cene, chcialem zachowac cisze, doradzic, zakopac gleboko tak aby to nie wyszlo.

Mają 10k+ zamówień dziennie, a nie maja jak załatwić 15 bitcoinów, naprawdę morele? Wysłanie 200 000 bez dokumentu też całkiem spoko propozycja, ciekawe czy legalna?

Wiadomo, mówie jaki jest układ, te 300k chciałem przelać na jakiś szczytny cel na świeta, niech coś ktoś ma od takich rzeczy ;) 

Tutaj widać nieudolną próbę prawdopodobnie policjanta cyberka który liczy na awans przez swoje manewry. 

Na początku sie zaśmiałem mocno, że próbuja ogarnąć 15 BTC bez prezesa, ale no co zrobić, chyba ktoś oberwie po premii ;)

Łukasz dla mnie osobiście jest osobą nie myśląca racjonalnie i nieodpowiednia na swoje stanowisko. Może ja bym je zajął?

Po tej wiadomosci skontaktował się ze mną CEO Morele.

Przy okazji, napisałem wiadomość do niebezpiecznika - orientacyjna czy są zainteresowani. Otrzymałem wiadomość zwrotną dopiero kiedy morele same ogłosiło, że był wyciek.

Wiadomość od CEO. Musieli chyba mieć szajbe w robocie - szukali winnego spośród własnych pracowników, ciekawe kto oberwał po głowie, może pan Ł?

Otrzymałem propozycję pracy fajnie w sumie, może się zatrudnie. Ciekawe czy mam od razu się spakować i pojechać do ich biura? Czy to może oni przyjdą do mnie na ciasteczka? 

Wiecie jak jest, umowa to umowa, zgodzili się. Z3s jest już poinformowane o całej sytuacji wraz ze screenami. Artykuł pojawi sie do weekendu. Morele - słabo!! 

300K NIE UDAŁO SIĘ ZDOBYĆ ALE MOŻECIE NAKARMIĆ PIESKA :)

https://www.olx.pl/lp/nakarm-p...

I c--j, wszystko. Miłej zabawy

[HuGho]

Złodziej chwali się publicznie tym, że coś ukradł. No brawo! Niby w dzisiejszych czasach ludzie coraz inteligentniejsi, więcej umieją, na wszystkim się znają a tak generalnie to i tak pozostają idiotami.
Mam nadzieję, że cię złapią i wlepią kilka paragrafów.

[p.....k]

@xArm skoro twoim celem jest dowalenie Morele a pieniądze chciałeś przeznaczyc na szczytny cel to po co łamiesz haszowane hasła użytkowników?

[p.....k]

@xArm: @xArm: byłoby miło gdybyś udostępnił na jakimś pwned listę maili żeby ludzie się mogli zweryfikować. Ale kurde kolego łamanie haseł to już nie brzmi jak hobby, moim zdaniem takich rzeczy się nie robi

[agent89]

@xArm: ale ty myślisz, że morele to teraz czyta i się złamie i ci przeleje te BTC?

[P.....u]

Z czystej ciekawości - jak to "natknąłeś się" na otarty serwer z niezabezpieczonymi portami? Rozumiem, co to znaczy, i o czym dalej piszesz, ale nie rozumiem jak można natknąć się na taki serwer? To jest jakieś narzędzie które przelatuje po adresach i sprawdza co jest podatne na jakiś atak?

@xArm

[snejdan]

@Pyriu:
- shodan.io
- nmap

[PrawieJakBordo]

@Pyriu: Pytanie nie do mnie a do autora wpisu, ale w internecie znajdziesz masę tego typu narzędzi, dla przykładu może być to strona internetowa ZoomEye.
No i wydaje mi się że osoba która się włamała do moreli raczej uzyskała dostęp w inny sposób, bo ciężko mi uwierzyć w niezabezpieczoną bazę tak ogromnego sklepu, choć pewnie w przeszłości i takie przypadki się zdarzały :P

[zielonka18]

@xArm Symfony 3.3 z niezabezpieczonym app_dev.php + dane do bazy w zmiennych środowiskowych, prawda?

[pro_charles]

@xArm: podeślij skrawek envów to pośmiejemy się

[N.....r]

@xArm: już myślałem, ze jakiś potężny hakier a tu zielonka z wykopu wie co się stało :c

[tagged]

Żałosne i to nawet bardzo ( ͡º ͜ʖ͡º) 15 BTC od spółki haha co za genialny plan hahah

[tagged]

@buggeer: BTC można namierzyć tak samo jak przelew bankowy. Anonimowość BTC jest mitem ( ͡° ͜ʖ ͡°)
Co to tych 15 BTC mógłby jakiś prezesik wyjąć z konta prywatnego ale nie z firmowego, spółki itp. Istnieje takie coś jak księga przychodów i rozchodów i jest tam zapisana każda złotóweczka.

[b.....r]

@tagged: Nawet gorzej, Morele jest tak duże, że na pewno muszą prowadzić księgi rachunkowe a nie księgę przychodów i rozchodów. Tak czy siak, jakikolwiek okup wypłacony od takiej firmy byłby niezgodny z prawem, chyba, że można by go zaksięgować jako jakieś działania operacyjne prowadzone wspólnie z policją.

Naoglądają się ludzie filmów i zamiast legalnie zgłosić wyciek to chcą okupu za coś, co nie ma fizycznej formy. Przecież nawet nie da

[LM317K]

@xArm: co zrobisz z bazą danych?

[4191727801]

@xArm: chialoby sie powiedziec "o-------l cos!" ale :
1. mam u nich konto xD
2. o ile sie nie myle to jest to polski kapital, wiec veto! nie pozwalam! Mozecie dojechac jakis saturn czy inny niemiecki sklep :D

[Pietter]

@Neaopoliti: a potem wezmą na Ciebie kredyt xD

[p.....y]

Najpierw wykopałem, potem przeczytałem a po tym co przeczytałem postanowiłem zakopać. Gościu który przypadkiem znalazł otwarty serwer to tonalny gimbus, pyskaty gnojek. Szkoda morele ze popełnili taki prosty błąd ze podbudowali gówniakowi morale (・へ・)

[Bomboniusz1986]

@pikey: dojadą go, myśli, że po drugiej stronie są głupki... Jak CBŚP ruszy to się zdziwi niczym polsilver

[p.....y]

@Bomboniusz1986: No ewidentnie wzięli typa za gmibe idiotę przecież widać jak zaczęli mu odpisywać żeby tylko sie dowiedzieć kim jest :D „szef nic nie wie ale chcemy ci dać te pieniądze” ( ͡° ͜ʖ ͡°)

[yuio]

Są tacy ludzie co uważają, że to co zrobiłeś podchodzi pod kradzież / próbę wyłudzenia kasy. Ciężko nie przyznać im racji.

[t.....5]

To nie USA by za włamanie do kogoś i umiejętności hakerskie dawali pracę w różnych służbach. Teraz jedynie pasiak. To że nie zapłacą było wiadome od początku.

[turbonerd]

To że nie zapłacą było wiadome od początku.

@thus5: Byliby debilami jakby cokolwiek zapłacili szantażyście, kiedy nie ma żadnej pewności, że ta baza i tak nie wycieknie ¯\_(ツ)_/¯

[KiedysMialemBordo]

To nie USA by za włamanie do kogoś i umiejętności hakerskie dawali pracę w różnych służbach. Teraz jedynie pasiak. To że nie zapłacą było wiadome od początku.

@thus5: To nie ma znaczenia czy to USA czy Polska. W każdym kraju oferowanie pracy takiemu dzbanowi byłoby nierozsądne. Tutaj ta propozycja raczej padła dlatego, że mieli nadzieje iż się ujawni i wtedy by go pewnie aresztowali.
Rozsądne firmy mogą nawiązać współpracę ale

[Nerin]

W sumie nie wiem czy typ chciał zarobić, czy komuś rzeczywiście pomóc za ten hajs, ale nie zmienia to faktu, że jeśli rzeczywiście zdobył wszystkie te dane i zaczął szantaż z narażeniem takiej ilości prywatnych danych, to powinien za to konkretnie beknąć i nie tylko długa odsiadka, ale również milionowe odszkodowanie na rzecz fundacji, którą rzekomo chciał wesprzeć czy coś w tym stylu.

[KiedysMialemBordo]

W sumie nie wiem czy typ chciał zarobić, czy komuś rzeczywiście pomóc za ten hajs,

@Nerin: oczywiście, że chciał zarobić. Gdyby w ogóle brał pod uwagę taką możliwośc jak pomoc to by zasugerował by morele zrobiły przelew na wskazaną fundację np. i przesłały potwierdzenie przelewu albo zapytał fundację czy taki przelew do nich dotarł. Choć nawet wtedy pójście na taki układ byłoby ryzykowne bo to nadal szantaż i nie ma