Liderada por Noam Rotem e Ran Locar, a equipe de pesquisa da vpnMentor descobriu uma violação de dados pertencente à empresa chinesa de jogos para celular EskyFun.
A empresa estava usando um servidor desprotegido para armazenar grandes quantidades de dados coletados de usuários em seus jogos. Muitos desses dados eram extremamente confidenciais e não havia necessidade de uma empresa de videogame manter esses arquivos detalhados de seus usuários.
Além disso, por não proteger os dados, o EskyFun potencialmente expôs mais de 1 milhão de pessoas a fraudes, hackers e muito pior.
Resumo de violação de dados
- Companhia: EskyFun
- Quartel general: China
- Indústria: Jogos para celular
- Tamanho dos dados em gigabytes: 134 GB
- Suspeito não. de registros: 365.630.387
- Nº de pessoas expostas: Potencialmente 1 milhão + (com base no total de downloads de jogos EskyFun no Android)
- Intervalo de datas / cronograma: Junho de 2021 - presente
- Âmbito geográfico: Global
- Tipos de dados expostos: Dados PII; rastreamento e dados analíticos; permissões do dispositivo
- Impacto potencial: Phishing; Fraude; Espionagem corporativa; Hacking
- Formato de armazenamento de dados: Elasticsearch
Perfil da companhia
A EskyFun Entertainment Network Limited é uma editora chinesa de jogos para celular com vários títulos de jogos disponíveis no Android. Seus jogos são uma mistura de RPG e aventuras de fantasia que, combinadas, têm mais de 1.500.000 downloads.
Os jogos EskyFun afetados neste vazamento de dados foram: Rainbow Story: Fantasy MMORPG (mais de 500.000 downloads); Metamorph M (mais de 100.000 downloads); Dynasty Heroes: Legends of Samkok (mais de 1.000.000 de downloads).
Cronograma de descoberta e reação do proprietário
- Data da descoberta: 5 de julho de 2021
- Data de contato com os fornecedores: 7 de julho de 2021
- Data da 2ª tentativa de contato: 27 de julho de 2021
- Data em que entramos em contato com o CERT de Hong Kong: 27 de julho de 2021
- Data da resposta: -
- Data de Ação: até 28 de julho de 2021
Às vezes, a extensão de uma violação de dados e o proprietário dos dados são óbvios, e o problema é resolvido rapidamente. Mas raros são esses tempos. Em vez disso, geralmente precisamos de dias de investigação antes de entender o que está em jogo ou quem está vazando os dados.
Compreender uma violação e seu impacto potencial exige muita atenção e tempo. Trabalhamos muito para publicar relatórios precisos e confiáveis, garantindo que todos que os leem entendam sua seriedade.
Algumas partes afetadas negam os fatos, desconsiderando nossa pesquisa ou minimizando seu impacto. Portanto, precisamos ser minuciosos e ter certeza de que tudo o que encontramos está correto e preciso .
Nesse caso, nossa equipe descobriu o banco de dados EskyFun no início de julho. Depois de confirmarmos os detalhes do vazamento, e da EskyFun como a parte responsável, entramos em contato com a empresa imediatamente. Após algumas semanas sem resposta, enviamos um e-mail de acompanhamento e entramos em contato com o CERT de Hong Kong. *
O CERT de Hong Kong foi rápido e proativo em sua resposta, buscando informações adicionais para tomar as medidas apropriadas. No entanto, neste ponto, o banco de dados estava protegido e a violação foi encerrada.
Como nunca tivemos notícias do EskyFun, não podemos confirmar exatamente quando ele corrigiu a vulnerabilidade.
* A Equipe de Resposta a Emergências de Computadores de Hong Kong (HKCERT) é uma agência governamental responsável por lidar com incidentes de segurança cibernética no país. A maioria dos países tem uma agência semelhante para lidar com vazamentos de dados localizados e hacks.
Exemplo de entradas no banco de dados
O servidor do EskyFun estava armazenando um registro contínuo dos registros de usuário dos 7 dias anteriores de 3 jogos separados. No final de cada dia, todos os dados com mais de 7 dias eram excluídos automaticamente para abrir espaço para novos dados.
Como resultado, nossa investigação se concentra em dados de apenas 7 dias e em todos os jogadores expostos nessa janela curta.
No entanto, apesar de abranger apenas 7 dias, o servidor ainda continha mais de 360 milhões de registros de jogadores. Esta é uma enorme quantidade de dados coletados de alguns jogos para celular pequenos e não muito conhecidos.
Jogos Afetados
- Rainbow Story: Fantasy MMORPG
- Metamorph M
- Dynasty Heroes: Legends of Samkok
Permissões e rastreamento excessivos
A razão para o tamanho dos dados expostos parece ser as configurações agressivas e profundamente problemáticas de rastreamento, análise e permissões do EskyFun.
Provavelmente, a maioria dos jogadores não tem ideia de quantos dados e acesso estão fornecendo ao EskyFun apenas baixando um dos jogos da empresa. Na verdade, parece que você nem precisa começar a jogar antes que ele acesse as configurações e redes de seus dispositivos.
Por exemplo, suponha que um jogador esteja tendo problemas para fazer pagamentos em um jogo. Nesse caso, um invasor poderia enviar um e-mail direcionando-o a um site malicioso com um portal de pagamento falso configurado para raspar os detalhes do cartão de crédito, roubá-los ou incorporar um vírus em seu dispositivo (ou seja, ransomware, spyware, rastreamento, etc.).
Dada a riqueza de informações armazenadas sobre cada usuário, parecer legítimo e construir confiança seria muito fácil para um cibercriminoso experiente. O banco de dados também continha muitos dados para construir um perfil de usuários e identificar dois grupos vulneráveis: contas com altos salários e crianças. Ao se concentrar nesses usuários, os hackers podem colher enormes recompensas financeiras de um pequeno grupo de vítimas.
Além disso, considerando quantas pessoas foram expostas ao vazamento, elas só precisariam enganar uma pequena fração dos usuários para que uma campanha fosse considerada bem-sucedida.
Usando senhas para hackear outras contas
O banco de dados do EskyFun também continha senhas em texto simples para contas de usuários em seus jogos.
Os hackers podem usar essas senhas para acessar e assumir o controle das contas de jogos da EskyFun e cometer mais atos de fraude contra os usuários.
No entanto, o risco mais significativo vem de hackers que usam essas senhas fora da rede do EskyFun. Isso ocorre porque a maioria dos usuários da Internet compartilha suas senhas em várias contas e dispositivos privados. Por exemplo, a senha da conta EskyFun de uma pessoa pode ser a mesma de sua conta bancária.
Hackers criminosos sabem disso. Portanto, eles provavelmente usariam os endereços de e-mail e as senhas do banco de dados do EskyFun para conduzir ataques de força bruta contra usuários, bombardeando sites na Internet com seu e-mail e senha na esperança de acessar contas privadas.
Para usuários EskyFun
Se você é um jogador em qualquer um dos jogos da EskyFun e está preocupado sobre como essa violação pode afetá-lo, entre em contato com a empresa diretamente para determinar quais medidas ela está tomando para proteger seus dados.
Como e por que descobrimos a violação
A equipe de pesquisa do vpnMentor descobriu o banco de dados exposto como parte de um vasto projeto de mapeamento da web. Nossos pesquisadores usam scanners da web em grande escala para pesquisar armazenamentos de dados inseguros contendo informações que não deveriam ser expostas. Em seguida, eles examinam cada armazenamento de dados para verificar se há vazamento de dados.
EskyFun estava usando um banco de dados Elasticsearch, que normalmente não é projetado para uso de URL. No entanto, pudemos acessá-lo por meio do navegador e manipular os critérios de pesquisa de URL para expor esquemas de um único índice a qualquer momento.
Sempre que encontramos uma violação de dados, usamos técnicas especializadas para verificar o proprietário do banco de dados, geralmente uma empresa comercial.
Como hackers éticos , somos obrigados a informar uma empresa quando descobrimos falhas em sua segurança online. Entramos em contato com a EskyFun, não apenas para informá-los sobre a vulnerabilidade, mas também para sugerir maneiras de tornar seu sistema seguro.
Essa ética também significa que temos responsabilidade para com o público. Os usuários do EskyFun devem estar cientes de uma violação de dados que expõe muitos de seus dados confidenciais.
O objetivo deste projeto de mapeamento da web é ajudar a tornar a Internet mais segura para todos os usuários .
Nós nunca venderemos, armazenar ou expor qualquer informação que encontramos durante a nossa pesquisa de segurança.
Fonte:
vpnMentor
--------------------------------------------------------------------------------------
Enfim, gosta do Portal Vovo GaTu😍? Siga-nos nas redes sociais.
Fique por dentro das noticias, e nao perca nada!😄 Contamos consigo!
Herley costa: Me siga nas redes sociais
