CVE.Global: кибер-разведка нового поколения

💀 DATASUCKERS опубликовали технический разбор взлома Dodo Pizza.

В предыдущем исследовании CVE.Global мы показали внешний цифровой след Dodo Pizza: IP, хосты, географию инфраструктуры и обнаруженные версионные уязвимости.

Теперь хакеры опубликовали собственное описание атаки:

мобильное приложение → раскрытие внутренних API → доступ к Databricks → токен → облачные секреты → новые учётные данные → административные системы → хранилища данных

🔥 По словам хакеров, в APK они обнаружили карту API из 95 внутренних REST-endpoint'ов, после чего нашли публично доступный endpoint Databricks, через который получили внутренний конфиг с PAT-токеном. Дальше этот токен дал им доступ к вычислительному кластеру, а затем к KeyVault, где находились десятки секретов: ключи storage-аккаунтов, токены других Databricks workspace, административные данные и сервисные учётные записи. После этого цепочка продолжилась через OpenMetadata, Superset, Kubernetes и другие внутренние сервисы. А сами данные по заявлению DATASUCKERS, выгружались уже напрямую из Azure Blob Storage. В опубликованной таблице заявлено:

≈3,7 ТБ данных
≈33 млрд записей
68 млн клиентов
862 млн заказов
431 тыс. сотрудников
34 страны

🍕 Инфраструктуру Dodo не взломала одна “страшная уязвимость”. По опубликованной версии взлом удался благодаря цепочки технической беспечности администратора:

— лишний публичный endpoint
— секрет в неправильном месте
— слишком привилегированный токен
— неполная ротация ключей
— сервис, через который можно двигаться дальше по инфраструктуре


Причём защита у компании была: WAF, MFA, ротация секретов, мониторинг уязвимостей.
Проблема, по словам самих атакующих, была в другом — каждая защита закрывала только свой маленький кусок системы.

Именно поэтому нужно видеть всю цифровую поверхность и связи между её элементами — потому что атакующий ищет не самую страшную дыру, он ищет паттерны и пробелы в безопасности.


🔐 CVE.Global — кибер-разведка нового поколения.

🍕 «Додо Пицца» подтвердила кибератаку и утечку данных.

В CVE.Global обратились представители из Казахстана с задачей разобрать инцидент, восстановить инфраструктурную картину и понять, как данные казахстанских пользователей могли оказаться затронуты. Группировка DATASUCKERS заявляет о похищении около ±3 ТБ данных и информации примерно о 68 млн клиентов, по Казахстану хакерами заявлено:

— 6 537 929 уникальных номеров телефонов
— 6 725 137 клиентов
— более 59 млн заказов
— около 522 млн различных записей

🌐 Мы проанализировали dodopizza.kz через CVE.Global и изучили его текущий и исторический цифровой след. По данным текущего анализа инфраструктурных узлов dodopizza.kz, размещённых в Казахстане, мы не обнаружили. В историческом следе домен связывается с главной инфраструктурой "Додо" в Германии, США, Нидерландах, Ирландии, Турции, Швеции, Беларуси, России, Португалии, Сербии и Испании.

Текущий аудит самого dodopizza.kz также показывает внешний сетевой контур и зарубежную инфраструктуру. При этом история домена прослеживается с 2015 года, и за это время CVE.Global видит 17 различных адресов размещения. Если данные миллионов казахстанцев действительно были скомпрометированы — где физически находилась система, которая их хранила и обрабатывала? Тем более что законодательство Казахстана требует локализации баз персональных данных внутри страны.

Текущий сетевой след dodopizza.kz указывает на инфраструктуру, связанную с сетью Servicepipe LLC; геолокационные данные указывают на Нижний Новгород. Если посмотреть шире на инфраструктуру «Додо Пицца», то система обнаружила:

— 29 IP
— 56 хостов
— 29 CVE
— инфраструктуру в 11 странах

💀 Среди найденных уязвимостей — CVE-2023-38*** с CVSS 9.8.
По данным нашего анализа её EPSS (вероятность эксплуатации) — 79,7%, то есть выше, чем у 99,6% всех существующих CVE — простыми словами типичному скрипт-кидди не составило бы труда произвести эксплуатацию.

Мы не можем утверждать, что именно данная уязвимость послужила причиной взлома, но цифровой след хорошо показывает, что в системе Додо наблюдались версионные уязвимости с высокими рейтингами опасности и возможностями эксплуатации.

Цифровая инфраструктура имеет свойство деградировать незаметно: один временный сервис, один забытый узел, одно отложенное обновление — и через несколько лет это уже не исключение, а системная уязвимость. Добросовестная кибербезопасность начинается с постоянного контроля за тем, что вообще существует в вашей инфраструктуре.


🔐 CVE.Global — кибер-разведка нового поколения.

🌐 CVE.Global — обновления и тариф LAMER

Мы продолжаем дорабатывать систему и упрощать работу внутри платформы:

— Интегрирован глобальный ИИ «Оракул», которому доступна память ваших проектов. Теперь не нужно вручную искать нужный .onion ресурс, проект название которого ты не помнишь, или запись по отдельным ключевым словам - теперь достаточно спросить Оракула.

— Добавлено перемещение карточек проектов - мелочь, которая заметно упрощает сортировку и работу с большим количеством исследований.

— Появился «Анализ CVE» - отдельный инструмент для исследования найденных уязвимостей, PoC и эксплойтов.

— И по многочисленным просьбам людей, которым нужен CVE.Global, но совершенно не нужен тариф размером с их месячный оборот, мы сделали тариф 🔥 LAMER — $93/месяц. Если у вас один сайт, один сервер и амбиции пока немного меньше инфраструктуры Palantir — его хватит за глаза.

🌐 Полная информация о тарифных планах доступна по ссылке cve.global/pricing

🔐 CVE.Global — кибер-разведка нового поколения.

🌐 CVE.Global — запускает продажи и дарит скидку 30% по промокоду CVEGTG30 до 1 октября!

Мы долго к этому шли и теперь готовы показать, что значит видеть свою цифровую инфраструктуру не по частям, а целиком — почти как под рентгеном. Основной идеей для создания такого творения послужил опыт долгих лет с желанием упаковать годы практического опыта в 1 клик.

И в этом нам помогли ИИ-агенты с кодовым названием D.O.G. — Digital Observed Grid.

Это цифровая аналитическая сетка, которая помогает находить ошибки, улучшать платформу, формировать новые задачи, развивать категории анализа и замечать вещи, до которых человек иногда просто не успевает дойти, а также запоминать тех, кто пытается дёргать в закрытые ручки. ИИ-агенты приняли участие в создании собственной среды для тестирования защищённости — PENTESTLAB, и развили в платформе спутниковую разведку Земли.

🌍 За время разработки CVE.Global превратился из набора отдельных идей в единую систему для анализа цифровой инфраструктуры, связей, рисков, уязвимостей и потенциальных проблем.

Я могу долго рассказывать, что она умеет, но в этом уже нет смысла, часть возможностей вы видели своими глазами, а с полным списком возможностей можете ознакомиться по ссылке — cve.global/pricing

🔐 CVE.Global — кибер-разведка нового поколения