Хронос

​​Сливки-шоу • #Маркетплейсы #Россия #СНГ • Исходный код MEGA слит — насколько серьёзна опасность? Копаемся в проекте Профессора вместе с техническим специалистом и оцениваем уровень угрозы. Вечером 15 мая пятая реинкарнация канала DC, обвиняя Мориарти в блокировке канала, сливает в сеть исходный код маркетплейса. Вскоре эти же данные появляются на главной странице KRAKEN, а новость о дискредетации проекта Профессора разносится по всем ПАВ-сообществам. Чтобы разобраться в том, являются ли слитые данные подлинным исходным кодом MEGA, и если да, то какие опасности это сулит проекту, редакция Хроноса пригласила технического специалиста для анализа слитого источника. Выяснилось, что это действительно код MEGA, вернее, его версия от октября 2022 года. «Сам код, — заявил Хроносу технический консультант, — выглядит ровно так, как его описывал Мориарти в нескольких видеоинтервью. Видно, что изначальная база маркетплейса была написана крайне посредственно, имела кучу багов и проблем. В исходниках проекта содержится большое количество заготовленных скриптов, которые предназначены исключительно для того, чтобы на лету можно было поправлять результаты ошибок». Покопавшись в данных, мы действительно обнаружили подобные скрипты, некоторые из них имели достаточно забавные формулировки. На этом фоне становятся понятны неоднократные намёки Профессора на создание MEGA 2.0: похоже, что оригинальный сервис рискует упереться в потолок своих возможностей. Какие проблемы слив несёт для площадки? Первая опасность лежит на поверхности: исходным кодом площадки теперь могут пользоваться конкуренты для поиска брешей в защите площадки. В случае с MEGA это может привести к экспулатации уязвимостей в работе внутреннего API, платёжной системы и базы данных. Также слитый код может помочь конкурентам эффективнее проводить DDoS-атаки ввиду обнародования схемы работы системы безопасности проекта, включая капчу и балансер. Но эта истина банальна, но ведь перед нами есть пример того, что маркетплейс может остаться вполне жизнеспособным и при такой потере — это Solaris, чей код также распространялся по сети силами KRAKEN. Дело в том, что в случае с Solaris первоисточник слива был известен — это «предатель» из команды проекта, подаривший данные американским специалистам по кибербезопасности. В случае же с MEGA остаётся открытым вопрос, откуда был взят код? Был ли аналогичным образом переманен один из разработчиков, или же недоброжелатели проекта заполучили его иным образом? «Всё указывает на то, — продолжает собеседник редакции, — что слив стал возможен либо благодаря бэкапу на каком-тотестовом сервере, или благодаря бывшему сотруднику. Это тоже удар по репутации и безопасности, потому что наличие открытого исходного кода = огромная помощь пентестерам». 📌 Вместе с публикацией слива KRAKEN объявил о готовности на бесплатной основе принять дилеров с MEGA и предоставить действующим магазинам статус доверенных продавцов. Интересная льгота предлагается и клиентам: администрация KRAKEN пообещала выплатить по 300 рублей каждому отправившему свой аккаунт на MEGA — деньги придут на аккаунт внутри KRAKEN в виде промокода. Видно, что маркетплейс настроен серьёзно и не упускает возможности наносить удары конкурентам, ещё недавно собиравшимся против площадки в коалицию и требовавшим от продавцов отказаться от двойного размещения. Хронос | #Спонсировано