pcTattletale 软件一直在向公共网络泄露录音

一位独立研究人员曝光了商业级 pcTattletale 间谍软件工具中可能危及录音的漏洞后不久，该工具的网站就被黑客入侵并遭到破坏。

该黑客声称已访问了至少 17TB 的受害者截图和其他敏感数据，在研究人员披露有限信息以防止不良行为者利用该漏洞后，他将该网站的黑客攻击视为个人挑战。黑客事件发生后，亚马逊立即对该网站的 AWS 基础设施进行了官方锁定。

pcTattletale 间谍软件的缺陷架构及其发现表明常见间谍软件应用程序中存在固有漏洞，可能不仅影响个人，还会影响整个组织和家庭。

pcTattletale 间谍软件漏洞和不良数据处理实践
pcTattletale 间谍软件工具的主要功能是实时提供受害者设备的屏幕截图，此外还有位置跟踪等典型间谍软件功能。然而，这种建立在糟糕基础设施和数据处理实践基础上的广泛监控功能也成为了其败笔，数据泄露事件会暴露目标的私人数据。

首先，2021 年的数据泄露事件暴露了间谍软件工具域基础设施中存在个人目录覆盖 (IDOR) 漏洞，可能允许通过可猜测的 Amazon S3 URL 访问敏感数据。

上周，研究员 Eric Daigle 发现了一个 API 漏洞，该漏洞也可能允许跨注册设备访问敏感数据。此漏洞允许未经授权的用户以全面屏幕录制的形式访问私人信息。

随后的一次黑客攻击将 pcTattletale 的后端暴露给公众，暴露了其对安全实践的惊人漠视。黑客发现，该间谍软件附带了硬编码的 AWS 凭证，可通过隐藏的 Webshel​​l 访问，从而可能导致多年未被发现的数据泄露。这一疏忽因其简单性和持续时间而引人注目，凸显了用户数据处理方面的重大失误。

pcTattletale 间谍软件最新破解
黑客破坏了 pcTattletale 的官方网站，取而代之的是操作记录和从该网站的 AWS 基础设施获取的受感染数据的链接。pcTattletale 存储的数据量惊人，黑客报告称，他们发现了来自 10,000 多台设备的超过 17 TB 的受害者设备截图，其中一些截图可追溯到 2018 年。

虽然发布的数据转储中没有包含这些屏幕截图，但据报道它包含数据库转储、stalkerware 服务的完整 webroot 文件以及其他 S3 存储桶内容，暴露了多年的敏感信息。

来源：archive.org
此次入侵还发现了一个简单的 Webshel​​l，它至少从 2011 年 12 月起就隐藏在间谍软件的后端代码中。这个后门允许通过使用 cookie 来执行任意 PHP 代码，这让人怀疑它的来源——它是 pcTattletale 自己放置的后门，还是威胁行为者放置的。

黑客随后更新了被破坏的网站并分享了一段视频，声称这是 pcTattletale 创始人尝试恢复网站的镜头。

被破坏的网站花了 20 多个小时才被关闭，而 pcTattletale 的服务继续将截图发送到 S3 存储桶，直到亚马逊正式锁定该间谍软件服务的 AWS 账户。

来源：ericdaigle.ca
在该网站的 AWS 基础设施正式关闭后，安全研究员 Eric Daigle 进一步披露了此前披露的有限漏洞，并逐步利用了漏洞。他指出，虽然该网站的攻击者利用了一个不相关的漏洞，但其复杂性同样微不足道。

受 pcTattletale 间谍软件数据泄露影响的受害者
pcTattletale 数据泄露尤其令人担忧，因为有多家组织使用该工具来监控员工和客户，泄露了银行、律师事务所、教育机构、医疗保健提供商甚至政府机构等各个部门的机密信息。安全研究员 maia crimew 探讨了这一 事件并在博客文章中分享了数据，他指出受数据泄露影响的受害者包括：

• 酒店泄露客人信息，例如个人数据和信用卡详细信息。
• 律师事务所曝光律师与客户之间的沟通以及客户银行路由信息
• 一家银行泄露机密客户数据
• 学校、托儿所等教育机构监视员工或学生，泄露个人数据。
• 医疗保健提供者泄露患者信息。
• 巴勒斯坦政府机构雇员受到监控。
• 波音公司供应商的人力资源部门泄露员工个人信息。
• 科技公司在涉嫌不法行为的员工设备上秘密安装 pcTattletale，暴露内部系统和源代码。
• 一名漏洞赏金猎人安装了该软件进行渗透测试，然后立即试图卸载它。

令人担忧的是，这款间谍软件还可以让父母和配偶监视各自的孩子和伴侣，从而有可能在随后的入侵中暴露这些信息。

资料来源：maia.crimew.gay
鉴于受影响的公司范围广泛且存在重大安全漏洞，安全研究员 maia crimew 指出，pcTattletale 可能面临严重后果，可能导致其停止运营，因为美国联邦贸易委员会 (FTC)此前已下令其他美国跟踪软件开发商在发生违规行为后停止运营，而 pcTattletale 的案件也将面临类似的后果。

pcTattletale 的广泛滥用和系统性安全漏洞凸显了跟踪软件和服务所固有的危险，以及迫切需要对这些工具进行严格的监管监督和强有力的安全措施，以保护个人和组织的数据和隐私。