В анонимных каналах появился SQL-дамп размером 289 МБ, который позиционировался как база данных "взломанного ОЦИБа".

Технические характеристики дампа
📦 Размер: 289 МБ
📝 Строк SQL: 557,691
🗄️ Имя базы: damytusite
🔧 Тип: WordPress MySQL dump
📊 Таблиц: 197
🔑 Префиксы: wp, wpLqk2Q2U
MD5 74fe0e0a846048656c4e846fe7668692
SHA256: 3ed68cc8bc6859c62a3d02b4f2a3b6231878d68547e5cc6d5335723717fc6b3c

🔄 Что утекло:
Учетные данные администраторов
👤 Логин: mtaratunin
📧 Email: info@damytu.com, info@koteru.kz, info@pard.kz
🔐 Хеши паролей:
Старый формат WordPress Portable Hash ($P$B...)
Современный формат bcrypt ($wp$2y$10$...)
Секретные ключи и API ключи
🔑 WordPress secret_key:

Mj`JAt$<c+ywT<SNIP>5$ROY~n?:<6So%^uop;

🔑 AppThemes API Key: 3c71516f89<SNIP>fab9d21b19b
🔑 Cloudflare Turnstile: Site key: 0x4AAA<SNIP>0vyv Secret key: 0x4AAAAAAA<SNIP>PQ6NDwQ
🔑 Freemius SDK: публичные и секретные ключи плагинов (pk_..., sk_...)

Масштаб утечки: База содержит данные от основного веб-сайта компании и нескольких клиентских сайтов, размещенных на одном сервере:

🌐 Основной домен компании
inova.kz - 98,463 упоминаний в базе

🌐 Клиентские домены
pard.kz - 30,611 упоминаний
partner.com.kz - 1,252 упоминания
damytu.com - 637 упоминаний
odines.kz - 414 упоминаний
inova-v1.koteru.kz - 330 упоминаний
leo.pard.kz - 261 упоминаний
cloud.koteru.kz - 75 упоминаний
dcsource.kz - 33 упоминания
www.inova.kz - 52 упоминания
bitrix24.inova.kz - 1 упоминание

Обнаружены внутренние пути к файлам на сервере:

/usr/share/nginx/damytu/wp-content/
/usr/share/nginx/directory/wp-content/
/usr/share/nginx/leo.pard.kz/wp-content/
/usr/share/nginx/odines.kz/wp-content/
/usr/share/nginx/partner.com.kz/wp-content/
/usr/share/nginx/pard.kz/wp-content/

Все веб-сайты размещены на одном сервере под управлением nginx.

Профили пользователей: https://inova.kz/author/
Каналы: https://inova.kz/channel/
Путь к загрузкам: /usr/share/nginx/pard.kz/wp-content/uploads/vwls

GeoDirectory: Локация по умолчанию: Алматы, Казахстан
Координаты: 43.244780700408754, 76.85833454132081
Site URL: https://inova.kz
Site Title: Inova Tech
User Email: m.taratunin@inova.kz
IP адреса:
Внутренние: 192.168.0.134, 172.16.10.217
Внешние комментаторов: 95.181.236.18, 95.181.236.16, 37.139.53.10 и другие

📦 Плагины: Elementor, WPForms, GeoDirectory, VideoWhisper Live Streaming, WooCommerce и другие

Вывод: Утекла база данных сайтa компании Inova Tech на базе CMS Wordpress, размещенных на общей инфраструктуре. Компрометированы учетные данные администраторов, секретные ключи и полная структура сервера. Предположительно злоумышленники воспользовались уязвимостями CMS Wordpress, плагинов, не исключается мисконфиг путей к конфигурационным файлам или резервным копиям, что в совокупности с достпными портами в публичную сеть привело к компроментации БД.

На фоне react2shell тихо появилась CVE-2025-54100, которая позволяла выполнять код в windows через curl (читай Invoke-WebRequest) запрос js файла с <script>alert(1)</script>

Простите, что?

PoC

Отвественность она нынче такая…

Пока прям сильно некогда этим заниматься конечно, но если хотите попробую разобрать…