Hi Facundo,

A message has been sent to the infrastructure owner, saying his servers might be compromised.

Thanks for the report and sorry for the inconvenience.

Cheers,
Sebastian

Y dieron por cerrado el ticket…nadie del “servicio web social” se contactó conmigo aún.

Las primeras conclusiones fueron que el servicio en cuestion es gPush, una aplicacion para Iphone que trae los emails por push al iphone. Yo la instale hace un año, formatie el telefono y ahora hace meses que no la tengo más instalada. Pero mis datos seguro quedaron en sus servers.  Yo estoy completamente seguro de que no puse mis datos en ningun otro lado. Luc, en los comentarios, dice que tambien la tubo instalada, por eso sospechamos de ésta aplicacion (otra aplicacion en comun instalada hace poco es Vuvuzela para iphone, pero no creo que a Apple se le pase ésto en sus proceso de aprobacion de aplicaciones). Alguien comprometio los servers de gPush?

Pero apareció Alejandro, en los comentarios, con el mismo problema y él no tiene un iphone por lo tanto no tiene gPush. Esto me desconcertó. La hipotesis de gPush queda descartada.

Acabo de mandar un mail a gPush, preguntandoles si hostean su servicio en esa IP o si su servicio fue comprometido. En cuanto me respondan actualizare.

No puedo dar con el servicio hosteado en esa IP! me carcome la intriga!

Gracias a José María Aguilar de Variable not found y Eduardo Arcos de ALT1040 por aportar a la investigacion.

Actualizacion 21.06.2010:

Bueno, Amazon me respondió y amplio un poco mas la informacion sobre lo hosteado en esa IP: mobile device push service.

Hello,

We have received your report of unwanted access to your Gmail account from an Amazon IP address.

We have completed an initial investigation of the issue and learned that the IP address you reported did indeed belong an Amazon EC2 instance. Amazon’s EC2 service allows customers to run their applications using Amazon’s infrastructure, including IP addresses. The accesses that you reported may have come from an Amazon EC2 customer’s application. You may learn more about EC2 at http://aws.amazon.com/ec2 .

The customer we have identified runs a mobile device push service. You may have signed up for this service and granted permission and provided username/password to their application to access your Gmail account. We have passed this message on to the customer that uses the IP address mentioned in your abuse report. However, we have no reason to believe that this is an actual intrusion attempt.

If you continue to see unwanted activity, please contact Google and ask that they initiate an investigation with Amazon.

Regards,

The EC2 Team

Todo indica que se trata de gPush, pero eso no explica cómo le paso ésto a otras personas que ni siquiera tienen un iphone. O incluso a mi, que lo tengo desisntalado hace meses.

Por otro lado, les escribi a los de gPush, preguntandoles si ésa era la IP de sus servicios y me respondieron otra cosa:

Dear GPush User,

We are in the process of upgrading our infrastructure, and improving security.
Please be advised service will be spotty at best in the next 24 hours.

Sorry for the delays,
The GPush Team

Lo cual me hace pensar que posiblemente en el proceso de “upgrading” de su infraestructura, hayan hecho un chequeo de las cuentas que siguen “activas” ( que todabia tienen acceso, y el password les funciona) y por eso accedieron a mi cuenta. Esto sigue sin explicar como a personas sin iphone, tambien les entraron.

En las proximas 24hs voy a seguir mandando mails a gPush hasta que me confirmen si fueron ellos o no.

Tambien mande mails a Google, pidiendo que inicien una investigacion, y su respuesta fue aun peor:

Hello,

We understand the urgent nature of your message and recommend that you
visit the Gmail Privacy & Security Help Center at
https://mail.google.com/support/bin/topic.py?topic=12784 for immediate
assistance.

If you’d like to report a Gmail user who has sent messages that violate
the Gmail Program Policies and/or Terms of Use, please fill out a report
form at
http://mail.google.com/support/bin/request.py?contact_type=abuse_phishing .
We’ll investigate your report and may send a warning or discontinue Gmail
service for users who violate our policies.

If your issue is not related to abuse, please visit our Help Center at
http://mail.google.com/support/ or click ‘Help’ at the top of any Gmail
page for troubleshooting tips.

Sincerely,

The Google Team

*********

This message was sent from a notification-only email address that does not
accept incoming email. Please do not reply to this message.

El segundo link, apunta a cualquier lado menos a un formulario…

Tambien descubrí que en la IP en cuestion, tienen un SSH abierto, si ésta semana no logro descifrar de qué se trata, voy a hacer un ataque bruteforce usando el usuario “contactense con mi@mail.com”, para que lo vean en sus Logs del systema y reaccionen!

Ante cualquier novedad actualizo de nuevo.