حملة برمجيات خبيثة تُعرف باسم INJ3CTOR3 تستهدف خوادم FreePBX، والهدف المعلن ليس مجرد الاختراق لمرة واحدة. وفقًا للتقرير الإخباري، تسرق البرمجية الخبيثة كلمات مرور SIP وبيانات اعتماد قواعد البيانات وأسرارًا أخرى حتى يتمكن المهاجمون من مواصلة الاحتيال الهاتفي حتى بعد أن يعيد المسؤول بناء الخادم. بالنسبة لأي شخص يدير إعداد أمان خادم FreePBX، سواء في مكتب صغير أو مختبر منزلي، فإن هذه التفصيلة تغيّر الطريقة التي ينبغي بها تنفيذ التنظيف.
المقال المصدر موجز، لذا يلتزم هذا المنشور بما يذكره ويشرح الآلية العامة وراء أهمية هذه التفاصيل.
ما تفعله برمجية INJ3CTOR3 الخبيثة وفقًا للتقارير
وفقًا للتقرير، تستهدف INJ3CTOR3 نظام FreePBX، وهي واجهة الويب مفتوحة المصدر واسعة الانتشار لإدارة أنظمة الهاتف القائمة على Asterisk. بمجرد وصولها إلى خادم، تسرق البرمجية الخبيثة ثلاثة أنواع من البيانات:
- كلمات مرور SIP، التي تصادق على امتدادات الهاتف والخطوط الرئيسية
- بيانات اعتماد قواعد البيانات
- أسرار أخرى مخزنة على النظام
النقطة الأساسية هي الاستمرارية. يذكر التقرير أن السرقة مصممة للحفاظ على الاحتيال الهاتفي بعد إعادة البناء. بعبارة أخرى، قد لا ينهي محو نظام PBX وإعادة تثبيته المشكلة إذا كان المهاجم يمتلك بالفعل بيانات اعتماد صالحة لا تزال تعمل بعد ذلك.
لماذا تغذي بيانات اعتماد SIP المسروقة الاحتيال الهاتفي
بيانات اعتماد SIP هي أساسًا المفتاح الذي يسمح لجهاز أو حساب بإجراء مكالمات عبر نظام الهاتف الخاص بك أو مزود الخدمة upstream. إذا كان المهاجم يمتلكها، فيمكنه غالبًا التسجيل كامتداد أو خط رئيسي شرعي من أي مكان. ثم تبدو المكالمات وكأنها صادرة من مؤسستك.
هذا هو أساس الاحتيال على الرسوم: تُجرى مكالمات إلى وجهات ذات أسعار مميزة أو دولية، وتُفرض الفاتورة على الضحية. يصوغ المقال البيانات المسروقة كوسيلة لاستمرار ذلك الاحتيال، مما يشير إلى أن بيانات الاعتماد هي الجائزة الحقيقية، وليس الخادم نفسه.
تضيف بيانات اعتماد قواعد البيانات طبقة أخرى من المخاطر. يمكن أن تحتوي قاعدة بيانات PBX على تفاصيل التكوين ومعلومات الامتدادات ومواد أخرى تساعد المهاجم على الحفاظ على الوصول أو التحرك أكثر. تعامل مع أي شيء مخزن على نظام مخترق على أنه مكشوف.
لماذا قد لا تكون إعادة البناء وحدها كافية
يفترض العديد من المسؤولين بشكل معقول أن إعادة التثبيت النظيفة تزيل المتسلل. هذا صحيح بالنسبة للبرمجيات الخبيثة على الجهاز، لكنه لا يلغي سرقة الأسرار. إذا تمت استعادة نفس كلمات مرور SIP أو تسجيلات الدخول للخطوط الرئيسية أو كلمات مرور قواعد البيانات من نسخة احتياطية أو إعادة كتابتها، فيمكن للمهاجم العودة مباشرة ببيانات اعتماد صالحة.
يعكس هذا النمط حوادث أخرى حيث تبقى عمليات تسجيل الدخول المسروقة أطول من الاختراق الأولي، مثل حزمة arrayref Rust المسمومة التي استُخدمت لحصاد بيانات الاعتماد. غالبًا ما تكون سرقة بيانات الاعتماد هي الجزء الدائم من الهجوم، وتنظيف البرمجيات هو نصف الاستجابة فقط. وبالمثل، فإن المنصات المتصلة بالإنترنت غير المُرقّعة هي نقطة دخول متكررة، كما حدث عندما استغل جواسيس روس ثغرة يوم الصفر في Zimbra ضد خوادم البريد الإلكتروني.
ماذا يعني هذا بالنسبة لك
إذا كنت تدير FreePBX، فافترض أن أي اختراق مشتبه به يعني أن كل سر على ذلك الجهاز قد احترق. تشمل الخطوات العملية:
- غيّر كل شيء بعد إعادة البناء. غيّر جميع كلمات مرور امتدادات SIP، وبيانات اعتماد الخطوط الرئيسية مع مزودك، وكلمات مرور قواعد البيانات، وتسجيلات دخول المسؤول. افعل ذلك مع الخادم الجديد، وليس قبله، وتجنب إعادة استخدام القيم القديمة.
- أعد البناء بشكل نظيف. ثبّت من وسائط موثوقة بدلاً من استعادة صورة نظام كاملة قد تحمل البرمجيات الخبيثة. راجع أي تكوين مستعاد بحثًا عن إدخالات غير مألوفة.
- رقّع FreePBX ووحداته. حافظ على تحديث المنصة ونظام التشغيل، لأن واجهات الإدارة المكشوفة هدف شائع.
- قيّد وصول المسؤول. لا تترك واجهة FreePBX على الويب مفتوحة للإنترنت. اقتصرها على VPN أو شبكة إدارة أو عناوين IP موثوقة محددة.
- استخدم كلمات مرور SIP قوية وفريدة. كلمات مرور طويلة وعشوائية لكل امتداد تجعل التخمين وإعادة الاستخدام أقل فائدة بكثير للمهاجم.
- ضع حدودًا للإنفاق وتنبيهات مع مزود SIP. يمكن لحدود حجم المكالمات والوجهات الدولية والإنفاق اليومي أن تمنع الاحتيال من التحول إلى فاتورة ضخمة، وتساعدك التنبيهات على ملاحظته مبكرًا.
- راجع سجلات المكالمات. ابحث عن مكالمات في ساعات غريبة أو وجهات غير مألوفة أو امتدادات لا تتعرف عليها.
الشركات الصغيرة ومستخدمو المختبرات المنزلية معرضون بشكل خاص لأن أنظمة الهاتف غالبًا ما تُعد مرة واحدة ثم تُنسى. نظام PBX يجلس بهدوء على IP عام يمكن أن يبقى دون مراقبة لأشهر، وهو بالضبط الوضع الذي يفضله مشغلو الاحتيال.
نظافة الشبكة حول PBX مهمة أيضًا. إذا تم العبث بجهاز التوجيه الخاص بك، يمكن إعادة توجيه حركة المرور وبيانات الاعتماد، كما هو موضح في تغطية اختراق القراصنة الروس لإعدادات DNS في أجهزة التوجيه المنزلية. الحفاظ على تحديث البرنامج الثابت لجهاز التوجيه وإغلاق لوحات الإدارة يدعم بقية دفاعاتك.
النقاط الرئيسية
تقرير INJ3CTOR3 هو تذكير بأنه بالنسبة لنشر FreePBX، فإن بيانات الاعتماد لا تقل قيمة عن الخادم. إعادة البناء دون تغيير بيانات الاعتماد يمكن أن يترك الباب مفتوحًا. لتقليل مخاطرك:
- رقّع FreePBX وأبقه بعيدًا عن الإنترنت المفتوح
- غيّر كل سر يتعلق بـ SIP وقواعد البيانات والإدارة بعد أي اختراق مشتبه به
- أعد البناء من مصادر نظيفة
- ضع حدود إنفاق لدى المزود وراقب سجلات المكالمات
إذا كنت تدير نظام هاتف، فافحص تعرض FreePBX لديك اليوم، وحدّث البرنامج، وضع تغيير بيانات الاعتماد على قائمة مراجعة الحوادث. بضع ساعات من العمل الآن يمكن أن تمنع فاتورة هاتف مفاجئة لاحقًا.
