Кампания със зловреден софтуер, известна като INJ3CTOR3, атакува FreePBX сървъри и според съобщенията целта не е просто еднократно проникване. Според новинарския репорт зловредният софтуер краде SIP пароли, идентификационни данни за базата данни и други тайни, за да могат атакуващите да продължават да извършват телефонни измами дори след като администраторът преинсталира сървъра. За всеки, който поддържа настройка за сигурност на FreePBX сървър, било то в малък офис или в домашна лаборатория, този детайл променя начина, по който трябва да се извършва почистването.

Изходната статия е кратка, така че тази публикация се придържа към това, което тя твърди, и обяснява общата механика на това защо тези детайли са важни.

Какво прави зловредният софтуер INJ3CTOR3 според съобщенията

Според репорта INJ3CTOR3 атакува FreePBX — широко използваният open-source уеб интерфейс за управление на телефонни системи, базирани на Asterisk. Веднъж попадне ли на сървър, зловредният софтуер краде три вида данни:

  • SIP пароли, които удостоверяват телефонни разширения и транкове
  • Идентификационни данни за базата данни
  • Други тайни, съхранявани в системата

Ключовият момент е устойчивостта. Репортът твърди, че кражбата е проектирана да поддържа телефонни измами след преинсталации. С други думи, изтриването и преинсталирането на PBX може да не реши проблема, ако атакуващият вече разполага с валидни идентификационни данни, които все още работят след това.

Защо откраднатите SIP идентификационни данни захранват телефонни измами

SIP идентификационните данни са по същество ключът, който позволява на устройство или акаунт да осъществява разговори през вашата телефонна система или вашия доставчик. Ако атакуващият ги притежава, той често може да се регистрира като легитимно разширение или транк от всяка точка. Тогава разговорите изглеждат сякаш идват от вашата организация.

Това е основата на toll fraud (измама с телефонни разговори): разговори се осъществяват към дестинации с премиум тарифи или международни дестинации и жертвата получава сметката. Статията представя откраднатите данни като начин за продължаване на тази измама, което подсказва, че идентификационните данни са истинската награда, а не самият сървър.

Идентификационните данни за базата данни добавят още един слой риск. Базата данни на PBX може да съдържа детайли за конфигурацията, информация за разширенията и друг материал, който помага на атакуващия да поддържа достъп или да се придвижи по-нататък. Третирайте всичко, съхранявано на компрометирана система, като изложено.

Защо само преинсталирането може да не е достатъчно

Много администратори основателно предполагат, че чистата преинсталация премахва натрапника. Това е вярно за зловредния софтуер на машината, но не отменя кражбата на тайни. Ако същите SIP пароли, транк логини или пароли за базата данни се възстановят от резервно копие или се въведат отново, атакуващият може да се върне директно с валидни идентификационни данни.

Този модел наподобява други инциденти, при които откраднатите данни за вход надживяват първоначалното компрометиране, като например отровения Rust crate arrayref, който е бил използван за събиране на идентификационни данни. Кражбата на идентификационни данни често е устойчивата част от атаката, а почистването на софтуера е само половината от отговора. По подобен начин непатчнати платформи, изложени на интернет, са повтаряща се входна точка, както се вижда, когато руски шпиони експлоатираха zero-day уязвимост в Zimbra срещу имейл сървъри.

Какво означава това за вас

Ако поддържате FreePBX, приемете, че при предполагаемо компрометиране всяка тайна на тази машина е изгорена. Практически стъпки включват:

  1. Сменете всичко след преинсталация. Променете всички пароли за SIP разширения, транк идентификационни данни с вашия доставчик, пароли за базата данни и администраторски логини. Направете това с новия сървър, не преди това, и избягвайте повторно използване на стари стойности.
  2. Преинсталирайте чисто. Инсталирайте от доверени носители, вместо да възстановявате пълен системен образ, който може да носи зловредния софтуер. Прегледайте всяка възстановена конфигурация за неразпознати записи.
  3. Актуализирайте FreePBX и неговите модули. Поддържайте платформата и операционната система актуални, тъй като изложените интерфейси за управление са често срещана цел.
  4. Ограничете администраторския достъп. Не оставяйте уеб интерфейса на FreePBX отворен към интернет. Ограничете го до VPN, мрежа за управление или конкретни доверени IP адреси.
  5. Използвайте силни, уникални SIP пароли. Дългите случайни пароли за всяко разширение правят отгатването и повторното използване много по-малко полезни за атакуващия.
  6. Задайте лимити за разходи и известия с вашия SIP доставчик. Ограниченията за обем на разговорите, международни дестинации и дневни разходи могат да спрат измамата да се превърне в огромна сметка, а известията ви помагат да я забележите рано.
  7. Преглеждайте записите на разговорите. Търсете разговори в необичайни часове, неразпознати дестинации или разширения, които не разпознавате.

Малките бизнеси и потребителите на домашни лаборатории са особено изложени, защото телефонните системи често се настройват веднъж и след това се забравят. PBX, който стои тихо на публичен IP адрес, може да остане без наблюдение с месеци, което е точно ситуацията, която операторите на измами харесват.

Мрежовата хигиена около PBX също е важна. Ако вашият рутер е бил манипулиран, трафикът и идентификационните данни могат да бъдат пренасочени, както е описано в репортажа за руски хакери, отвличащи DNS настройки на домашни рутери. Поддържането на фърмуера на рутера актуален и заключването на администраторските панели подкрепя останалата част от вашата защита.

Ключови изводи

Репортът за INJ3CTOR3 е напомняне, че за едно внедряване на FreePBX идентификационните данни са толкова ценни, колкото сървърът. Преинсталация без смяна на идентификационните данни може да остави вратата отворена. За да намалите риска:

  • Актуализирайте FreePBX и го дръжте далеч от отворения интернет
  • Сменете всяка SIP, база данни и администраторска тайна след всяко предполагаемо компрометиране
  • Преинсталирайте от чисти източници
  • Задайте лимити за разходи при доставчика и наблюдавайте записите на разговорите

Ако управлявате телефонна система, проверете изложеността на вашия FreePBX днес, актуализирайте софтуера и добавете смяната на идентификационни данни към вашия контролен списък за инциденти. Няколко часа работа сега могат да предотвратят изненадваща телефонна сметка по-късно.