En malwarekampagne kendt som INJ3CTOR3 går efter FreePBX-servere, og det rapporterede mål er ikke bare at trænge ind én gang. Ifølge nyhedsrapporten stjæler malwaren SIP-adgangskoder, databaselegitimationsoplysninger og andre hemmeligheder, så angribere kan fortsætte med telefonbedrageri, selv efter en administrator genopbygger serveren. For alle, der driver en FreePBX server security-opsætning, hvad enten det er i et lille kontor eller et hjemmelaboratorium, ændrer den detalje, hvordan oprydning bør udføres.
Kildegrundlaget er kort, så dette indlæg holder sig til det, det angiver, og forklarer den generelle mekanik bag, hvorfor disse detaljer er vigtige.
Hvad INJ3CTOR3-malwaren angiveligt gør
Ifølge rapporten målretter INJ3CTOR3 sig mod FreePBX, den meget udbredte open source-webgrænseflade til styring af Asterisk-baserede telefonsystemer. Når malwaren først er på en server, stjæler den tre slags data:
- SIP-adgangskoder, som autentificerer telefonforlængelser og trunks
- Databaselegitimationsoplysninger
- Andre hemmeligheder, der er gemt på systemet
Den centrale pointe er persistens. Rapporten siger, at tyveriet er designet til at opretholde telefonbedrageri efter genopbygninger. Med andre ord er det måske ikke nok at slette og geninstallere PBX'en, hvis angriberen allerede har gyldige legitimationsoplysninger, som stadig virker bagefter.
Hvorfor stjålne SIP-legitimationsoplysninger driver telefonbedrageri
En SIP-legitimationsoplysning er i det væsentlige nøglen, der lader en enhed eller konto foretage opkald gennem dit telefonsystem eller din upstream-udbyder. Hvis en angriber har den, kan de ofte registrere sig som en legitim forlængelse eller trunk fra hvor som helst. Opkald ser derefter ud til at komme fra din organisation.
Dette er grundlaget for toll fraud: opkald foretages til premium-numre eller internationale destinationer, og offeret bliver faktureret. Artiklen fremstiller de stjålne data som en måde at holde det bedrageri kørende på, hvilket tyder på, at legitimationsoplysningerne er den egentlige gevinst, ikke selve serveren.
Databaselegitimationsoplysninger tilføjer endnu et lag af risiko. En PBX-database kan indeholde konfigurationsdetaljer, forlængelsesoplysninger og andre materialer, der hjælper en angriber med at opretholde adgang eller bevæge sig videre. Behandl alt, der er gemt på et kompromitteret system, som eksponeret.
Hvorfor genopbygning alene måske ikke er nok
Mange administratorer antager med rimelighed, at en ren geninstallation fjerner en indtrængende. Det gælder for malware på maskinen, men det fortryder ikke tyveriet af hemmeligheder. Hvis de samme SIP-adgangskoder, trunk-logins eller databaseadgangskoder gendannes fra en backup eller indtastes igen, kan angriberen gå direkte ind igen med gyldige legitimationsoplysninger.
Dette mønster genlyder andre hændelser, hvor stjålne logins overlever den oprindelige kompromittering, såsom den forgiftede arrayref Rust-crate, der blev brugt til at høste legitimationsoplysninger. Tyveri af legitimationsoplysninger er ofte den holdbare del af et angreb, og softwareoprydning er kun halvdelen af responsen. Tilsvarende er uopdaterede internetvendte platforme et tilbagevendende indgangspunkt, som set da russiske spioner udnyttede et Zimbra zero-day mod e-mailservere.
Hvad det betyder for dig
Hvis du driver FreePBX, antag at en mistænkt kompromittering betyder, at hver hemmelighed på den boks er brændt. Praktiske skridt omfatter:
- Rotér alt efter en genopbygning. Skift alle SIP-forlængelsesadgangskoder, trunk-legitimationsoplysninger hos din udbyder, databaseadgangskoder og admin-logins. Gør dette med den nye server, ikke før, og undgå at genbruge gamle værdier.
- Genopbyg rent. Installer fra betroet medie i stedet for at gendanne et fuldt systemimage, der kan bære malwaren. Gennemgå enhver gendannet konfiguration for ukendte poster.
- Patch FreePBX og dets moduler. Hold platformen og operativsystemet opdateret, da eksponerede administrationsgrænseflader er et almindeligt mål.
- Begræns admin-adgang. Lad ikke FreePBX-webgrænsefladen være åben mod internettet. Begræns den til en VPN, et administrationsnetværk eller specifikke betroede IP-adresser.
- Brug stærke, unikke SIP-adgangskoder. Lange tilfældige adgangskoder til hver forlængelse gør gætteri og genbrug langt mindre nyttigt for en angriber.
- Sæt forbrugsgrænser og advarsler hos din SIP-udbyder. Lofter for opkaldsvolumen, internationale destinationer og dagligt forbrug kan forhindre bedrageri i at blive en enorm regning, og advarsler hjælper dig med at bemærke det tidligt.
- Gennemgå opkaldslogfiler. Se efter opkald på mærkelige tidspunkter, ukendte destinationer eller forlængelser, du ikke genkender.
Små virksomheder og hjemmelaboratoriebrugere er især udsatte, fordi telefonsystemer ofte sættes op én gang og derefter glemmes. En PBX, der ligger stille på en offentlig IP, kan gå uovervåget i månedsvis, hvilket er præcis den situation, bedragerisoperatører kan lide.
Netværkshygiejne omkring PBX'en er også vigtig. Hvis din router er blevet manipuleret, kan trafik og legitimationsoplysninger omdirigeres, som beskrevet i dækningen af russiske hackere, der kaprer DNS-indstillinger på hjemmeroutere. At holde routerens firmware opdateret og admin-paneler låst understøtter resten af dine forsvar.
Vigtige pointer
INJ3CTOR3-rapporten er en påmindelse om, at for en FreePBX-udrulning er legitimationsoplysningerne lige så værdifulde som serveren. En genopbygning uden rotation af legitimationsoplysninger kan efterlade døren åben. For at reducere din risiko:
- Patch FreePBX og hold den væk fra det åbne internet
- Rotér hver SIP-, database- og admin-hemmelighed efter enhver mistænkt kompromittering
- Genopbyg fra rene kilder
- Sæt udbyderens forbrugslofter og overvåg opkaldsregistre
Hvis du administrerer et telefonsystem, tjek din FreePBX-eksponering i dag, opdater softwaren, og sæt rotation af legitimationsoplysninger på din hændelsescheckliste. Et par timers arbejde nu kan forhindre en overraskende telefonregning senere.
