Μια καμπάνια κακόβουλου λογισμικού γνωστή ως INJ3CTOR3 στοχεύει διακομιστές FreePBX, και ο αναφερόμενος στόχος δεν είναι απλώς μια μεμονωμένη παραβίαση. Σύμφωνα με το δημοσίευμα, το κακόβουλο λογισμικό κλέβει κωδικούς πρόσβασης SIP, διαπιστευτήρια βάσεων δεδομένων και άλλα μυστικά, ώστε οι επιτιθέμενοι να μπορούν να συνεχίζουν να διαπράττουν τηλεφωνική απάτη ακόμη και αφού ένας διαχειριστής ανοικοδομήσει τον διακομιστή. Για όποιον διατηρεί μια ρύθμιση ασφάλειας διακομιστή FreePBX, είτε σε μικρό γραφείο είτε σε οικιακό εργαστήριο, αυτή η λεπτομέρεια αλλάζει τον τρόπο με τον οποίο θα πρέπει να γίνεται ο καθαρισμός.
Το άρθρο πηγής είναι σύντομο, επομένως αυτή η ανάρτηση περιορίζεται σε όσα αναφέρει και εξηγεί τη γενική μηχανική του γιατί αυτές οι λεπτομέρειες έχουν σημασία.
Τι κάνει reportedly το κακόβουλο λογισμικό INJ3CTOR3
Σύμφωνα με το δημοσίευμα, το INJ3CTOR3 στοχεύει το FreePBX, τη widely used διεπαφή ιστού ανοιχτού κώδικα για τη διαχείριση τηλεφωνικών συστημάτων που βασίζονται στο Asterisk. Μόλις εγκατασταθεί σε έναν διακομιστή, το κακόβουλο λογισμικό κλέβει τριών ειδών δεδομένα:
- Κωδικούς πρόσβασης SIP, που πιστοποιούν επεκτάσεις τηλεφώνου και trunks
- Διαπιστευτήρια βάσεων δεδομένων
- Άλλα μυστικά που είναι αποθηκευμένα στο σύστημα
Το βασικό σημείο είναι η επιμονή. Το δημοσίευμα αναφέρει ότι η κλοπή έχει σχεδιαστεί για να διατηρεί την τηλεφωνική απάτη μετά από ανοικοδομήσεις. Με άλλα λόγια, η διαγραφή και επανεγκατάσταση του PBX μπορεί να μην τερματίσει το πρόβλημα εάν ο επιτιθέμενος κατέχει ήδη έγκυρα διαπιστευτήρια που εξακολουθούν να λειτουργούν afterward.
Γιατί τα κλεμμένα διαπιστευτήρια SIP τροφοδοτούν την τηλεφωνική απάτη
Ένα διαπιστευτήριο SIP είναι ουσιαστικά το κλειδί που επιτρέπει σε μια συσκευή ή λογαριασμό να πραγματοποιεί κλήσεις μέσω του τηλεφωνικού σας συστήματος ή του upstream παρόχου σας. Εάν το έχει ένας επιτιθέμενος, μπορεί συχνά να εγγραφεί ως νόμιμη επέκταση ή trunk από οπουδήποτε. Οι κλήσεις τότε φαίνεται να προέρχονται από τον οργανισμό σας.
Αυτή είναι η βάση της απάτης χρέωσης: πραγματοποιούνται κλήσεις σε προορισμούς premium-rate ή διεθνείς προορισμούς και το θύμα χρεώνεται. Το άρθρο παρουσιάζει τα κλεμμένα δεδομένα ως τρόπο διατήρησης αυτής της απάτης, γεγονός που υποδηλώνει ότι τα διαπιστευτήρια είναι το πραγματικό έπαθλο, όχι ο ίδιος ο διακομιστής.
Τα διαπιστευτήρια βάσεων δεδομένων προσθέτουν ένα ακόμη επίπεδο κινδύνου. Μια βάση δεδομένων PBX μπορεί να περιέχει λεπτομέρειες διαμόρφωσης, πληροφορίες επεκτάσεων και άλλο υλικό που βοηθά έναν επιτιθέμενο να διατηρήσει πρόσβαση ή να προχωρήσει περαιτέρω. Θεωρήστε οτιδήποτε είναι αποθηκευμένο σε έναν παραβιασμένο σύστημα ως εκτεθειμένο.
Γιατί η ανοικοδόμηση από μόνη της μπορεί να μην είναι αρκετή
Πολλοί διαχειριστές υποθέτουν εύλογα ότι μια καθαρή επανεγκατάσταση αφαιρεί έναν εισβολέα. Αυτό ισχύει για κακόβουλο λογισμικό στο μηχάνημα, αλλά δεν αναιρεί την κλοπή μυστικών. Εάν οι ίδιοι κωδικοί πρόσβασης SIP, οι συνδέσεις trunk ή οι κωδικοί πρόσβασης βάσεων δεδομένων αποκατασταθούν από αντίγραφο ασφαλείας ή πληκτρολογηθούν ξανά, ο επιτιθέμενος μπορεί να μπει ξανά κατευθείαν με έγκυρα διαπιστευτήρια.
Αυτό το μοτίβο αντηχεί άλλα περιστατικά όπου κλεμμένες συνδέσεις επιβιώνουν της αρχικής παραβίασης, όπως το δηλητηριασμένο crate Rust arrayref που χρησιμοποιήθηκε για τη συλλογή διαπιστευτηρίων. Η κλοπή διαπιστευτηρίων είναι συχνά το ανθεκτικό μέρος μιας επίθεσης, και ο καθαρισμός λογισμικού είναι μόνο το μισό της απόκρισης. Ομοίως, οι μη ενημερωμένες πλατφόρμες που εκτίθενται στο διαδίκτυο αποτελούν επαναλαμβανόμενο σημείο εισόδου, όπως φάνηκε όταν Ρώσοι κατάσκοποι εκμεταλλεύτηκαν ένα zero-day του Zimbra εναντίον διακομιστών email.
Τι σημαίνει αυτό για εσάς
Εάν διαχειρίζεστε το FreePBX, υποθέστε ότι μια ύποπτη παραβίαση σημαίνει ότι κάθε μυστικό σε αυτό το μηχάνημα είναι καμένο. Πρακτικά βήματα περιλαμβάνουν:
- Αλλάξτε τα πάντα μετά από μια ανοικοδόμηση. Αλλάξτε όλους τους κωδικούς πρόσβασης επεκτάσεων SIP, τα διαπιστευτήρια trunk με τον πάροχό σας, τους κωδικούς πρόσβασης βάσεων δεδομένων και τις συνδέσεις διαχειριστή. Κάντε το με τον νέο διακομιστή, όχι πριν, και αποφύγετε την επαναχρησιμοποίηση παλιών τιμών.
- Ανοικοδομήστε καθαρά. Εγκαταστήστε από αξιόπιστα μέσα αντί να αποκαταστήσετε μια πλήρη εικόνα συστήματος που θα μπορούσε να μεταφέρει το κακόβουλο λογισμικό. Ελέγξτε οποιαδήποτε αποκατεστημένη διαμόρφωση για άγνωστες καταχωρήσεις.
- Ενημερώστε το FreePBX και τις μονάδες του. Διατηρήστε την πλατφόρμα και το λειτουργικό σύστημα ενημερωμένα, καθώς οι εκτεθειμένες διεπαφές διαχείρισης αποτελούν κοινό στόχο.
- Περιορίστε την πρόσβαση διαχειριστή. Μην αφήνετε τη διεπαφή ιστού του FreePBX ανοιχτή στο διαδίκτυο. Περιορίστε την σε VPN, δίκτυο διαχείρισης ή συγκεκριμένες αξιόπιστες διευθύνσεις IP.
- Χρησιμοποιήστε ισχυρούς, μοναδικούς κωδικούς πρόσβασης SIP. Οι μεγάλοι τυχαίοι κωδικοί πρόσβασης για κάθε επέκταση καθιστούν την εικασία και την επαναχρησιμοποίηση πολύ λιγότερο χρήσιμες για έναν επιτιθέμενο.
- Ορίστε όρια δαπανών και ειδοποιήσεις με τον πάροχό σας SIP. Τα όρια στον όγκο κλήσεων, τους διεθνείς προορισμούς και την ημερήσια δαπάνη μπορούν να σταματήσουν την απάτη από το να γίνει τεράστιος λογαριασμός, και οι ειδοποιήσεις σας βοηθούν να την αντιληφθείτε νωρίς.
- Ελέγξτε τα αρχεία καταγραφής κλήσεων. Αναζητήστε κλήσεις σε παράξενες ώρες, άγνωστους προορισμούς ή επεκτάσεις που δεν αναγνωρίζετε.
Οι μικρές επιχειρήσεις και οι χρήστες οικιακών εργαστηρίων είναι ιδιαίτερα εκτεθειμένοι επειδή τα τηλεφωνικά συστήματα συχνά ρυθμίζονται μία φορά και στη συνέχεια ξεχνιούνται. Ένα PBX που κάθεται ήσυχα σε μια δημόσια IP μπορεί να μείνει χωρίς παρακολούθηση για μήνες, το οποίο είναι ακριβώς η κατάσταση που αρέσει στους χειριστές απάτης.
Η υγιεινή του δικτύου γύρω από το PBX έχει επίσης σημασία. Εάν ο δρομολογητής σας έχει παραβιαστεί, η κίνηση και τα διαπιστευτήρια μπορούν να ανακατευθυνθούν, όπως περιγράφεται στην κάλυψη για Ρώσους χάκερ που κλέβουν ρυθμίσεις DNS οικιακών δρομολογητών. Η διατήρηση του firmware του δρομολογητή ενημερωμένου και τα πάνελ διαχείρισης κλειδωμένα υποστηρίζει το υπόλοιπο των άμυνών σας.
Βασικά συμπεράσματα
Η αναφορά του INJ3CTOR3 είναι μια υπενθύμιση ότι για μια ανάπτυξη FreePBX, τα διαπιστευτήρια είναι εξίσου πολύτιμα με τον διακομιστή. Μια ανοικοδόμηση χωρίς αλλαγή διαπιστευτηρίων μπορεί να αφήσει την πόρτα ανοιχτή. Για να μειώσετε τον κίνδυνο:
- Ενημερώστε το FreePBX και κρατήστε το εκτός του ανοιχτού διαδικτύου
- Αλλάξτε κάθε μυστικό SIP, βάσης δεδομένων και διαχειριστή μετά από οποιαδήποτε ύποπτη παραβίαση
- Ανοικοδομήστε από καθαρές πηγές
- Ορίστε όρια δαπανών παρόχου και παρακολουθήστε τα αρχεία κλήσεων
Εάν διαχειρίζεστε ένα τηλεφωνικό σύστημα, ελέγξτε την έκθεση του FreePBX σας σήμερα, ενημερώστε το λογισμικό και βάλτε την αλλαγή διαπιστευτηρίων στη λίστα ελέγχου περιστατικών σας. Λίγες ώρες εργασίας τώρα μπορούν να αποτρέψουν έναν αιφνιδιαστικό τηλεφωνικό λογαριασμό αργότερα.
