INJ3CTOR3-niminen haittaohjelmakampanja on FreePBX-palvelimien kimpussa, eikä raportoitu tavoite ole vain murtautua sisään kerran. Uutisraportin mukaan haittaohjelma varastaa SIP-salasanat, tietokantatunnukset ja muita salaisuuksia, jotta hyökkääjät voivat jatkaa puhelinpetoksia, vaikka ylläpitäjä rakentaisi palvelimen uudelleen. Kaikille, jotka pyörittävät FreePBX-palvelimen tietoturva -ratkaisua, oli kyseessä sitten pientoimisto tai kotilabra, tämä yksityiskohta muuttaa sitä, miten siivous tulisi tehdä.
Lähdeartikkeli on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä se kertoo, ja selittää yleiset mekanismit sille, miksi nämä yksityiskohdat ovat merkityksellisiä.
Mitä INJ3CTOR3-haittaohjelman kerrotaan tekevän
Raportin mukaan INJ3CTOR3 kohdistuu FreePBX:ään, laajalti käytettyyn avoimen lähdekoodin verkkokäyttöliittymään Asterisk-pohjaisten puhelinjärjestelmien hallintaan. Palvelimelle päästyään haittaohjelma varastaa kolmenlaisia tietoja:
- SIP-salasanat, joilla todennetaan puhelinjatkeet ja -runkoyhteydet
- Tietokantatunnukset
- Muut järjestelmään tallennetut salaisuudet
Keskeinen kohta on pysyvyys. Raportin mukaan varkaus on suunniteltu ylläpitämään puhelinpetoksia uudelleenrakennusten jälkeen. Toisin sanoen PBX:n pyyhkiminen ja uudelleenasennus ei välttämättä lopeta ongelmaa, jos hyökkääjällä on jo hallussaan kelvolliset tunnukset, jotka toimivat sen jälkeenkin.
Miksi varastetut SIP-tunnukset ruokkivat puhelinpetoksia
SIP-tunnus on pohjimmiltaan avain, joka päästää laitteen tai tilin soittamaan puhelujärjestelmäsi tai ylävirran palveluntarjoajasi kautta. Jos hyökkääjällä on se, hän voi usein rekisteröityä lailliseksi jatkeeksi tai runkoyhteydeksi mistä tahansa. Puhelut näyttävät silloin tulevan organisaatiosi nimissä.
Tämä on maksullisen petoksen eli niin sanotun toll fraud -petoksen perusta: puheluita soitetaan maksullisiin tai kansainvälisiin kohteisiin, ja uhria laskutetaan. Artikkeli kehystää varastetut tiedot keinoksi pitää petos käynnissä, mikä viittaa siihen, että tunnukset ovat varsinainen saalis, eivät palvelin itsessään.
Tietokantatunnukset lisäävät toisen riskikerroksen. PBX-tietokanta voi sisältää kokoonpanotietoja, jatketietoja ja muuta materiaalia, joka auttaa hyökkääjää säilyttämään pääsyn tai etenemään pidemmälle. Kohtele kaikkea vaarantuneelle järjestelmälle tallennettua paljastuneena.
Miksi pelkkä uudelleenrakennus ei välttämättä riitä
Monet ylläpitäjät olettavat perustellusti, että puhdas uudelleenasennus poistaa tunkeilijan. Tämä pitää paikkansa koneella olevalle haittaohjelmalle, mutta se ei kumoa salaisuuksien varkautta. Jos samat SIP-salasanat, runkoyhteyksien kirjautumistiedot tai tietokantasalasanat palautetaan varmuuskopiosta tai kirjoitetaan uudelleen, hyökkääjä voi kävellä suoraan sisään kelvollisilla tunnuksilla.
Tämä kuvio kaikuu muita tapauksia, joissa varastetut kirjautumistiedot elävät pidempään kuin alkuperäinen kompromissi, kuten myrkytetty arrayref-Rust-crate, jota käytettiin tunnusten keräämiseen. Tunnusvarkaus on usein hyökkäyksen kestävä osa, ja ohjelmiston siivous on vain puolet vastauksesta. Samoin päivittämättömät internetiin näkyvät alustat ovat toistuva sisääntulopiste, kuten nähtiin, kun venäläiset vakoojat hyödynsivät Zimbran zero-day-haavoittuvuutta sähköpostipalvelimia vastaan.
Mitä tämä tarkoittaa sinulle
Jos pyörität FreePBX:ää, oleta, että epäilty kompromissi tarkoittaa, että jokainen kyseisellä laatikolla oleva salaisuus on poltettu. Käytännön toimiin kuuluvat:
- Kierrätä kaikki uudelleenrakennuksen jälkeen. Vaihda kaikki SIP-jatkeiden salasanat, runkoyhteyksien tunnukset palveluntarjoajasi kanssa, tietokantasalasanat ja ylläpitäjän kirjautumistiedot. Tee tämä uudella palvelimella, ei ennen sitä, ja vältä vanhojen arvojen uudelleenkäyttöä.
- Rakenna puhtaasti. Asenna luotetusta mediasta sen sijaan, että palauttaisit täydellisen järjestelmäkuvan, joka voisi kuljettaa haittaohjelman mukanaan. Tarkista kaikki palautetut kokoonpanot tuntemattomien merkintöjen varalta.
- Paikkaa FreePBX ja sen moduulit. Pidä alusta ja käyttöjärjestelmä ajan tasalla, sillä paljastuneet hallintakäyttöliittymät ovat yleinen kohde.
- Rajoita ylläpitäjän pääsyä. Älä jätä FreePBX:n verkkokäyttöliittymää avoimeksi internetiin. Rajoita se VPN:ään, hallintaverkkoon tai tiettyihin luotettuihin IP-osoitteisiin.
- Käytä vahvoja, yksilöllisiä SIP-salanoja. Pitkät satunnaiset salasanat jokaiselle jatkeelle tekevät arvaamisesta ja uudelleenkäytöstä paljon hyödyttömämpää hyökkääjälle.
- Aseta kulutusrajat ja hälytykset SIP-palveluntarjoajasi kanssa. Puhelumäärän, kansainvälisten kohteiden ja päivittäisen kulutuksen ylärajat voivat estää petoksen muuttumisen valtavaksi laskuksi, ja hälytykset auttavat huomaamaan sen ajoissa.
- Tarkista puhelulokit. Etsi puheluita outoina aikoina, tuntemattomiin kohteisiin tai jatkeisiin, joita et tunnista.
Pienyritykset ja kotilabrakäyttäjät ovat erityisen alttiita, koska puhelinjärjestelmät usein asennetaan kerran ja unohdetaan. Julkisella IP-osoitteella hiljaa makaava PBX voi jäädä valvomatta kuukausiksi, mikä on juuri se tilanne, josta petosoperaattorit pitävät.
Myös PBX:n ympärillä oleva verkkohygienia on tärkeää. Jos reitittimeesi on kajottu, liikennettä ja tunnuksia voidaan ohjata uudelleen, kuten kuvataan jutussa venäläishakkerien kotireitittimien DNS-asetusten kaappauksesta. Reitittimen laiteohjelmiston päivittäminen ja hallintapaneelien lukitseminen tukevat muuta puolustustasi.
Keskeiset huomiot
INJ3CTOR3-raportti on muistutus siitä, että FreePBX-käyttöönotossa tunnukset ovat yhtä arvokkaita kuin palvelin. Uudelleenrakennus ilman tunnusten kierrätystä voi jättää oven auki. Riskin pienentämiseksi:
- Paikkaa FreePBX ja pidä se poissa avoimesta internetistä
- Kierrätä jokainen SIP-, tietokanta- ja ylläpitäjän salaisuus epäillyn kompromissin jälkeen
- Rakenna uudelleen puhtaista lähteistä
- Aseta palveluntarjoajan kulutusrajat ja seuraa puhelutietoja
Jos hallitset puhelinjärjestelmää, tarkista FreePBX-altistuksesi tänään, päivitä ohjelmisto ja lisää tunnusten kierrätys tapahtumien käsittelyn tarkistuslistaasi. Muutaman tunnin työ nyt voi estää yllättävän puhelinlaskun myöhemmin.
