Une campagne de malware connue sous le nom d'INJ3CTOR3 s'en prend aux serveurs FreePBX, et l'objectif rapporté n'est pas seulement de s'introduire une fois. Selon l'article, le malware dérobe les mots de passe SIP, les identifiants de base de données et d'autres secrets afin que les attaquants puissent continuer à commettre de la fraude téléphonique même après qu'un administrateur a reconstruit le serveur. Pour quiconque exploite une configuration de sécurité de serveur FreePBX, que ce soit dans un petit bureau ou un labo personnel, ce détail change la manière dont le nettoyage doit être effectué.
L'article source est bref, ce billet s'en tient donc à ce qu'il énonce et explique la mécanique générale de pourquoi ces détails importent.
Ce que fait prétendument le malware INJ3CTOR3
Selon le rapport, INJ3CTOR3 cible FreePBX, l'interface web open source largement utilisée pour gérer les systèmes téléphoniques basés sur Asterisk. Une fois sur un serveur, le malware dérobe trois types de données :
- Les mots de passe SIP, qui authentifient les extensions et les trunks téléphoniques
- Les identifiants de base de données
- D'autres secrets stockés sur le système
Le point clé est la persistance. Le rapport indique que le vol est conçu pour maintenir la fraude téléphonique après les reconstructions. En d'autres termes, effacer et réinstaller le PBX peut ne pas mettre fin au problème si l'attaquant détient déjà des identifiants valides qui fonctionnent encore par la suite.
Pourquoi les identifiants SIP volés alimentent la fraude téléphonique
Un identifiant SIP est essentiellement la clé qui permet à un appareil ou à un compte de passer des appels via votre système téléphonique ou votre fournisseur en amont. Si un attaquant le possède, il peut souvent s'enregistrer comme une extension ou un trunk légitime depuis n'importe où. Les appels semblent alors provenir de votre organisation.
C'est la base de la fraude au péage : des appels sont passés vers des destinations surtaxées ou internationales, et la victime est facturée. L'article présente les données volées comme un moyen de maintenir cette fraude, ce qui suggère que les identifiants sont le véritable butin, pas le serveur lui-même.
Les identifiants de base de données ajoutent une couche de risque supplémentaire. Une base de données PBX peut contenir des détails de configuration, des informations sur les extensions et d'autres éléments qui aident un attaquant à maintenir l'accès ou à aller plus loin. Traitez tout ce qui est stocké sur un système compromis comme exposé.
Pourquoi une simple reconstruction peut ne pas suffire
De nombreux administrateurs supposent raisonnablement qu'une réinstallation propre élimine un intrus. C'est vrai pour le malware sur la machine, mais cela n'annule pas le vol de secrets. Si les mêmes mots de passe SIP, identifiants de trunk ou mots de passe de base de données sont restaurés à partir d'une sauvegarde ou saisis à nouveau, l'attaquant peut revenir directement avec des identifiants valides.
Ce schéma fait écho à d'autres incidents où des identifiants volés survivent à la compromission initiale, comme la crate Rust arrayref empoisonnée qui a été utilisée pour récolter des identifiants. Le vol d'identifiants est souvent la partie durable d'une attaque, et le nettoyage logiciel n'est que la moitié de la réponse. De même, les plateformes exposées à Internet non corrigées sont un point d'entrée récurrent, comme on l'a vu lorsque des espions russes ont exploité une zero-day Zimbra contre des serveurs de messagerie.
Ce que cela signifie pour vous
Si vous exploitez FreePBX, partez du principe qu'une compromission suspectée signifie que chaque secret sur cette machine est brûlé. Les étapes pratiques incluent :
- Renouvelez tout après une reconstruction. Changez tous les mots de passe d'extension SIP, les identifiants de trunk auprès de votre fournisseur, les mots de passe de base de données et les identifiants d'administration. Faites-le avec le nouveau serveur, pas avant, et évitez de réutiliser les anciennes valeurs.
- Reconstruisez proprement. Installez à partir de supports de confiance plutôt que de restaurer une image système complète qui pourrait transporter le malware. Examinez toute configuration restaurée pour y repérer des entrées inconnues.
- Corrigez FreePBX et ses modules. Maintenez la plateforme et le système d'exploitation à jour, car les interfaces de gestion exposées sont une cible courante.
- Restreignez l'accès administrateur. Ne laissez pas l'interface web FreePBX ouverte sur Internet. Limitez-la à un VPN, à un réseau de gestion ou à des adresses IP de confiance spécifiques.
- Utilisez des mots de passe SIP forts et uniques. Des mots de passe longs et aléatoires pour chaque extension rendent la devinette et la réutilisation bien moins utiles à un attaquant.
- Fixez des limites de dépenses et des alertes auprès de votre fournisseur SIP. Des plafonds sur le volume d'appels, les destinations internationales et les dépenses quotidiennes peuvent empêcher la fraude de devenir une facture énorme, et les alertes vous aident à la remarquer tôt.
- Examinez les journaux d'appels. Recherchez les appels à des heures inhabituelles, vers des destinations inconnues ou depuis des extensions que vous ne reconnaissez pas.
Les petites entreprises et les utilisateurs de labo personnel sont particulièrement exposés car les systèmes téléphoniques sont souvent configurés une fois puis oubliés. Un PBX qui reste tranquillement sur une IP publique peut passer des mois sans surveillance, ce qui est exactement la situation que les opérateurs de fraude affectionnent.
L'hygiène réseau autour du PBX compte aussi. Si votre routeur a été altéré, le trafic et les identifiants peuvent être redirigés, comme décrit dans la couverture des pirates russes détournant les paramètres DNS des routeurs domestiques. Maintenir le firmware du routeur à jour et verrouiller les panneaux d'administration soutient le reste de vos défenses.
Points clés à retenir
Le rapport INJ3CTOR3 est un rappel que, pour un déploiement FreePBX, les identifiants valent autant que le serveur. Une reconstruction sans renouvellement des identifiants peut laisser la porte ouverte. Pour réduire votre risque :
- Corrigez FreePBX et gardez-le hors de l'Internet ouvert
- Renouvelez chaque secret SIP, de base de données et d'administration après toute compromission suspectée
- Reconstruisez à partir de sources propres
- Fixez des plafonds de dépenses auprès du fournisseur et surveillez les enregistrements d'appels
Si vous gérez un système téléphonique, vérifiez votre exposition FreePBX aujourd'hui, mettez à jour le logiciel et ajoutez le renouvellement des identifiants à votre liste de vérification d'incident. Quelques heures de travail maintenant peuvent éviter une facture téléphonique surprise plus tard.
