Malware kampanja poznata kao INJ3CTOR3 napada FreePBX poslužitelje, a prijavljeni cilj nije samo jednokratno provaljivanje. Prema novinskom izvješću, malware krade SIP lozinke, vjerodajnice baze podataka i druge tajne kako bi napadači mogli nastaviti s telefonskom prijevarom čak i nakon što administrator ponovno izgradi poslužitelj. Za svakoga tko vodi FreePBX server security postavku, bilo u malom uredu ili kućnom laboratoriju, taj detalj mijenja način na koji treba provesti čišćenje.
Izvorni je članak kratak, pa se ovaj post drži onoga što navodi i objašnjava opću mehaniku zašto su ti detalji važni.
Što INJ3CTOR3 malware navodno radi
Prema izvješću, INJ3CTOR3 cilja FreePBX, široko korišteno open-source web sučelje za upravljanje telefonskim sustavima temeljenim na Asterisku. Jednom kada je na poslužitelju, malware krade tri vrste podataka:
- SIP lozinke, koje autentificiraju telefonske ekstenzije i trunkove
- Vjerodajnice baze podataka
- Druge tajne pohranjene na sustavu
Ključna je točka postojanost. Izvješće navodi da je krađa osmišljena tako da održi telefonsku prijevaru nakon ponovne izgradnje. Drugim riječima, brisanje i ponovna instalacija PBX-a možda neće riješiti problem ako napadač već posjeduje valjane vjerodajnice koje i dalje rade nakon toga.
Zašto ukradene SIP vjerodajnice potiču telefonsku prijevaru
SIP vjerodajnica je u suštini ključ koji omogućuje uređaju ili računu da upućuje pozive kroz vaš telefonski sustav ili vašeg nadređenog pružatelja usluga. Ako je napadač ima, često se može registrirati kao legitimna ekstenzija ili trunk s bilo kojeg mjesta. Pozivi tada izgledaju kao da dolaze iz vaše organizacije.
To je osnova toll prijevare: pozivi se upućuju na premium-rate ili međunarodna odredišta, a žrtva plaća račun. Članak opisuje ukradene podatke kao način da se ta prijevara nastavi, što sugerira da su vjerodajnice pravi plijen, a ne sam poslužitelj.
Vjerodajnice baze podataka dodaju još jedan sloj rizika. PBX baza podataka može sadržavati pojedinosti konfiguracije, informacije o ekstenzijama i drugi materijal koji pomaže napadaču da održi pristup ili se kreće dalje. Sve što je pohranjeno na kompromitiranom sustavu tretirajte kao izloženo.
Zašto ponovna izgradnja sama po sebi možda nije dovoljna
Mnogi administratori razumno pretpostavljaju da čista ponovna instalacija uklanja uljeza. To vrijedi za malware na stroju, ali ne poništava krađu tajni. Ako se iste SIP lozinke, prijave na trunkove ili lozinke baze podataka obnove iz sigurnosne kopije ili ponovno upišu, napadač može jednostavno ponovno ući s valjanim vjerodajnicama.
Taj obrazac odjekuje drugim incidentima u kojima ukradene prijave nadžive početnu kompromitaciju, poput otrovane arrayref Rust crate koja je korištena za prikupljanje vjerodajnica. Krađa vjerodajnica često je trajni dio napada, a čišćenje softvera samo je pola odgovora. Slično tome, nezakrpani platforme izložene internetu ponavljajuća su ulazna točka, kao što se vidjelo kada su ruski špijuni iskoristili Zimbra zero-day protiv email poslužitelja.
Što to znači za vas
Ako vodite FreePBX, pretpostavite da sumnja na kompromitaciju znači da je svaka tajna na tom stroju spaljena. Praktični koraci uključuju:
- Rotirajte sve nakon ponovne izgradnje. Promijenite sve SIP lozinke ekstenzija, vjerodajnice trunkova kod svog pružatelja usluga, lozinke baze podataka i administratorske prijave. Učinite to s novim poslužiteljem, ne prije, i izbjegavajte ponovno korištenje starih vrijednosti.
- Ponovno izgradite čisto. Instalirajte s provjerenih medija umjesto vraćanja pune sistemske slike koja bi mogla nositi malware. Pregledajte svaku obnovljenu konfiguraciju na nepoznate unose.
- Zakrpajte FreePBX i njegove module. Održavajte platformu i operativni sustav ažurnima, budući da su izložena sučelja za upravljanje česta meta.
- Ograničite administratorski pristup. Ne ostavljajte FreePBX web sučelje otvoreno prema internetu. Ograničite ga na VPN, mrežu za upravljanje ili određene pouzdane IP adrese.
- Koristite jake, jedinstvene SIP lozinke. Duge nasumične lozinke za svaku ekstenziju čine pogađanje i ponovno korištenje daleko manje korisnima za napadača.
- Postavite ograničenja potrošnje i alerte kod svog SIP pružatelja usluga. Ograničenja na volumen poziva, međunarodna odredišta i dnevnu potrošnju mogu spriječiti da prijevara postane ogroman račun, a alerti vam pomažu da je rano primijetite.
- Pregledajte zapise poziva. Tražite pozive u neobično vrijeme, nepoznata odredišta ili ekstenzije koje ne prepoznajete.
Mala poduzeća i korisnici kućnih laboratorija posebno su izloženi jer se telefonski sustavi često postavljaju jednom i zatim zaboravljaju. PBX koji tiho stoji na javnoj IP adresi može ostati nenadziran mjesecima, što je upravo situacija koju operateri prijevara vole.
Mrežna higijena oko PBX-a također je važna. Ako je vaš router bio neovlašteno mijenjan, promet i vjerodajnice mogu se preusmjeriti, kao što je opisano u izvještavanju o ruskim hakerima koji otimaju DNS postavke kućnih routera. Održavanje firmwarea routera ažurnim i zaključavanje administratorskih ploča podupire ostatak vaše obrane.
Ključni zaključci
Izvješće o INJ3CTOR3 podsjetnik je da su za FreePBX implementaciju vjerodajnice jednako vrijedne kao i poslužitelj. Ponovna izgradnja bez rotacije vjerodajnica može ostaviti vrata otvorena. Kako biste smanjili rizik:
- Zakrpajte FreePBX i držite ga podalje od otvorenog interneta
- Rotirajte svaku SIP, bazu podataka i administratorsku tajnu nakon svake sumnje na kompromitaciju
- Ponovno izgradite iz čistih izvora
- Postavite ograničenja potrošnje kod pružatelja usluga i nadzirite zapise poziva
Ako upravljate telefonskim sustavom, provjerite svoju FreePBX izloženost danas, ažurirajte softver i stavite rotaciju vjerodajnica na svoj kontrolni popis za incidente. Nekoliko sati rada sada može spriječiti iznenađujući telefonski račun kasnije.
