Egy INJ3CTOR3 néven ismert kártevő-kampány FreePBX szervereket céloz, és a jelentések szerint a cél nem csupán egyetlen betörés. A híradás szerint a kártevő SIP-jelszavakat, adatbázis-hitelesítő adatokat és egyéb titkokat lop el, hogy a támadók a szerver újraépítése után is folytathassák a telefonos csalásokat. Bárki számára, aki FreePBX szerverbiztonsági beállítást üzemeltet – akár kis irodában, akár otthoni laborban –, ez a részlet megváltoztatja azt, hogyan kell a tisztítást elvégezni.
A forrás cikk rövid, ezért ez a bejegyzés ahhoz tartja magát, amit állít, és elmagyarázza az általános mechanizmusát annak, miért számítanak ezek a részletek.
Mit tesz állítólag az INJ3CTOR3 kártevő
A jelentés szerint az INJ3CTOR3 a FreePBX-et célozza, amely a széles körben használt nyílt forráskódú webes felület az Asterisk-alapú telefonrendszerek kezeléséhez. Miután egy szerverre kerül, a kártevő háromféle adatot lop el:
- SIP-jelszavakat, amelyek a telefonmellékek és trunkök hitelesítését szolgálják
- Adatbázis-hitelesítő adatokat
- Egyéb, a rendszeren tárolt titkokat
A kulcsfontosságú pont a tartós jelenlét. A jelentés szerint a lopást úgy tervezték, hogy fenntartsa a telefonos csalást az újraépítések után is. Más szóval a PBX törlése és újratelepítése nem feltétlenül vet véget a problémának, ha a támadó már rendelkezik érvényes hitelesítő adatokkal, amelyek ezután is működnek.
Miért táplálják a lopott SIP-hitelesítő adatok a telefonos csalást
Egy SIP-hitelesítő adat lényegében az a kulcs, amely lehetővé teszi egy eszköz vagy fiók számára, hogy hívásokat indítson a telefonrendszeren vagy a felsőbb szolgáltatón keresztül. Ha egy támadó rendelkezik vele, gyakran bárhonnan regisztrálhat legális mellékként vagy trunkként. A hívások ezután úgy tűnik, mintha a szervezetétől érkeznének.
Ez a díjcsalás alapja: a hívásokat prémium díjszabású vagy nemzetközi célpontokra indítják, és a számlát az áldozat kapja. A cikk úgy mutatja be a lopott adatokat, mint a csalás folytatásának módját, ami arra utal, hogy a hitelesítő adatok az igazi zsákmány, nem maga a szerver.
Az adatbázis-hitelesítő adatok egy további kockázati réteget adnak hozzá. Egy PBX-adatbázis konfigurációs részleteket, mellékinformációkat és egyéb anyagokat tartalmazhat, amelyek segítik a támadót a hozzáférés fenntartásában vagy a továbbhaladásban. Kezeljen mindent, ami egy kompromittált rendszeren tárolódik, kitettként.
Miért nem elegendő önmagában az újraépítés
Sok adminisztrátor észszerűen feltételezi, hogy egy tiszta újratelepítés eltávolítja a behatolót. Ez igaz a gépen lévő kártevőre, de nem semmisíti meg a titkok ellopását. Ha ugyanazokat a SIP-jelszavakat, trunk-belépéseket vagy adatbázis-jelszavakat állítják vissza egy biztonsági mentésből, vagy gépelik be újra, a támadó egyenesen visszasétálhat érvényes hitelesítő adatokkal.
Ez a minta más incidenseket is idéz, ahol a lopott belépések túlélik a kezdeti kompromittálást, mint például a mérgezett arrayref Rust crate, amelyet hitelesítő adatok gyűjtésére használtak. A hitelesítő adatok ellopása gyakran a támadás tartós része, és a szoftver tisztítása csak a válasz fele. Hasonlóképpen, a javítatlan internetre néző platformok visszatérő belépési pontot jelentenek, ahogyan akkor is láttuk, amikor orosz kémek kihasználtak egy Zimbra zero-dayt e-mail szerverek ellen.
Mit jelent ez az Ön számára
Ha FreePBX-et üzemeltet, feltételezze, hogy egy gyanított kompromittálás azt jelenti, hogy minden titok azon a gépen égett. A gyakorlati lépések közé tartoznak:
- Forgasson mindent az újraépítés után. Változtassa meg az összes SIP-mellékjelszót, a szolgáltatójával használt trunk-hitelesítő adatokat, az adatbázis-jelszavakat és az admin belépéseket. Ezt az új szerverrel tegye, ne előtte, és kerülje a régi értékek újrafelhasználását.
- Építsen újra tisztán. Telepítsen megbízható adathordozóról, ne állítson vissza egy teljes rendszerképet, amely hordozhatja a kártevőt. Tekintse át a visszaállított konfigurációt ismeretlen bejegyzések után kutatva.
- Javítsa a FreePBX-et és moduljait. Tartsa naprakészen a platformot és az operációs rendszert, mivel a kitett kezelőfelületek gyakori célpontok.
- Korlátozza az admin hozzáférést. Ne hagyja a FreePBX webes felületét nyitva az internetre. Korlátozza VPN-re, kezelőhálózatra vagy meghatározott megbízható IP-címekre.
- Használjon erős, egyedi SIP-jelszavakat. A hosszú, véletlenszerű jelszavak minden mellékhez sokkal kevésbé teszik hasznossá a kitalálást és az újrafelhasználást a támadó számára.
- Állítson be költési limiteket és riasztásokat a SIP-szolgáltatójánál. A hívásmennyiségre, nemzetközi célpontokra és napi költésre vonatkozó korlátok megakadályozhatják, hogy a csalás hatalmas számlává váljon, és a riasztások segítenek korán észrevenni.
- Tekintse át a hívásnaplókat. Keressen furcsa időpontokban történő hívásokat, ismeretlen célpontokat vagy olyan mellékeket, amelyeket nem ismer fel.
A kisvállalkozások és otthoni laborok felhasználói különösen ki vannak téve, mert a telefonrendszereket gyakran egyszer beállítják, majd elfelejtik. Egy nyilvános IP-n csendesen ülő PBX hónapokig felügyelet nélkül maradhat, ami pontosan az a helyzet, amit a csalók kedvelnek.
A PBX körüli hálózati higiénia is számít. Ha az útválasztóját manipulálták, a forgalom és a hitelesítő adatok átirányíthatók, ahogyan azt az orosz hackerek otthoni útválasztó DNS-beállításainak eltérítéséről szóló tudósítás leírja. Az útválasztó firmware naprakészen tartása és az admin panelek zárolása támogatja a többi védelmet.
Kulcsfontosságú tanulságok
Az INJ3CTOR3 jelentés emlékeztető arra, hogy egy FreePBX-telepítésnél a hitelesítő adatok ugyanolyan értékesek, mint a szerver. A hitelesítő adatok forgatása nélküli újraépítés nyitva hagyhatja az ajtót. Kockázatának csökkentéséhez:
- Javítsa a FreePBX-et, és tartsa távol a nyílt internettől
- Forgassa az összes SIP-, adatbázis- és admin titkot bármilyen gyanított kompromittálás után
- Építsen újra tiszta forrásokból
- Állítson be szolgáltatói költési korlátokat, és figyelje a hívásrekordokat
Ha telefonrendszert kezel, ellenőrizze FreePBX-kitettségét még ma, frissítse a szoftvert, és tegye a hitelesítő adatok forgatását az incidens-ellenőrzőlistájára. Néhány óra munka most megelőzhet egy kellemetlen telefonos számlát később.
