Kampanye malware yang dikenal sebagai INJ3CTOR3 sedang menargetkan server FreePBX, dan tujuan yang dilaporkan bukan sekadar membobol sekali saja. Menurut laporan berita, malware tersebut mencuri kata sandi SIP, kredensial basis data, dan rahasia lainnya agar penyerang dapat terus melakukan penipuan telepon bahkan setelah administrator membangun ulang server. Bagi siapa pun yang menjalankan setup keamanan server FreePBX, baik di kantor kecil maupun lab rumahan, detail tersebut mengubah cara pembersihan harus dilakukan.
Artikel sumbernya singkat, jadi postingan ini berpegang pada apa yang dinyatakannya dan menjelaskan mekanisme umum mengapa detail-detail ini penting.
Apa yang Dilaporkan Dilakukan Malware INJ3CTOR3
Menurut laporan, INJ3CTOR3 menargetkan FreePBX, antarmuka web open-source yang banyak digunakan untuk mengelola sistem telepon berbasis Asterisk. Setelah berada di server, malware tersebut mencuri tiga jenis data:
- Kata sandi SIP, yang mengautentikasi ekstensi dan trunk telepon
- Kredensial basis data
- Rahasia lain yang tersimpan di sistem
Poin utamanya adalah persistensi. Laporan menyebutkan bahwa pencurian tersebut dirancang untuk mempertahankan penipuan telepon setelah pembangunan ulang. Dengan kata lain, menghapus dan menginstal ulang PBX mungkin tidak mengakhiri masalah jika penyerang sudah memegang kredensial valid yang masih berfungsi setelahnya.
Mengapa Kredensial SIP yang Dicuri Memicu Penipuan Telepon
Kredensial SIP pada dasarnya adalah kunci yang memungkinkan perangkat atau akun melakukan panggilan melalui sistem telepon Anda atau penyedia upstream Anda. Jika penyerang memilikinya, mereka sering dapat mendaftar sebagai ekstensi atau trunk yang sah dari mana saja. Panggilan kemudian tampak berasal dari organisasi Anda.
Inilah dasar dari penipuan tol: panggilan dilakukan ke tujuan tarif premium atau internasional, dan korban ditagih. Artikel tersebut membingkai data yang dicuri sebagai cara untuk mempertahankan penipuan itu, yang menunjukkan bahwa kredensial adalah hadiah sesungguhnya, bukan servernya.
Kredensial basis data menambah lapisan risiko lain. Basis data PBX dapat menyimpan detail konfigurasi, informasi ekstensi, dan materi lain yang membantu penyerang mempertahankan akses atau bergerak lebih jauh. Perlakukan apa pun yang tersimpan di sistem yang terkompromi sebagai terekspos.
Mengapa Membangun Ulang Saja Mungkin Tidak Cukup
Banyak administrator secara wajar berasumsi bahwa instalasi ulang yang bersih menghilangkan penyusup. Itu benar untuk malware di mesin, tetapi tidak membatalkan pencurian rahasia. Jika kata sandi SIP, login trunk, atau kata sandi basis data yang sama dipulihkan dari cadangan atau diketik kembali, penyerang dapat langsung masuk kembali dengan kredensial yang valid.
Pola ini menggemakan insiden lain di mana login yang dicuri bertahan lebih lama daripada kompromi awal, seperti crate Rust arrayref yang beracun yang digunakan untuk memanen kredensial. Pencurian kredensial sering kali menjadi bagian yang tahan lama dari suatu serangan, dan pembersihan perangkat lunak hanyalah setengah dari respons. Serupa dengan itu, platform yang menghadap internet dan tidak ditambal merupakan titik masuk yang berulang, seperti terlihat ketika mata-mata Rusia mengeksploitasi zero-day Zimbra terhadap server email.
Apa Artinya Bagi Anda
Jika Anda menjalankan FreePBX, anggap bahwa dugaan kompromi berarti setiap rahasia di kotak itu sudah terbakar. Langkah praktis meliputi:
- Rotasi semuanya setelah pembangunan ulang. Ubah semua kata sandi ekstensi SIP, kredensial trunk dengan penyedia Anda, kata sandi basis data, dan login admin. Lakukan ini dengan server baru, bukan sebelumnya, dan hindari menggunakan ulang nilai lama.
- Bangun ulang secara bersih. Instal dari media tepercaya daripada memulihkan image sistem penuh yang mungkin membawa malware. Tinjau konfigurasi yang dipulihkan untuk entri yang tidak dikenal.
- Tambal FreePBX dan modulnya. Jaga platform dan sistem operasi tetap terkini, karena antarmuka manajemen yang terekspos adalah target umum.
- Batasi akses admin. Jangan biarkan antarmuka web FreePBX terbuka ke internet. Batasi ke VPN, jaringan manajemen, atau alamat IP tepercaya tertentu.
- Gunakan kata sandi SIP yang kuat dan unik. Kata sandi acak yang panjang untuk setiap ekstensi membuat tebakan dan penggunaan ulang jauh lebih tidak berguna bagi penyerang.
- Tetapkan batas pengeluaran dan peringatan dengan penyedia SIP Anda. Batas pada volume panggilan, tujuan internasional, dan pengeluaran harian dapat mencegah penipuan menjadi tagihan besar, dan peringatan membantu Anda menyadarinya lebih awal.
- Tinjau log panggilan. Cari panggilan pada jam-jam aneh, tujuan yang tidak dikenal, atau ekstensi yang tidak Anda kenali.
Usaha kecil dan pengguna lab rumahan sangat terekspos karena sistem telepon sering kali disiapkan sekali lalu dilupakan. PBX yang diam-diam berada di IP publik dapat tidak terpantau selama berbulan-bulan, yang justru merupakan situasi yang disukai operator penipuan.
Kebersihan jaringan di sekitar PBX juga penting. Jika router Anda telah dirusak, lalu lintas dan kredensial dapat dialihkan, seperti dijelaskan dalam liputan tentang peretas Rusia yang membajak pengaturan DNS router rumahan. Menjaga firmware router tetap diperbarui dan panel admin terkunci mendukung bagian lain dari pertahanan Anda.
Poin Penting
Laporan INJ3CTOR3 adalah pengingat bahwa untuk deployment FreePBX, kredensial sama berharganya dengan server. Pembangunan ulang tanpa rotasi kredensial dapat membiarkan pintu tetap terbuka. Untuk mengurangi risiko Anda:
- Tambal FreePBX dan jauhkan dari internet terbuka
- Rotasi setiap rahasia SIP, basis data, dan admin setelah dugaan kompromi
- Bangun ulang dari sumber yang bersih
- Tetapkan batas pengeluaran penyedia dan pantau catatan panggilan
Jika Anda mengelola sistem telepon, periksa eksposur FreePBX Anda hari ini, perbarui perangkat lunak, dan masukkan rotasi kredensial ke dalam daftar periksa insiden Anda. Beberapa jam kerja sekarang dapat mencegah tagihan telepon yang mengejutkan di kemudian hari.
