INJ3CTOR3として知られるマルウェアキャンペーンがFreePBXサーバーを標的にしており、報告されている目的は一度侵入するだけではありません。報道によると、このマルウェアはSIPパスワード、データベースの認証情報、その他の機密情報を窃取し、管理者がサーバーを再構築した後でも攻撃者が電話詐欺を続けられるようにします。小規模オフィスであれホームラボであれ、FreePBXサーバーのセキュリティ対策を運用している人にとって、この詳細はクリーンアップの方法を変えるものです。
元記事は簡潔であるため、この投稿では記事が述べている内容に限定し、これらの詳細がなぜ重要かの一般的な仕組みを説明します。
INJ3CTOR3マルウェアが報告されている動作
報告によると、INJ3CTOR3は、Asteriskベースの電話システムを管理するための広く使われているオープンソースのWebインターフェースであるFreePBXを標的にしています。サーバー上に侵入すると、マルウェアは3種類のデータを窃取します:
- 電話の内線やトランクを認証するSIPパスワード
- データベースの認証情報
- システム上に保存されたその他の機密情報
重要な点は永続性です。報道によると、この窃取は再構築後も電話詐欺を維持できるように設計されています。言い換えれば、攻撃者がその後も有効な認証情報をすでに保持している場合、PBXをワイプして再インストールしても問題は終わらない可能性があります。
窃取されたSIP認証情報がなぜ電話詐欺を促進するのか
SIP認証情報は本質的に、デバイスやアカウントがあなたの電話システムまたは上流プロバイダーを通じて通話を発信できるようにする鍵です。攻撃者がそれを入手すれば、多くの場合、どこからでも正規の内線やトランクとして登録できます。すると通話はあなたの組織から発信されたように見えます。
これが高額請求詐欺の基盤です。通話はプレミアムレートや国際宛先にかけられ、被害者が請求を受けます。記事は窃取されたデータをその詐欺を続けるための手段として位置づけており、認証情報こそが本当の狙いであり、サーバー自体ではないことを示唆しています。
データベースの認証情報はさらなるリスク層を追加します。PBXデータベースには設定の詳細、内線情報、攻撃者がアクセスを維持したりさらに移動したりするのに役立つその他の資料が含まれている可能性があります。侵害されたシステムに保存されているものはすべて露出したものとして扱ってください。
再構築だけでは不十分な理由
多くの管理者は、クリーンな再インストールが侵入者を排除すると合理的に考えます。それはマシン上のマルウェアには当てはまりますが、機密情報の窃取を取り消すものではありません。同じSIPパスワード、トランクのログイン、データベースのパスワードがバックアップから復元されたり再入力されたりすると、攻撃者は有効な認証情報でまっすぐ戻ってこられます。
このパターンは、窃取されたログイン情報が最初の侵害より長く生き残る他のインシデントを想起させます。たとえば、認証情報を収集するために使われた汚染されたarrayref Rustクレートです。認証情報の窃取はしばしば攻撃の耐久部分であり、ソフトウェアのクリーンアップは対応の半分にすぎません。同様に、未パッチのインターネット公開プラットフォームは繰り返し侵入経路となっており、ロシアのスパイがZimbraのゼロデイを悪用してメールサーバーを攻撃した事例でも見られました。
これがあなたにとって意味すること
FreePBXを運用しているなら、侵害が疑われる場合はそのボックス上のすべての機密情報が漏洩したと想定してください。実践的な手順は次のとおりです:
- 再構築後にすべてをローテーションする。 すべてのSIP内線パスワード、プロバイダーとのトランク認証情報、データベースパスワード、管理者ログインを変更してください。これは新しいサーバーで行い、その前に行わず、古い値の再利用は避けてください。
- クリーンに再構築する。 マルウェアを持ち込む可能性のある完全なシステムイメージを復元するのではなく、信頼できるメディアからインストールしてください。復元した設定に見慣れないエントリがないか確認してください。
- FreePBXとそのモジュールにパッチを適用する。 公開された管理インターフェースは一般的な標的であるため、プラットフォームとオペレーティングシステムを最新の状態に保ってください。
- 管理者アクセスを制限する。 FreePBXのWebインターフェースをインターネットに公開したままにしないでください。VPN、管理ネットワーク、または特定の信頼されたIPアドレスに限定してください。
- 強力で一意のSIPパスワードを使用する。 各内線に長いランダムなパスワードを使うことで、推測や再利用が攻撃者にとってはるかに役に立たなくなります。
- SIPプロバイダーと通話量の上限とアラートを設定する。 通話量、国際宛先、1日の支出に上限を設けることで、詐欺が巨額の請求になるのを防げ、アラートは早期発見に役立ちます。
- 通話ログを確認する。 奇妙な時間帯の通話、見慣れない宛先、認識できない内線を探してください。
小規模企業やホームラボのユーザーは特に露出しています。電話システムは一度設定されると忘れられがちだからです。パブリックIP上に静かに置かれたPBXは何ヶ月も監視されないままになる可能性があり、それはまさに詐欺業者が好む状況です。
PBX周辺のネットワーク衛生も重要です。ルーターが改ざんされていると、トラフィックや認証情報がリダイレクトされる可能性があります。ロシアのハッカーが家庭用ルーターのDNS設定を乗っ取っているの報道で説明されているとおりです。ルーターのファームウェアを最新に保ち、管理パネルをロックダウンすることは、他の防御を支えます。
主な要点
INJ3CTOR3の報告は、FreePBXの展開において認証情報はサーバーと同じくらい価値があるという注意喚起です。認証情報のローテーションなしの再構築は、ドアを開けたままにする可能性があります。リスクを減らすには:
- FreePBXにパッチを適用し、オープンなインターネットから遠ざける
- 侵害が疑われる場合は、すべてのSIP、データベース、管理者の機密情報をローテーションする
- クリーンなソースから再構築する
- プロバイダーの支出上限を設定し、通話記録を監視する
電話システムを管理しているなら、今日FreePBXの露出を確認し、ソフトウェアを更新し、認証情報のローテーションをインシデントチェックリストに加えてください。今の数時間の作業が、後の予期せぬ電話請求を防ぐことができます。
