INJ3CTOR3로 알려진 악성코드 캠페인이 FreePBX 서버를 노리고 있으며, 보고된 목표는 단순히 한 번 침입하는 것이 아닙니다. 보도에 따르면, 이 악성코드는 SIP 비밀번호, 데이터베이스 자격 증명 및 기타 비밀 정보를 탈취하여 관리자가 서버를 재구축한 후에도 공격자들이 전화 사기를 계속 저지를 수 있도록 합니다. 소규모 사무실이든 홈 랩이든 FreePBX 서버 보안 환경을 운영하는 사람이라면, 이 세부 사항이 정리 작업 방식에 변화를 줍니다.
원문 기사가 짧기 때문에, 이 글은 기사에서 언급된 내용만 다루고 이러한 세부 사항이 왜 중요한지에 대한 일반적인 메커니즘을 설명합니다.
INJ3CTOR3 악성코드가 보고된 대로 하는 일
보고서에 따르면, INJ3CTOR3는 Asterisk 기반 전화 시스템 관리를 위해 널리 사용되는 오픈소스 웹 인터페이스인 FreePBX를 대상으로 합니다. 서버에 침투하면, 악성코드는 세 가지 종류의 데이터를 탈취합니다:
- 전화 내선과 트렁크를 인증하는 SIP 비밀번호
- 데이터베이스 자격 증명
- 시스템에 저장된 기타 비밀 정보
핵심은 지속성입니다. 보고서는 이 탈취가 재구축 후에도 전화 사기를 유지하도록 설계되었다고 밝힙니다. 다시 말해, 공격자가 이후에도 여전히 유효한 자격 증명을 보유하고 있다면 PBX를 초기화하고 재설치하는 것만으로는 문제가 끝나지 않을 수 있습니다.
탈취된 SIP 자격 증명이 전화 사기를 부추기는 이유
SIP 자격 증명은 본질적으로 기기나 계정이 전화 시스템이나 업스트림 제공업체를 통해 전화를 걸 수 있게 해주는 열쇠입니다. 공격자가 이를 보유하면, 어디서든 합법적인 내선이나 트렁크로 등록할 수 있는 경우가 많습니다. 그러면 통화가 조직에서 발신된 것처럼 보입니다.
이것이 바로 국제 전화 사기의 기초입니다: 프리미엄 요금제나 국제 목적지로 전화가 걸려 피해자에게 요금이 청구됩니다. 기사는 탈취된 데이터를 사기를 계속 유지하는 수단으로 설명하는데, 이는 자격 증명이 서버 자체가 아닌 진짜 목표임을 시사합니다.
데이터베이스 자격 증명은 또 다른 위험 계층을 추가합니다. PBX 데이터베이스에는 구성 세부 정보, 내선 정보 및 공격자가 접근을 유지하거나 더 나아가는 데 도움이 되는 기타 자료가 포함될 수 있습니다. 침해된 시스템에 저장된 모든 것은 노출된 것으로 간주하십시오.
재구축만으로는 충분하지 않을 수 있는 이유
많은 관리자들이 깨끗한 재설치가 침입자를 제거한다고 합리적으로 가정합니다. 이는 기기의 악성코드에는 해당되지만, 비밀 정보의 탈취를 되돌리지는 않습니다. 동일한 SIP 비밀번호, 트렁크 로그인 또는 데이터베이스 비밀번호가 백업에서 복원되거나 다시 입력되면, 공격자는 유효한 자격 증명으로 곧바로 다시 들어올 수 있습니다.
이 패턴은 자격 증명 수집에 사용된 악성 arrayref Rust 크레이트처럼 탈취된 로그인이 초기 침해보다 오래 지속되는 다른 사건들과 유사합니다. 자격 증명 탈취는 종종 공격의 지속적인 부분이며, 소프트웨어 정리는 대응의 절반에 불과합니다. 마찬가지로, 패치되지 않은 인터넷 노출 플랫폼은 반복되는 진입점이며, 러시아 스파이들이 Zimbra 제로데이를 악용하여 이메일 서버를 공격한 사례에서도 볼 수 있습니다.
이것이 귀하에게 의미하는 바
FreePBX를 운영한다면, 침해 의심은 해당 박스의 모든 비밀 정보가 유출된 것으로 간주해야 합니다. 실용적인 단계는 다음과 같습니다:
- 재구축 후 모든 것을 교체하십시오. 모든 SIP 내선 비밀번호, 제공업체와의 트렁크 자격 증명, 데이터베이스 비밀번호 및 관리자 로그인을 변경하십시오. 이전이 아닌 새 서버에서 수행하고, 이전 값을 재사용하지 마십시오.
- 깨끗하게 재구축하십시오. 악성코드를 옮길 수 있는 전체 시스템 이미지를 복원하는 대신 신뢰할 수 있는 미디어에서 설치하십시오. 복원된 구성에서 익숙하지 않은 항목이 있는지 검토하십시오.
- FreePBX 및 모듈을 패치하십시오. 노출된 관리 인터페이스는 일반적인 표적이므로 플랫폼과 운영 체제를 최신 상태로 유지하십시오.
- 관리자 접근을 제한하십시오. FreePBX 웹 인터페이스를 인터넷에 열어두지 마십시오. VPN, 관리 네트워크 또는 특정 신뢰할 수 있는 IP 주소로 제한하십시오.
- 강력하고 고유한 SIP 비밀번호를 사용하십시오. 각 내선에 긴 무작위 비밀번호를 사용하면 추측과 재사용이 공격자에게 훨씬 덜 유용해집니다.
- SIP 제공업체와 함께 지출 한도 및 알림을 설정하십시오. 통화량, 국제 목적지 및 일일 지출에 대한 한도는 사기가 거대한 청구서가 되는 것을 막을 수 있으며, 알림은 조기에 발견하는 데 도움이 됩니다.
- 통화 기록을 검토하십시오. 이상한 시간대의 통화, 익숙하지 않은 목적지 또는 인식하지 못하는 내선을 찾으십시오.
소규모 기업과 홈 랩 사용자는 전화 시스템이 종종 한 번 설정된 후 잊혀지기 때문에 특히 노출되어 있습니다. 공인 IP에 조용히 앉아 있는 PBX는 몇 달 동안 모니터링되지 않을 수 있으며, 이는 사기 운영자들이 좋아하는 상황입니다.
PBX 주변의 네트워크 위생도 중요합니다. 라우터가 변조된 경우, 러시아 해커들이 가정용 라우터 DNS 설정을 하이재킹한 보도에서 설명한 것처럼 트래픽과 자격 증명이 리디렉션될 수 있습니다. 라우터 펌웨어를 최신 상태로 유지하고 관리자 패널을 잠그면 나머지 방어를 지원합니다.
핵심 요점
INJ3CTOR3 보고서는 FreePBX 배포에서 자격 증명이 서버만큼이나 가치 있다는 것을 상기시켜 줍니다. 자격 증명 교체 없는 재구축은 문을 열어둘 수 있습니다. 위험을 줄이려면:
- FreePBX를 패치하고 공개 인터넷에서 벗어나게 유지하십시오
- 침해 의심 후 모든 SIP, 데이터베이스 및 관리자 비밀 정보를 교체하십시오
- 깨끗한 소스에서 재구축하십시오
- 제공업체 지출 한도를 설정하고 통화 기록을 모니터링하십시오
전화 시스템을 관리한다면, 오늘 FreePBX 노출을 확인하고, 소프트웨어를 업데이트하고, 자격 증명 교체를 사고 대응 체크리스트에 추가하십시오. 지금 몇 시간의 작업으로 나중에 예상치 못한 전화 청구서를 방지할 수 있습니다.
