En skadelig programvarekampanje kjent som INJ3CTOR3 går etter FreePBX-servere, og det rapporterte målet er ikke bare å bryte seg inn én gang. Ifølge nyhetsrapporten stjeler skadelig programvare SIP-passord, databaselegitimasjon og andre hemmeligheter slik at angripere kan fortsette å begå telefonbedrageri selv etter at en administrator har gjenoppbygd serveren. For alle som driver en FreePBX server security-oppsett, enten det er i et lite kontor eller et hjemmelab, endrer denne detaljen hvordan opprydding bør gjøres.
Kildeartikkelen er kort, så dette innlegget holder seg til det den sier og forklarer den generelle mekanikken for hvorfor disse detaljene er viktige.
Hva INJ3CTOR3-skadelig programvare angivelig gjør
Ifølge rapporten retter INJ3CTOR3 seg mot FreePBX, det mye brukte åpen kildekode-nettgrensesnittet for administrasjon av Asterisk-baserte telefonsystemer. Når den er på en server, stjeler den skadelige programvaren tre typer data:
- SIP-passord, som autentiserer telefoniutvidelser og trunks
- Databaselegitimasjon
- Andre hemmeligheter lagret på systemet
Hovedpoenget er persistens. Rapporten sier at tyveriet er utformet for å opprettholde telefonbedrageri etter gjenoppbygginger. Med andre ord kan det å slette og reinstallere PBX-en ikke avslutte problemet hvis angriperen allerede har gyldig legitimasjon som fortsatt fungerer etterpå.
Hvorfor stjålne SIP-legitimasjoner driver telefonbedrageri
En SIP-legitimasjon er i hovedsak nøkkelen som lar en enhet eller konto ringe gjennom telefonsystemet ditt eller din oppstrømsleverandør. Hvis en angriper har den, kan de ofte registrere seg som en legitim utvidelse eller trunk fra hvor som helst. Samtaler ser da ut til å komme fra din organisasjon.
Dette er grunnlaget for tollbedrageri: samtaler plasseres til premiumpris- eller internasjonale destinasjoner, og offeret blir belastet. Artikkelen rammer inn de stjålne dataene som en måte å holde bedrageriet gående, noe som tyder på at legitimasjonen er den virkelige premien, ikke selve serveren.
Databaselegitimasjon legger til et nytt risikonivå. En PBX-database kan inneholde konfigurasjonsdetaljer, utvidelsesinformasjon og annet materiale som hjelper en angriper med å opprettholde tilgang eller bevege seg videre. Behandle alt som er lagret på et kompromittert system som eksponert.
Hvorfor gjenoppbygging alene kanskje ikke er nok
Mange administratorer antar med rette at en ren reinstallering fjerner en inntrenger. Det er sant for skadelig programvare på maskinen, men det angrer ikke tyveriet av hemmeligheter. Hvis de samme SIP-passordene, trunk-påloggingene eller databasepassordene gjenopprettes fra en sikkerhetskopi eller skrives inn på nytt, kan angriperen gå rett tilbake inn med gyldig legitimasjon.
Dette mønsteret gjenspeiler andre hendelser der stjålne pålogginger overlever den opprinnelige kompromitteringen, slik som den forgiftede arrayref Rust-craten som ble brukt til å høste legitimasjon. Legitimasjonstyveri er ofte den varige delen av et angrep, og programvarerengjøring er bare halvparten av responsen. På samme måte er uoppdaterte internett-eksponerte plattformer et tilbakevendende inngangspunkt, som sett da russiske spioner utnyttet en Zimbra zero-day mot e-postservere.
Hva dette betyr for deg
Hvis du driver FreePBX, anta at en mistenkt kompromittering betyr at hver hemmelighet på den boksen er brent. Praktiske tiltak inkluderer:
- Roter alt etter en gjenoppbygging. Endre alle SIP-utvidelsespassord, trunk-legitimasjon hos leverandøren din, databasepassord og admin-pålogginger. Gjør dette med den nye serveren, ikke før, og unngå å gjenbruke gamle verdier.
- Bygg opp rent. Installer fra klarert medie i stedet for å gjenopprette et fullstendig systemavbilde som kan bære den skadelige programvaren. Gjennomgå all gjenopprettet konfigurasjon for ukjente oppføringer.
- Oppdater FreePBX og modulene. Hold plattformen og operativsystemet oppdatert, siden eksponerte administrasjonsgrensesnitt er et vanlig mål.
- Begrens admin-tilgang. Ikke la FreePBX-nettgrensesnittet være åpent mot internett. Begrens det til en VPN, et administrasjonsnettverk eller spesifikke klarerte IP-adresser.
- Bruk sterke, unike SIP-passord. Lange tilfeldige passord for hver utvidelse gjør gjetting og gjenbruk langt mindre nyttig for en angriper.
- Sett forbruksgrenser og varsler hos SIP-leverandøren din. Tak på samtalevolum, internasjonale destinasjoner og daglig forbruk kan stoppe bedrageri fra å bli en enorm regning, og varsler hjelper deg med å oppdage det tidlig.
- Gå gjennom samtalelogger. Se etter samtaler på rare tidspunkter, ukjente destinasjoner eller utvidelser du ikke kjenner igjen.
Små bedrifter og hjemmelab-brukere er spesielt utsatt fordi telefonsystemer ofte settes opp én gang og deretter glemmes. En PBX som sitter stille på en offentlig IP kan gå uovervåket i månedsvis, noe som er nøyaktig situasjonen bedragerisoperatører liker.
Nettverkshygiene rundt PBX-en er også viktig. Hvis ruteren din har blitt tuklet med, kan trafikk og legitimasjon omdirigeres, som beskrevet i dekningen av russiske hackere som kaprer DNS-innstillinger på hjemmerutere. Å holde rutermikrokoden oppdatert og admin-paneler låst støtter resten av forsvaret ditt.
Viktige punkter
INJ3CTOR3-rapporten er en påminnelse om at for en FreePBX-distribusjon er legitimasjonen like verdifull som serveren. En gjenoppbygging uten legitimasjonsrotasjon kan la døren stå åpen. For å redusere risikoen din:
- Oppdater FreePBX og hold den borte fra det åpne internettet
- Roter hver SIP-, database- og admin-hemmelighet etter enhver mistenkt kompromittering
- Bygg opp på nytt fra rene kilder
- Sett forbrukstak hos leverandøren og overvåk samtalelogger
Hvis du administrerer et telefonsystem, sjekk FreePBX-eksponeringen din i dag, oppdater programvaren og sett legitimasjonsrotasjon på hendelsessjekklisten din. Noen få timers arbeid nå kan forhindre en overraskende telefonregning senere.
