O campanie de malware cunoscută sub numele de INJ3CTOR3 vizează serverele FreePBX, iar scopul raportat nu este doar o singură intruziune. Conform raportului de presă, malware-ul fură parole SIP, credențiale de bază de date și alte secrete, astfel încât atacatorii să poată continua frauda telefonică chiar și după ce un administrator reconstruiește serverul. Pentru oricine administrează o configurație de securitate a serverului FreePBX, fie într-un birou mic, fie într-un laborator casnic, acest detaliu schimbă modul în care ar trebui făcută curățarea.

Articolul sursă este scurt, așa că această postare se limitează la ceea ce afirmă acesta și explică mecanica generală a motivului pentru care aceste detalii contează.

Ce face, potrivit raportărilor, malware-ul INJ3CTOR3

Conform raportului, INJ3CTOR3 vizează FreePBX, interfața web open-source larg utilizată pentru administrarea sistemelor telefonice bazate pe Asterisk. Odată ajuns pe un server, malware-ul fură trei tipuri de date:

  • Parole SIP, care autentifică extensiile și trunk-urile telefonice
  • Credențiale de bază de date
  • Alte secrete stocate pe sistem

Punctul cheie este persistența. Raportul afirmă că furtul este conceput pentru a susține frauda telefonică după reconstruiri. Cu alte cuvinte, ștergerea și reinstalarea PBX-ului s-ar putea să nu rezolve problema dacă atacatorul deține deja credențiale valide care funcționează și după aceea.

De ce credențialele SIP furate alimentează frauda telefonică

O credențială SIP este, în esență, cheia care permite unui dispozitiv sau cont să efectueze apeluri prin sistemul tău telefonic sau prin furnizorul tău upstream. Dacă un atacator o deține, acesta se poate înregistra adesea ca o extensie sau un trunk legitim de oriunde. Apelurile par apoi a veni din organizația ta.

Aceasta este baza fraudei prin taxe: apelurile sunt plasate către destinații cu tarif premium sau internaționale, iar victima este facturată. Articolul prezintă datele furate ca o modalitate de a menține frauda în desfășurare, ceea ce sugerează că credențialele sunt adevărata țintă, nu serverul în sine.

Credențialele de bază de date adaugă un alt nivel de risc. O bază de date PBX poate conține detalii de configurare, informații despre extensii și alte materiale care ajută un atacator să mențină accesul sau să avanseze mai departe. Tratează orice este stocat pe un sistem compromis ca fiind expus.

De ce reconstruirea singură poate să nu fie suficientă

Mulți administratori presupun în mod rezonabil că o reinstalare curată elimină un intrus. Acest lucru este valabil pentru malware-ul de pe mașină, dar nu anulează furtul secretelor. Dacă aceleași parole SIP, date de autentificare pentru trunk sau parole de bază de date sunt restaurate dintr-o copie de rezervă sau introduse din nou, atacatorul poate intra direct înapoi cu credențiale valide.

Acest tipar amintește de alte incidente în care datele de autentificare furate supraviețuiesc compromiterii inițiale, cum ar fi crate-ul Rust arrayref otrăvit care a fost folosit pentru a colecta credențiale. Furtul de credențiale este adesea partea durabilă a unui atac, iar curățarea software-ului este doar jumătate din răspuns. În mod similar, platformele expuse la internet neactualizate sunt un punct de intrare recurent, așa cum s-a văzut când spionii ruși au exploatat o vulnerabilitate zero-day în Zimbra împotriva serverelor de email.

Ce înseamnă acest lucru pentru tine

Dacă administrezi FreePBX, presupune că o suspiciune de compromitere înseamnă că fiecare secret de pe acea mașină este compromis. Pașii practici includ:

  1. Rotește totul după o reconstruire. Schimbă toate parolele extensiilor SIP, credențialele trunk cu furnizorul tău, parolele bazelor de date și datele de autentificare ale administratorului. Fă acest lucru cu noul server, nu înainte, și evită reutilizarea valorilor vechi.
  2. Reconstruiește curat. Instalează din medii de încredere, mai degrabă decât să restaurezi o imagine completă a sistemului care ar putea transporta malware-ul. Verifică orice configurație restaurată pentru intrări necunoscute.
  3. Aplică patch-uri pentru FreePBX și modulele sale. Menține platforma și sistemul de operare actualizate, deoarece interfețele de administrare expuse sunt o țintă comună.
  4. Restrânge accesul administratorului. Nu lăsa interfața web FreePBX deschisă către internet. Limiteaz-o la un VPN, o rețea de administrare sau adrese IP de încredere specifice.
  5. Folosește parole SIP puternice și unice. Parolele lungi și aleatorii pentru fiecare extensie fac ghicirea și reutilizarea mult mai puțin utile pentru un atacator.
  6. Setează limite de cheltuieli și alerte cu furnizorul tău SIP. Plafoanele pentru volumul apelurilor, destinațiile internaționale și cheltuielile zilnice pot împiedica frauda să devină o factură uriașă, iar alertele te ajută să o observi din timp.
  7. Revizuiește jurnalele de apeluri. Caută apeluri la ore neobișnuite, destinații necunoscute sau extensii pe care nu le recunoști.

Întreprinderile mici și utilizatorii de laboratoare casnice sunt expuși în special pentru că sistemele telefonice sunt adesea configurate o dată și apoi uitate. Un PBX care stă liniștit pe un IP public poate rămâne nemonitorizat luni întregi, ceea ce este exact situația pe care o preferă operatorii de fraudă.

Igiena rețelei în jurul PBX-ului contează de asemenea. Dacă routerul tău a fost modificat, traficul și credențialele pot fi redirecționate, așa cum este descris în reportajul despre hackerii ruși care deturnează setările DNS ale routerelor de acasă. Menținerea firmware-ului routerului actualizat și blocarea panourilor de administrare susțin restul apărărilor tale.

Concluzii cheie

Raportul INJ3CTOR3 este un memento că, pentru o implementare FreePBX, credențialele sunt la fel de valoroase ca serverul. O reconstruire fără rotația credențialelor poate lăsa ușa deschisă. Pentru a-ți reduce riscul:

  • Aplică patch-uri pentru FreePBX și ține-l în afara internetului deschis
  • Rotește fiecare secret SIP, de bază de date și de administrare după orice suspiciune de compromitere
  • Reconstruiește din surse curate
  • Setează plafoane de cheltuieli la furnizor și monitorizează înregistrările apelurilor

Dacă administrezi un sistem telefonic, verifică astăzi expunerea FreePBX, actualizează software-ul și adaugă rotația credențialelor pe lista ta de verificare pentru incidente. Câteva ore de muncă acum pot preveni o factură telefonică surpriză mai târziu.